使用应用连接器保护非Google Cloud应用

gcloud CLI

在完成以下步骤之前，请确保您已安装 gcloud CLI SDK。

1. 运行以下命令，设置所需的环境变量：

   PROJECT_ID=my-project
   

   将 my-project 替换为 Google Cloud 项目 ID。

2. 运行以下命令以启用该 API：

   gcloud config set project $PROJECT_ID
   gcloud services enable beyondcorp.googleapis.com
   

API

1. 运行以下命令，获取访问令牌并设置所需的环境变量和别名：

   PROJECT_NUMBER=my-project-number
   ACCESS_TOKEN=my-access-token
   

   将 my-project 替换为 Google Cloud 项目 ID。

2. 设置一个方便的别名来使用您的访问令牌：

   alias gcurl="curl -H 'Authorization: Bearer ${ACCESS_TOKEN}' -H 'Content-Type: application/json'"
   

3. 运行以下命令以启用该 API：

   gcurl https://serviceusage.googleapis.com/v1/projects/${PROJECT_NUMBER}/services/beyondcorp.googleapis.com:enable -d "{}"
   

gcloud CLI

在完成以下步骤之前，请确保您已安装 gcloud CLI SDK，并且已登录具有 beyondcorp.admin 角色的账号。

1. 运行以下命令，设置所需的环境变量：

   CONNECTOR_NAME=my-connector
   CONNECTION_NAME=my-connection
   PROJECT_ID=my-project
   REGION=us-central1
   APP_ENDPOINT=APP_HOST:APP_PORT
   

   替换以下内容：

   • my-connector：连接器的名称，在之前的步骤中已定义。
   • my-connection：连接的唯一名称。
   • my-project： Google Cloud 项目 ID。
   • us-central1：要在其中部署连接和网关的区域。
   • APP_HOST：托管应用的本地 IP 地址或 FQDN。
   • APP_PORT：用于连接到应用的端口号。

2. 如需在应用与 VPC 之间创建连接，请运行以下命令：

   gcloud alpha beyondcorp app connections create $CONNECTION_NAME \
       --project=$PROJECT_ID \
       --location=$REGION \
       --application-endpoint=$APP_ENDPOINT \
       --type=tcp \
       --connectors=$CONNECTOR_NAME \
       --display-name=$CONNECTION_NAME
   

   请注意，此步骤可能需要几分钟才能完成。

3. 创建连接后，运行以下命令以检索网关 URI：

   GATEWAY_URI="$(gcloud alpha beyondcorp app connections describe $CONNECTION_NAME --project=$PROJECT_ID --location=$REGION --format='get(gateway.uri)')"
   

   Chrome 企业进阶版应用连接器使用 Private Service Connect 将使用方项目关联到 Google 管理的项目中的受管理资源。

API

1. 运行以下命令，设置所需的环境变量：

   CONNECTOR_NAME=my-connector
   CONNECTION_NAME=my-connection
   PROJECT_ID=my-project
   REGION=us-central1
   APP_HOST=my-app-host
   APP_PORT=my-app-port
   

   替换以下内容：

   • my-connector：连接器的名称，在之前的步骤中已定义。
   • my-connection：连接的唯一名称。
   • my-project： Google Cloud 项目 ID。
   • us-central1：要在其中部署连接和网关的区域。
   • my-app-host：托管应用的本地 IP 地址或 FQDN。
   • my-app-port：用于连接到应用的端口号。

2. 如需在应用与 VPC 之间创建连接，请运行以下命令：

   gcurl https://beyondcorp.googleapis.com/v1/projects/${PROJECT_NUMBER}/locations/${REGION}/appConnections?app_connection_id=${CONNECTION_NAME} \
   -d "{ \
       'application_endpoint': \
       { \
           'host': '${APP_HOST}', \
           'port': '${APP_PORT}' \
       }, \
       'type': 'TCP_PROXY', \
       'display_name': '${CONNECTION_NAME}' \
   }"
   

   请注意，此步骤可能需要几分钟才能完成。

3. 创建连接后，运行以下命令以检索网关 URI：

   GATEWAY_URI=$(gcurl https://beyondcorp.googleapis.com/v1/projects/${PROJECT_NUMBER}/locations/${REGION}/appConnections/${CONNECTION_NAME} | jq -r '.gateway.uri')
   

   Chrome 企业进阶版应用连接器使用 Private Service Connect 将使用方项目关联到 Google 管理的项目中的受管理资源。

gcloud CLI

在完成以下步骤之前，请确保您已安装 gcloud CLI SDK，并且已登录具有 beyondcorp.admin 角色的账号。

1. 运行以下命令，设置所需的环境变量：

   LB_PREFIX=web-app
   PROJECT_ID=my-project
   REGION=us-central1
   DOMAIN_NAME=app.example.com
   

   请替换以下内容：
   • web-app：附加到所有负载均衡器资源名称的前缀。
   • my-project： Google Cloud 项目 ID。
   • us-central1：连接和网关将部署到的区域。
   • app.example.com：应用的网域名称。

2. 使用以下命令创建网络端点组 (NEG)：

   gcloud beta compute network-endpoint-groups create $LB_PREFIX-neg \
       --region=$REGION \
       --network-endpoint-type=private-service-connect \
       --psc-target-service=$GATEWAY_URI
   

   可选标志：

   • 设置 --network 标志，以指定 NEG 中网络端点的网络名称。如果未指定，则使用默认项目网络。
   • 设置 --subnet 标志，以指定 NEG 中网络端点的子网名称。如果未指定，网络端点可以属于创建网络端点组的区域中的任何子网。

3. 运行以下命令，创建基于 NEG 的后端服务并将其连接到 Private Service Connect 服务连接：

   gcloud beta compute backend-services create $LB_PREFIX-backend-service \
       --global \
       --protocol=HTTPS \
       --load-balancing-scheme=EXTERNAL_MANAGED
   
   gcloud beta compute backend-services add-backend $LB_PREFIX-backend-service \
       --global \
       --network-endpoint-group=$LB_PREFIX-neg \
       --network-endpoint-group-region=$REGION
   

4. 运行以下命令，为您的网域创建由 Google 管理的证书：

   gcloud compute addresses create $LB_PREFIX-static-ip \
       --ip-version=IPV4 \
       --global
   gcloud compute ssl-certificates create $LB_PREFIX-ssl-cert \
       --domains=$DOMAIN_NAME \
       --global
   
   LB_IP="$(gcloud compute addresses describe $LB_PREFIX-static-ip --global --format='value(address)')"
   

5. 运行以下命令，根据上一步中的后端创建外部应用负载平衡器：

   gcloud compute url-maps create $LB_PREFIX-map-https \
       --default-service=$LB_PREFIX-backend-service
   
   gcloud compute target-https-proxies create $LB_PREFIX-https-lb-proxy \
       --url-map=$LB_PREFIX-map-https \
       --ssl-certificates=$LB_PREFIX-ssl-cert
   
   gcloud beta compute forwarding-rules create "$LB_PREFIX-https-lb-forwarding-rule" \
       --global \
       --target-https-proxy=$LB_PREFIX-https-lb-proxy \
       --address=$LB_IP \
       --ports=443 \
       --load-balancing-scheme=EXTERNAL_MANAGED
   

   创建外部应用负载平衡器后，您的应用可通过该 IP 地址在互联网上访问。

6. 创建外部应用负载平衡器后，您必须将其 IP 地址与域名相关联，以便 Google Cloud 可以预配 SSL 证书。请按照 DNS 提供商的说明将 IP 地址与 DNS 名称相关联。运行以下命令以检查配置状态：

   1. 显示要在 DNS 提供商中设置的 IP 地址：

      echo "Load Balancer ip address - $LB_IP"
      

   2. 设置 DNS 后，运行以下命令，检查域名是否解析为相应 IP 地址：

      dig $DOMAIN_NAME
      

   3. 运行以下命令以获取配置状态：

   gcloud compute ssl-certificates describe $LB_PREFIX-ssl-cert \
       --global \
       --format="get(name,managed.status, managed.domainStatus)"
   

   SSL 证书预配完成后，您应该能够使用 DNS 名称访问应用。

API

1. 运行以下命令，设置所需的环境变量：

   LB_PREFIX=web-app
   PROJECT_ID=my-project
   REGION=us-central1
   DOMAIN_NAME=app.example.com
   

   请替换以下内容：
   • web-app：附加到所有负载均衡器资源名称的前缀。
   • my-project： Google Cloud 项目 ID。
   • us-central1：连接和网关将部署到的区域。
   • app.example.com：应用的网域名称。

2. 使用以下命令创建网络端点组 (NEG)：

   gcurl https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/regions/${REGION}/networkEndpointGroups \
   -d "{ \
       'name': '${LB_PREFIX}-neg', \
       'network_endpoint_type': 'private-service-connect', \
       'psc_target_service': '${GATEWAY_URI}' \
   }"
   

   可选字段：

   • 设置 network 字段，以指定 NEG 中网络端点的网络网址。如果未指定，则使用默认项目网络。
   • 设置 subnetwork 字段，以指定 NEG 中网络端点的子网网址。如果未指定，网络端点可以属于创建网络端点组的区域中的任何子网。

3. 运行以下命令，创建基于 NEG 的后端服务并将其连接到 Private Service Connect 服务连接：

   gcurl https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/global/backendServices \
   -d "{ \
       'name': '${LB_PREFIX}-backend-service', \
       'service_protocol': 'HTTPS', \
       'port_name': 'https', \
       'load_balancing_scheme': 'EXTERNAL_MANAGED' \
   }"
   
   gcurl -X PATCH https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/global/backendServices/${LB_PREFIX}-backend-service \
   -d "{ \
       'backends': \
       [{ \
           'group': 'https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/regions/${REGION}/networkEndpointGroups/${LB_PREFIX}-neg' \
       }] \
   }"
   

4. 运行以下命令，为您的网域创建由 Google 管理的证书：

   gcurl https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/global/addresses \
   -d "{ \
       'name': '${LB_PREFIX}-static-ip', \
       'ip_version': 'IPV4' \
   }"
   
   gcurl https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/global/sslCertificates \
   -d "{ \
       'name': '${LB_PREFIX}-ssl-cert', \
       'managed': \
       { \
           'domains': '${DOMAIN_NAME}' \
       }, \
       'type': 'MANAGED' \
   }"
   
   LB_IP=$(gcurl https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/global/addresses/${LB_PREFIX}-static-ip | jq -r '.address')
   

5. 运行以下命令，根据上一步中的后端创建外部应用负载平衡器：

   gcurl https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/global/urlMaps \
   -d "{ \
       'name': '${LB_PREFIX}-map-https', \
       'default_service': 'https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/global/backendServices/${LB_PREFIX}-backend-service' \
   }"
   
   gcurl https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/global/targetHttpsProxies \
   -d "{ \
       'name': '${LB_PREFIX}-https-lb-proxy', \
       'url_map': 'https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/global/urlMaps/${LB_PREFIX}-map-https', \
       'ssl_certificate': 'https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/global/sslCertificates/${LB_PREFIX}-ssl-cert' \
   }"
   
   gcurl https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/global/forwardingRules \
   -d "{ \
       'name': '${LB_PREFIX}-https-lb-forwarding-rule', \
       target: 'https://www.googleapis.com/compute/v1/projects/${PROJECT_NUMBER}/global/targetHttpsProxies/${LB_PREFIX}-https-lb-proxy', \
       'ip_address': '${LB_IP}', \
       'port_range': '443-443', \
       'load_balancing_scheme': 'EXTERNAL_MANAGED' \
   }"
   

   创建外部应用负载平衡器后，您的应用可通过该 IP 地址在互联网上访问。

6. 创建外部应用负载平衡器后，您必须将其 IP 地址与域名相关联，以便 Google Cloud 可以预配 SSL 证书。请按照 DNS 提供商的说明将 IP 地址与 DNS 名称相关联。运行以下命令以检查配置状态：