对 SaaS 应用的安全访问

本页将引导您完成通过 Chrome 企业进阶版安全网关保护 SaaS 应用的过程。

Chrome 企业进阶版安全网关充当正向代理，可强制执行零信任访问框架，并根据情境对哪些人可以访问您的 SaaS 应用进行精细的控制。

如何保障对 SaaS 应用的访问安全

下面简要介绍了安全网关如何保护您的 SaaS 应用：

  1. 客户端浏览器设置通过安全网关代理路由应用流量。
  2. 安全网关会检查情境感知访问权限政策，以授权客户端（用户和设备）访问。
  3. 如果允许客户端访问，网关会使用分配给该网关和 Google Cloud区域的唯一源 IP 地址将流量转发到应用。这些分配的 IP 地址专为所创建的网关预留，不能供其他用户或网关使用。如需控制访问权限，您可以将这些专用来源 IP 地址添加到 SaaS 应用的许可名单中。

所需的角色

请让管理员授予以下角色：

详细了解 Identity and Access Management (IAM) 角色。

准备工作

在设置安全网关之前，请确认您已具备以下条件：

限制

Chrome 企业进阶版安全网关存在以下限制：

  • IPv6 连接：Chrome 企业进阶版安全网关不支持使用 IPv6 连接的 SaaS 应用。
  • 作为 SaaS 应用的身份提供方：如果最终用户通过安全网关进行的身份验证依赖于同一 IdP，则不得将身份提供方配置为受安全网关保护的 SaaS 应用。

设置 shell 环境

为了简化设置流程并与安全网关 API 进行交互，请在工作 shell 中定义以下环境变量。

  • 常规参数

    PROJECT_ID=PROJECT_ID
APPLICATION_ID=APPLICATION_ID
APPLICATION_DISPLAY_NAME="APPLICATION_DISPLAY_NAME"
HOST_NAME=HOST_NAME

    替换以下内容：

    • PROJECT_ID：创建安全网关的项目的 ID。
    • APPLICATION_ID：您的应用的 ID，例如 github。名称最多可包含 63 个字符，并且可以包含小写字母、数字和连字符。第一个字符必须是字母，最后一个字符可以是字母或数字。
    • APPLICATION_DISPLAY_NAME：要显示的直观易懂的名称。

    • HOST_NAME：应用的 hostname。例如 github.com。主机名不得超过 253 个字符，并且必须遵循以下格式之一：

      • 有效的 IPv4 地址
      • 有效的 IPv6 地址
      • 有效的 DNS 名称
      • 星号 (*)
      • 星号 (*) 后跟有效的 DNS 名称

  • 安全网关参数

    SECURITY_GATEWAY_ID=SECURITY_GATEWAY_ID
SECURITY_GATEWAY_DISPLAY_NAME="SECURITY_GATEWAY_DISPLAY_NAME"

    替换以下内容：

    • SECURITY_GATEWAY_ID：安全网关的 ID。ID 最多可包含 63 个字符，并且可以包含小写字母、数字和连字符。第一个字符应为字母，最后一个字符可以是字母或数字。
    • SECURITY_GATEWAY_DISPLAY_NAME：安全网关的人类可读名称。名称不得超过 63 个字符，并且只能包含可打印的字符。

创建安全网关

Chrome 企业进阶版安全网关是建立与应用的安全连接的基本构建块。它会分配专用项目和网络，从而提供隔离和安全性。

控制台

如需创建安全网关资源，请执行以下操作：

  1. 在 Google Cloud 控制台中，前往安全网关页面。
    前往安全网关
  2. 选择要为其创建安全网关的项目。
  3. 如需创建安全网关，请点击创建新网关，然后等待网关创建过程完成。
  4. 您可以在 Google Cloud 控制台的“通知”部分中跟踪进度。
  5. 在创建 SaaS 应用资源之前，我们建议您先创建 SaaS 出站流量 hub。hubs 标志表示启用出站连接到目标应用所需的区域级资源。您可以为每个区域配置一个 Hub，每个 Hub 提供两个 IP 地址。一个安全网关最多可包含 20 个 hub。您可以指定以下区域：
    • africa-south1
    • asia-east1
    • asia-east2
    • asia-northeast1
    • asia-northeast2
    • asia-northeast3
    • asia-south1
    • asia-south2
    • asia-southeast1
    • asia-southeast2
    • asia-southeast3
    • australia-southeast2
    • europe-central2
    • europe-north1
    • europe-north2
    • europe-southwest1
    • europe-west1
    • europe-west10
    • europe-west12
    • europe-west2
    • europe-west3
    • europe-west4
    • europe-west6
    • europe-west8
    • europe-west9
    • me-central1
    • me-central2
    • me-west1
    • northamerica-northeast1
    • northamerica-northeast2
    • northamerica-south1
    • southamerica-east1
    • southamerica-west1
    • us-central1
    • us-central2
    • us-east1
    • us-east4
    • us-east5
    • us-east7
    • us-south1
    • us-west1
    • us-west2
    • us-west3
    • us-west4
    • us-west8
  6. 在 Google Cloud 控制台中，前往 SaaS 出站流量中心页面。
    前往“SaaS 出站流量 hub”
  7. 选择要为其创建 SaaS 出站流量 hub 的项目。
  8. 如需添加 SaaS 出站流量 hub，请点击添加 SaaS 出站流量 hub。
  9. 从下拉列表中，选择要添加出站流量枢纽的区域。如需添加出站流量 hub，请点击添加 SaaS 出站流量 hub 以添加多个 hub。完成后，点击“保存”以创建出站枢纽。

gcloud

如需创建安全网关资源，请运行以下命令。对于 --hubs 标志，请指定以下列表中的一个或多个区域。

gcloud beyondcorp security-gateways create SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --display-name="SECURITY_GATEWAY_DISPLAY_NAME" \
    --hubs=us-central1 \
    --service-discovery={}

hubs 标志用于设置启用出站连接到目标应用所需的区域级资源。每个区域可以有一个 hub，每个 hub 提供两个 IP 地址。一个安全网关最多可包含 20 个 hub。您可以指定以下区域：

  • africa-south1
  • asia-east1
  • asia-east2
  • asia-northeast1
  • asia-northeast2
  • asia-northeast3
  • asia-south1
  • asia-south2
  • asia-southeast1
  • asia-southeast2
  • asia-southeast3
  • australia-southeast2
  • europe-central2