Usar IAP para reenviar TCP

Consola

Para permitir el acceso RDP y SSH a todas las instancias de VM de tu red, haz lo siguiente:

1. Abre la página Reglas de cortafuegos.

   Abrir la página Reglas de cortafuegos

   Los pasos restantes aparecen en la Google Cloud consola.

2. Selecciona un Google Cloud proyecto.
3. En la página Reglas de cortafuegos, haz clic en Crear regla de cortafuegos.
4. Configure los siguientes ajustes:
   • Nombre: allow-ingress-from-iap
   • Sentido del tráfico: Entrada
   • Destino: Todas las instancias de la red
   • Filtro de origen: intervalos de IP
   • Intervalos de IPs de origen: 35.235.240.0/20
   • Protocolos y puertos: selecciona TCP e introduce 3389,22 para permitir tanto RDP como SSH.
5. Haz clic en Crear.

gcloud

Para permitir el acceso RDP a todas las instancias de VM de tu red, ejecuta el siguiente comando:

gcloud compute firewall-rules create allow-rdp-ingress-from-iap \
  --direction=INGRESS \
  --action=allow \
  --rules=tcp:3389 \
  --source-ranges=35.235.240.0/20

Para acceder por SSH, ejecuta el siguiente comando:

gcloud compute firewall-rules create allow-ssh-ingress-from-iap \
  --direction=INGRESS \
  --action=allow \
  --rules=tcp:22 \
  --source-ranges=35.235.240.0/20

Para otros protocolos, ejecuta

gcloud compute firewall-rules create allow-ingress-from-iap \
  --direction=INGRESS \
  --action=allow \
  --rules=tcp:PORT \
  --source-ranges=35.235.240.0/20

donde PORT es el puerto que usa el protocolo.

Consola

1. Abre la página IAM y administración en la Google Cloud consola.

   Abre la página IAM y administración

   Los pasos restantes aparecen en la Google Cloud consola.

2. En la página IAM y administración, haga clic en Añadir y configure lo siguiente:
   • Nuevas entidades principales: especifica el usuario o el grupo al que quieras conceder acceso.
   • Selecciona un rol: Cloud IAP > Usuario de túneles protegidos mediante IAP.
3. También puedes hacer clic en Añadir condición y configurar una condición:
   • Título: introduce un nombre para la condición.
   • Expresión: introduce una condición que debe cumplir un usuario para obtener los permisos del rol Usuario de túneles protegidos mediante IAP.

   Por ejemplo, la siguiente expresión CEL solo concede acceso al puerto 22:

   destination.port == 22

4. Haz clic en Añadir otro rol y configura lo siguiente:
   • Selecciona un rol: elige Compute Engine > Administrador de instancias de Compute (v1).
5. Haz clic en Guardar.

gcloud

Asigna los dos roles al usuario ejecutando los siguientes comandos:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=user:EMAIL \
    --role=roles/iap.tunnelResourceAccessor
gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=user:EMAIL \
    --role=roles/compute.instanceAdmin.v1

Haz los cambios siguientes:

• PROJECT_ID: ID del proyecto
• EMAIL: dirección de correo del usuario al que quieres conceder acceso, por ejemplo, user@example.com.

Consola

1. Abre la página de administración de IAP y selecciona la pestaña Recursos SSH y TCP.

   Abrir la página de administración de IAP

   Los pasos restantes aparecen en la Google Cloud consola.

2. En la pestaña Recursos SSH y TCP de la página de administrador de IAP, selecciona las instancias de VM que quieras configurar.
3. Haz clic en Mostrar panel de información si no lo ves.

4. Haz clic en Añadir principal y configura lo siguiente:

   • Nuevas entidades principales: especifica el usuario o el grupo al que quieras conceder acceso.
   • Selecciona un rol: Cloud IAP > Usuario de túneles protegidos mediante IAP.

5. También puedes hacer clic en Añadir condición y configurar una condición:

   • Título: introduce un nombre para la condición.
   • Expresión: introduce una condición que debe cumplir un usuario para obtener los permisos del rol Usuario de túneles protegidos mediante IAP.

   Por ejemplo, la siguiente expresión CEL solo concede acceso al puerto 22:

         destination.port == 22

   También puedes conceder acceso en función del nivel de acceso:

       destination.port == 22 &&
       "FULL_ACCESS_LEVEL_NAME" in request.auth.access_levels

   Donde FULL_ACCESS_LEVEL_NAME es un nivel de acceso que ya existe y tiene el siguiente formato:

   accessPolicies/POLICY_NAME/accessLevels/ACCESS_LEVEL_NAME

6. Haz clic en Guardar.

API

Para editar el archivo policy.json de tu aplicación, sigue el proceso que se indica a continuación. Consulta Gestionar el acceso a recursos protegidos por IAP para obtener más información sobre cómo usar la API IAM para gestionar políticas de acceso.

1. Exporta las siguientes variables.

   export IAP_BASE_URL=https://iap.googleapis.com/v1/projects/PROJECT_NUMBER/iap_tunnel
   # Replace POLICY_FILE.JSON with the name of JSON file to use for setIamPolicy
   export JSON_NEW_POLICY=POLICY_FILE.JSON
   

2. Obtén la política de gestión de identidades y accesos de la instancia de Compute Engine mediante el método getIamPolicy. El bit de datos vacío al final convierte la solicitud curl en POST en lugar de GET.

   curl -i -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        ${IAP_BASE_URL}/zones/ZONE_NAME/instances/INSTANCE_ID or INSTANCE_NAME:getIamPolicy \
        -d ''

3. Asigna el rol iap.tunnelResourceAccessor a tus principales modificando el archivo JSON de la política de IAM.
   

4. Opcionalmente, puedes conceder el rol solo a los principales que cumplan criterios específicos, en función de las condiciones de gestión de identidades y accesos (IAM) y los niveles de acceso.

   A continuación, se muestra un ejemplo de un archivo policy.json editado que asigna el rol iap.tunnelResourceAccessor a un grupo de administradores de instancias de VM, lo que les da acceso a recursos de túnel protegidos por IAP. Se ha añadido una condición de gestión de identidades y accesos (IAM) para que los recursos solo sean accesibles para las cuentas principales del grupo de administradores de instancias de VM con una dirección IP privada 10.0.0.1 en el puerto 22 mediante las condiciones de IAM destination.ip y destination.port. También deben cumplir los requisitos del ACCESS_LEVEL_NAME nivel de acceso.

   Ten en cuenta que, si una entidad tiene el rol Propietario, tiene permiso para usar IAP para el reenvío de TCP.

   
   Archivo policy.json de ejemplo

   {
     "policy": {
       "bindings": [
         {
           "role": "roles/iap.tunnelResourceAccessor",
           "members": ["group:instance-admins@example.com"],
           "condition": {
             "expression": "\"accessPolicies/POLICY_NAME/accessLevels/ACCESS_LEVEL_NAME\" in request.auth.access_levels && destination.ip == \"10.0.0.1\" && destination.port == 22",
             "title": "CONDITION_NAME"
           }
         }
       ]
     }
   }

   Para buscar el nombre de una política , llama a accessPolicies.list:

   GET https://accesscontextmanager.googleapis.com/v1/accessPolicies
   

5. Define tu nuevo archivo policy.json con el método setIamPolicy.

   curl -i -H "Content-Type:application/json" \
             -H "Authorization: Bearer $(gcloud auth print-access-token)" \
             ${IAP_BASE_URL}/zones/ZONE_NAME/instances/INSTANCE_ID or INSTANCE_NAME:setIamPolicy \
             -d @${JSON_NEW_POLICY}

Consola

Para conectarte a tu instancia, usa el botón SSH de la consolaGoogle Cloud . La configuración de acceso de tu instancia (definida mediante permisos de gestión de identidades y accesos) debe permitir el túnel TCP a través de IAP.

gcloud

Para conectarte a tu instancia, usa el comando gcloud compute ssh. La configuración de acceso de tu instancia (definida mediante permisos de gestión de identidades y accesos) debe permitir el túnel TCP a través de IAP.

gcloud compute ssh INSTANCE_NAME

Sustituye INSTANCE_NAME por el nombre de la instancia a la que quieras acceder mediante SSH.

Si la instancia no tiene una dirección IP externa, la conexión usará automáticamente el túnel TCP de IAP. Si la instancia tiene una dirección IP externa, la conexión usa la dirección IP externa en lugar del túnel TCP de IAP.

Puedes usar la marca --tunnel-through-iap para que gcloud compute ssh siempre use el túnel TCP de IAP.

Usa la marca --internal-ip para que gcloud compute ssh nunca use el túnel TCP de IAP y, en su lugar, se conecte directamente a la IP interna de la VM. Esto es útil para los clientes que están conectados a la misma red de VPC que la VM de destino.

IAP Desktop

Puedes usar IAP Desktop para conectarte a una instancia de VM mediante SSH y el reenvío de TCP de IAP.

1. En la aplicación, selecciona Archivo > Añadir proyecto de Google Cloud.