שימוש ב-IAP להעברת TCP

המסוף

כדי לאפשר גישת RDP ו-SSH לכל מופעי מכונות וירטואליות ברשת, מבצעים את הפעולות הבאות:

1. פותחים את הדף Firewall Rules (כללים של חומת האש).

   פתיחת הדף Firewall Rules

   שאר השלבים יופיעו במסוף Google Cloud .

2. בוחרים פרויקט Google Cloud .
3. בדף 'כללים של חומת אש', לוחצים על יצירת כלל של חומת אש.
4. קובעים את ההגדרות הבאות:
   • Name (שם): allow-ingress-from-iap
   • כיוון התנועה: כניסה
   • טירגוט: כל המופעים ברשת
   • מסנן מקור: טווח כתובות IP
   • טווח כתובות ה-IP של המקור: 35.235.240.0/20
   • פרוטוקולים ויציאות: בוחרים באפשרות TCP ומזינים 3389,22 כדי לאפשר גם RDP וגם SSH.
5. לוחצים על יצירה.

gcloud

כדי לאפשר גישת RDP לכל המכונות הווירטואליות ברשת, מריצים את הפקודה:

gcloud compute firewall-rules create allow-rdp-ingress-from-iap \
  --direction=INGRESS \
  --action=allow \
  --rules=tcp:3389 \
  --source-ranges=35.235.240.0/20

כדי לקבל גישת SSH, מריצים את הפקודה:

gcloud compute firewall-rules create allow-ssh-ingress-from-iap \
  --direction=INGRESS \
  --action=allow \
  --rules=tcp:22 \
  --source-ranges=35.235.240.0/20

לפרוטוקולים אחרים, מריצים את הפקודה

gcloud compute firewall-rules create allow-ingress-from-iap \
  --direction=INGRESS \
  --action=allow \
  --rules=tcp:PORT \
  --source-ranges=35.235.240.0/20

כאשר PORT היא היציאה שבה הפרוטוקול משתמש.

המסוף

1. פותחים את הדף IAM & Admin במסוף Google Cloud .

   פתיחת הדף IAM & Admin

   שאר השלבים יופיעו במסוף Google Cloud .

2. בדף IAM ואדמין, לוחצים על הוספה ומגדירים את האפשרויות הבאות:
   • New principals (ישויות מורשות חדשות): מציינים את המשתמש או הקבוצה שרוצים להעניק להם גישה.
   • Select a role (בחירת תפקיד): בוחרים באפשרות Cloud IAP > IAP-Secured Tunnel User (Cloud IAP > משתמש במנהרה מאובטחת של IAP).
3. אופציונלי: לוחצים על הוספת תנאי ומגדירים תנאי:
   • שם: מזינים שם לתנאי.
   • ביטוי: מזינים תנאי שמשתמש צריך לעמוד בו כדי לקבל את ההרשאות בתפקיד 'משתמש מנהרה באבטחת IAP'.

   לדוגמה, ביטוי ה-CEL הבא מעניק גישה רק ליציאה 22:

   destination.port == 22

4. לוחצים על Add another role ומגדירים את האפשרויות הבאות:
   • Select a role (בחירת תפקיד) בוחרים באפשרות Compute Engine > Compute Instance Admin (v1) (‏Compute Engine > אדמין של מכונות וירטואליות (גרסה 1)).
5. לוחצים על Save.

gcloud

מריצים את הפקודות הבאות כדי להעניק למשתמש את שני התפקידים:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=user:EMAIL \
    --role=roles/iap.tunnelResourceAccessor
gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=user:EMAIL \
    --role=roles/compute.instanceAdmin.v1

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROJECT_ID: המזהה של הפרויקט
• ‫EMAIL: כתובת האימייל של המשתמש שרוצים להעניק לו גישה, לדוגמה user@example.com.

המסוף

1. פותחים את דף האדמין של IAP ובוחרים בכרטיסייה SSH and TCP Resources (משאבי SSH ו-TCP).

   פתיחה של דף האדמין של IAP

   שאר השלבים יופיעו במסוף Google Cloud .

2. בכרטיסייה SSH and TCP Resources בדף האדמין של IAP, בוחרים את מכונות ה-VM שרוצים להגדיר.
3. אם חלונית המידע לא מוצגת, לוחצים על Show info panel.

4. לוחצים על Add principal ומגדירים את האפשרויות הבאות:

   • New principals (ישויות מורשות חדשות): מציינים את המשתמש או הקבוצה שרוצים להעניק להם גישה.
   • Select a role (בחירת תפקיד): בוחרים באפשרות Cloud IAP > IAP-Secured Tunnel User (Cloud IAP > משתמש במנהרה מאובטחת של IAP).

5. אפשר גם ללחוץ על הוספת תנאי ולהגדיר תנאי:

   • שם: מזינים שם לתנאי.
   • ביטוי: מזינים תנאי שמשתמש צריך לעמוד בו כדי לקבל את ההרשאות בתפקיד 'משתמש מנהרה באבטחת IAP'.

   לדוגמה, ביטוי ה-CEL הבא מעניק גישה רק ליציאה 22:

         destination.port == 22

   אפשר גם להעניק גישה על סמך רמת הגישה:

       destination.port == 22 &&
       "FULL_ACCESS_LEVEL_NAME" in request.auth.access_levels

   כאשר FULL_ACCESS_LEVEL_NAME הוא רמת גישה קיימת, והפורמט הוא:

   accessPolicies/POLICY_NAME/accessLevels/ACCESS_LEVEL_NAME

6. לוחצים על Save.

API

כדי לערוך את קובץ policy.json של האפליקציה, פועלים לפי התהליך הבא. מידע נוסף על שימוש בממשק ה-API של IAM לניהול מדיניות גישה זמין במאמר ניהול גישה למשאבים שמאובטחים באמצעות IAP.

1. מייצאים את המשתנים הבאים.

   export IAP_BASE_URL=https://iap.googleapis.com/v1/projects/PROJECT_NUMBER/iap_tunnel
   # Replace POLICY_FILE.JSON with the name of JSON file to use for setIamPolicy
   export JSON_NEW_POLICY=POLICY_FILE.JSON
   

2. מקבלים את מדיניות IAM של מכונת Compute Engine באמצעות השיטה getIamPolicy. ביט הנתונים הריק בסוף הופך את הבקשה curl ל-POST במקום ל-GET.

   curl -i -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        ${IAP_BASE_URL}/zones/ZONE_NAME/instances/INSTANCE_ID or INSTANCE_NAME:getIamPolicy \
        -d ''

3. כדי לתת את התפקיד iap.tunnelResourceAccessor לחשבונות הראשיים, משנים את קובץ ה-JSON של מדיניות ה-IAM.
   

4. אפשר גם להעניק את התפקיד רק לחשבונות משתמשים שעומדים בקריטריונים ספציפיים, על סמך תנאים של IAM ורמות גישה.

   זוהי דוגמה לקובץ policy.json שעבר עריכה, שמעניק את התפקיד iap.tunnelResourceAccessor לקבוצת אדמינים של מכונות וירטואליות, ומאפשר להם גישה למשאבי מנהרות מאובטחים ב-IAP. נוסף תנאי IAM כדי שהמשאבים יהיו נגישים רק לישויות בקבוצת האדמינים של מכונות וירטואליות עם כתובת IP פרטית של 10.0.0.1 ביציאה 22 באמצעות destination.ip ו-destination.port תנאי IAM. הם צריכים גם לעמוד בדרישות של רמת הגישה ACCESS_LEVEL_NAME.

   הערה: אם לחשבון משתמש יש תפקיד בעלים, יש לו הרשאה להשתמש ב-IAP להעברת TCP.

   
   קובץ לדוגמה של policy.json

   {
     "policy": {
       "bindings": [
         {
           "role": "roles/iap.tunnelResourceAccessor",
           "members": ["group:instance-admins@example.com"],
           "condition": {
             "expression": "\"accessPolicies/POLICY_NAME/accessLevels/ACCESS_LEVEL_NAME\" in request.auth.access_levels && destination.ip == \"10.0.0.1\" && destination.port == 22",
             "title": "CONDITION_NAME"
           }
         }
       ]
     }
   }

   כדי למצוא שם של מדיניות , קוראים לפונקציה accessPolicies.list:

   GET https://accesscontextmanager.googleapis.com/v1/accessPolicies
   

   1. מגדירים את קובץ policy.json החדש באמצעות ה-method‏ setIamPolicy.

      curl -i -H "Content-Type:application/json" \
             -H "Authorization: Bearer $(gcloud auth print-access-token)" \
             ${IAP_BASE_URL}/zones/ZONE_NAME/instances/INSTANCE_ID or INSTANCE_NAME:setIamPolicy \
             -d @${JSON_NEW_POLICY}