使用 IAP 进行 TCP 转发

控制台

如需允许 RDP 和 SSH 访问网络中的所有虚拟机实例，请执行以下操作：

1. 打开“防火墙规则”页面。

   打开“防火墙规则”页面

   其余步骤会显示在 Google Cloud 控制台中。

2. 选择一个 Google Cloud 项目。
3. 在“防火墙规则”页面上，点击创建防火墙规则。
4. 配置以下设置：
   • 名称：allow-ingress-from-iap
   • 流量方向：入站
   • 目标：网络中的所有实例
   • 来源过滤条件：IP 地址范围
   • 来源 IP 地址范围：35.235.240.0/20
   • 协议和端口：选择 TCP，然后输入 3389,22 以允许 RDP 和 SSH。
5. 点击创建。

gcloud

如需允许 RDP 访问网络中的所有虚拟机实例，请运行：

gcloud compute firewall-rules create allow-rdp-ingress-from-iap \
  --direction=INGRESS \
  --action=allow \
  --rules=tcp:3389 \
  --source-ranges=35.235.240.0/20

对于 SSH 访问，请运行：

gcloud compute firewall-rules create allow-ssh-ingress-from-iap \
  --direction=INGRESS \
  --action=allow \
  --rules=tcp:22 \
  --source-ranges=35.235.240.0/20

对于其他协议，运行

gcloud compute firewall-rules create allow-ingress-from-iap \
  --direction=INGRESS \
  --action=allow \
  --rules=tcp:PORT \
  --source-ranges=35.235.240.0/20

其中 PORT 是协议使用的端口。

控制台

1. 在 Google Cloud 控制台中打开 IAM 和管理页面。

   打开“IAM 和管理”页面

   其余步骤会显示在 Google Cloud 控制台中。

2. 在 IAM 和管理页面上，点击添加并配置以下内容：
   • 新主账号：指定您要为其授予访问权限的用户或群组。
   • 选择角色：选择 Cloud IAP > IAP-Secured Tunnel User。
3. （可选）点击添加条件并配置条件：
   • 标题：输入条件的名称。
   • 表达式：输入用户必须满足才能获取 IAP-Secured Tunnel User 角色提供的权限的条件。

   例如，以下 CEL 表达式仅授予对端口 22 的访问权限：

   destination.port == 22

4. 点击添加其他角色并配置以下内容：
   • 选择角色：选择 Compute Engine > Compute Instance Admin (v1)。
5. 点击保存。

gcloud

通过运行以下命令为用户授予这两个角色：

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=user:EMAIL \
    --role=roles/iap.tunnelResourceAccessor
gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=user:EMAIL \
    --role=roles/compute.instanceAdmin.v1

替换以下内容：

• PROJECT_ID：项目的 ID
• EMAIL：您要授予访问权限的用户的电子邮件地址，例如 user@example.com。

控制台

1. 打开 IAP 管理页面，然后选择 SSH 和 TCP 资源标签页。

   打开 IAP 管理页面

   其余步骤会显示在 Google Cloud 控制台中。

2. 在 IAP 管理页面的 SSH 和 TCP 资源标签页上，选择您要配置的虚拟机实例。
3. 如果信息面板未显示，请点击显示信息面板。

4. 点击添加主账号并配置以下各项：

   • 新主账号：指定您要为其授予访问权限的用户或群组。
   • 选择角色：选择 Cloud IAP > IAP-Secured Tunnel User。

5. （可选）点击添加条件并配置条件：

   • 标题：输入条件的名称。
   • 表达式：输入用户必须满足才能获取 IAP-Secured Tunnel User 角色提供的权限的条件。

   例如，以下 CEL 表达式仅授予对端口 22 的访问权限：

         destination.port == 22

   您还可以根据访问权限级别授予访问权限：

       destination.port == 22 &&
       "FULL_ACCESS_LEVEL_NAME" in request.auth.access_levels

   其中 FULL_ACCESS_LEVEL_NAME 是现有的访问权限级别，并使用以下格式：

   accessPolicies/POLICY_NAME/accessLevels/ACCESS_LEVEL_NAME

6. 点击保存。

API

如需编辑应用的 policy.json 文件，请执行以下过程。如需详细了解如何使用 IAM API 管理访问权限政策，请参阅管理对受 IAP 保护的资源的访问权限。

1. 导出以下变量。

   export IAP_BASE_URL=https://iap.googleapis.com/v1/projects/PROJECT_NUMBER/iap_tunnel
   # Replace POLICY_FILE.JSON with the name of JSON file to use for setIamPolicy
   export JSON_NEW_POLICY=POLICY_FILE.JSON
   

2. 使用 getIamPolicy 方法获取 Compute Engine 实例的 IAM 政策。最后的空数据位表示将 curl 请求转换为 POST，而不是 GET。

   curl -i -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        ${IAP_BASE_URL}/zones/ZONE_NAME/instances/INSTANCE_ID or INSTANCE_NAME:getIamPolicy \
        -d ''

3. 通过修改 IAM 政策 JSON 文件，为您的正文授予 iap.tunnelResourceAccessor 角色。
   

4. （可选）根据 IAM 条件和访问权限级别，仅向满足特定条件的主账号授予该角色。

   以下是经过修改的 policy.json 文件的示例，该文件会将 iap.tunnelResourceAccessor 角色授予一组虚拟机实例管理员，并为他们授予对受 IAP 保护的隧道资源的访问权限。示例中添加了 IAM Conditions，利用 destination.ip 和 destination.port IAM Conditions，仅允许虚拟机实例管理员组中端口 22 上具有专用 IP 地址 10.0.0.1 的正文访问资源。它们还必须满足 ACCESS_LEVEL_NAME 访问权限级层的要求。

   请注意，如果主账号具有 Owner 角色，他们就有权使用 IAP 进行 TCP 转发。

   
   policy.json 文件示例

   {
     "policy": {
       "bindings": [
         {
           "role": "roles/iap.tunnelResourceAccessor",
           "members": ["group:instance-admins@example.com"],
           "condition": {
             "expression": "\"accessPolicies/POLICY_NAME/accessLevels/ACCESS_LEVEL_NAME\" in request.auth.access_levels && destination.ip == \"10.0.0.1\" && destination.port == 22",
             "title": "CONDITION_NAME"
           }
         }
       ]
     }
   }

   如需查找政策名称，请调用 accessPolicies.list：

   GET https://accesscontextmanager.googleapis.com/v1/accessPolicies
   

   1. 使用 setIamPolicy 方法设置新的 policy.json 文件。

      curl -i -H "Content-Type:application/json" \
             -H "Authorization: Bearer $(gcloud auth print-access-token)" \
             ${IAP_BASE_URL}/zones/ZONE_NAME/instances/INSTANCE_ID or INSTANCE_NAME:setIamPolicy \
             -d @${JSON_NEW_POLICY}