Usar Google Cloud IAP para crear conexiones sin agente

Esta guía describe la creación de una conexión sin agente hacia una VM Linux de Google Cloud a través de Identity-Aware Proxy (IAP). Cyberwatch se conecta a ella por SSH mediante un túnel IAP, sin que la VM necesite una dirección IP pública.

Requisitos previos

Esta documentación asume:

  • una VM Linux en Google Compute Engine
  • una cuenta de servicio de Google Cloud
  • permisos suficientes para modificar los roles IAM, las reglas de cortafuegos y los metadatos del proyecto

Configuración en Google Cloud

Activar OS Login en la VM

Cyberwatch se autentica en la VM con OS Login. Añadir el metadato enable-oslogin con el valor TRUE, en la VM o en todo el proyecto.

Si la VM está asociada a una cuenta de servicio, añadir el rol roles/iam.serviceAccountUser a la cuenta de servicio de la VM para autorizar a la cuenta de servicio utilizada por Cyberwatch a conectarse a la máquina.

Configurar los permisos de la cuenta de servicio

Asignar a la cuenta de servicio utilizada por Cyberwatch un rol con los dos permisos siguientes:

compute.instances.osAdminLogin
iap.tunnelInstances.accessViaIAP

Acciones a realizar en Cyberwatch

Guardar las credenciales

Guardar la clave JSON de la cuenta de servicio desde el menú Credenciales guardadas de la barra lateral, haciendo clic en Añadir y seleccionando el tipo Google Cloud Platform.

Añadir la conexión sin agente

  1. Hacer clic en Gestión de activos > Conexiones sin agente > Añadir
  2. Seleccionar el protocolo de acceso Google Cloud IAP
  3. Introducir el Proyecto, la Zona y el Nombre de la VM
  4. Seleccionar el conjunto de credenciales de Google Cloud Platform
  5. Hacer clic en Guardar

Este tipo de conexión sin agente debe estar autorizado en el menú Administración > Gestión de conectores marcando la casilla Google Cloud IAP.

Precisiones:

  • Solo se admiten activos Linux
  • El proxy HTTP de las credenciales se utiliza para las llamadas a la API de Google, pero no para el túnel IAP: el escáner debe poder acceder directamente a tunnel.cloudproxy.app en TCP 443
  • La conexión SSH pasa siempre por el puerto 22 de la primera interfaz de red (nic0) de la VM