Utilitzar Google Cloud IAP per crear connexions sense agent

Aquesta guia descriu la creació d’una connexió sense agent cap a una VM Linux de Google Cloud a través d’Identity-Aware Proxy (IAP). Cyberwatch s’hi connecta per SSH mitjançant un túnel IAP, sense que la VM necessiti una adreça IP pública.

Requisits previs

Aquesta documentació pressuposa:

  • una VM Linux a Google Compute Engine
  • un compte de servei de Google Cloud
  • els drets suficients per modificar els rols IAM, les regles de tallafoc i les metadades del projecte

Configuració a Google Cloud

Activar OS Login a la VM

Cyberwatch s’autentica a la VM amb OS Login. Afegiu la metadada enable-oslogin amb el valor TRUE, a la VM o a tot el projecte.

Si la VM està associada a un compte de servei, afegiu el rol roles/iam.serviceAccountUser al compte de servei de la VM per autoritzar el compte de servei que utilitza Cyberwatch a connectar-se a la màquina.

Configurar els permisos del compte de servei

Assigneu al compte de servei que utilitza Cyberwatch un rol amb els dos permisos següents:

compute.instances.osAdminLogin
iap.tunnelInstances.accessViaIAP

Accions que cal fer a Cyberwatch

Desar les credencials

Deseu la clau JSON del compte de servei des del menú Credencials desades de la barra lateral, fent clic a Afegeix i seleccionant el tipus Google Cloud Platform.

Afegir la connexió sense agent

  1. Feu clic a Gestió d’actius > Connexions sense agent > Afegeix
  2. Seleccioneu el protocol d’accés Google Cloud IAP
  3. Indiqueu el Projecte, la Zona i el Nom de la VM
  4. Seleccioneu el joc de credencials de Google Cloud Platform
  5. Feu clic a Desa

Aquest tipus de connexió sense agent s’ha d’autoritzar al menú Administració > Gestió de connectors marcant la casella Google Cloud IAP.

Aclariments:

  • Només s’admeten els actius Linux
  • El servidor intermediari HTTP de les credencials s’utilitza per a les crides a l’API de Google, però no per al túnel IAP: l’escàner ha de poder arribar directament a tunnel.cloudproxy.app pel port TCP 443
  • La connexió SSH sempre passa pel port 22 de la primera interfície de xarxa (nic0) de la VM