تُنشأ تطبيقات الويب الخاصة للمستخدمين الداخليين في المؤسسة، مثل الموظفين والمتعاقدين. ويمكن نشر هذه التطبيقات باستخدام خدمة BeyondCorp Enterprise (BCE) في "وحدة تحكُّم المشرف" في Workspace.
إضافة التطبيق إلى حساب Workspace
يمكن استضافة التطبيقات الخاصة على Google Cloud أو مقدّم خدمات سحابة إلكترونية آخر أو مركز بيانات داخل الشركة.
-
سجِّل الدخول إلى وحدة تحكم المشرف في Google.
يُرجى تسجيل الدخول باستخدام حساب المشرف (لا ينتهي بالنطاق gmail.com@).
-
في وحدة تحكُّم المشرف، انتقِل إلى رمز القائمة
التطبيقات
تطبيقات الويب والتطبيقات المتوافقة مع الأجهزة الجوّالة.
- انقر على إضافة تطبيق
- ضمن "تفاصيل التطبيق"، أدخِل اسم التطبيق وعنوان URL الذي يمكن للمستخدمين الوصول إليه.
- اختَر موقع استضافة التطبيق:
- التطبيقات المستضافة على Google Cloud: أدخِل عنوان URL لخدمة Private Service Connect (PSC) ضمن "تفاصيل مضيف التطبيق". لمعرفة التفاصيل، يُرجى الاطّلاع على إعدادات التطبيقات المستضافة على Google Cloud.
- تطبيقات HTTPS المستضافة على مقدّم خدمات سحابة إلكترونية آخر:
- أدخِل عنوان URL الداخلي ورقم المنفذ.
- للحصول على أفضل أداء، اختَر المنطقة الأقرب إلى مكان استضافة التطبيق، ثم اختَر موصلات تطبيقات BeyondCorp Enterprise (BCE) المطلوبة لربط تطبيقك.
- تطبيقات البروتوكول HTTP غير متوافقة.
- لمعرفة التفاصيل، يُرجى الاطّلاع على القسم إعدادات التطبيقات التي يستضيفها مقدّمو خدمات السحابة الإلكترونية الآخرون أو مراكز البيانات داخل الشركة.
- انقر على Add application (إضافة تطبيق).
إعدادات التطبيقات المستضافة على Google Cloud
يمكنك إنشاء عنوان URL لخدمة Private Service Connect (PSC) لربط التطبيقات الخاصة في بيئتك.
لإعداد عنوان URL لخدمة PSC، أنشِئ "جهاز موازنة حمل داخلي" ثم أنشئ مرفق خدمة يستخدم عنوان IP داخليًا.
إنشاء جهاز موازنة حمل داخلي
يجب نشر التطبيقات الخاصة في Google Workspace باستخدام جهاز موازنة الحمل الداخلي مع تفعيل إمكانية الوصول العام. لمعرفة التفاصيل، يُرجى الاطّلاع على نشر خدمة مع الموافقة التلقائية.
إنشاء جهاز موازنة حمل داخلي لمورد Compute أو GKE
- في وحدة تحكم Google Cloud، يُرجى الانتقال إلى صفحة موازنة الحمل.
- انقر على إنشاء جهاز موازنة الحمل.
- انقر على بدء إعداد جهاز موازنة حمل الشبكة (TCP/SSL).
- بالنسبة إلى الأجهزة المتصلة بواجهة الإنترنت أو الداخلية فقط، اختَر بين الأجهزة الافتراضية فقط.
- يُرجى عدم تغيِير القيم التلقائية المتبقية.
- انقر على متابعة.
- أدخِل اسم جهاز موازنة الحمل واختَر المنطقة والشبكة التي سيستخدم الجهاز فيها.
- اختَر علامة التبويب ضبط الواجهة الخلفية.
- اختَر نوع الواجهة الخلفية الخاص بالمورد.
- يُرجى تقديم فحص سلامة الخدمة.
- يُرجى عدم تغيِير القيم التلقائية المتبقية.
- اختَر علامة التبويب ضبط الواجهة الأمامية.
- اختَر تفعيل الوصول العام.
- اختَر الشبكة الفرعية.
- أدخِل رقم المنفذ.
- يُرجى عدم تغيِير القيم التلقائية المتبقية.
- انقر على إنشاء.
إنشاء جهاز موازنة حمل داخلي لمورد Cloud Run
- في وحدة تحكم Google Cloud، يُرجى الانتقال إلى صفحة موازنة الحمل.
- انقر على إنشاء جهاز موازنة الحمل.
- انقر على بدء إعداد جهاز موازنة حمل التطبيقات (HTTP/S).
- اختَر بين الأجهزة الافتراضية فقط أو الخدمات بدون خادم.
- انقر على متابعة.
- أدخِل اسم جهاز موازنة الحمل واختَر المنطقة والشبكة التي سيستخدم الجهاز فيها.
- اختَر علامة التبويب ضبط الواجهة الأمامية.
- اختَر الشبكة الفرعية.
- أكمل الخطوات الظاهرة على الشاشة لحجز شبكة فرعية إذا لم تكن أجريت ذلك مسبقًا.
- اختَر علامة التبويب ضبط الواجهة الخلفية.
- إنشاء خدمة الخلفية أو اختيارها
- في حال إنشاء خدمة، اختَر مجموعة نقاط نهاية الشبكة بدون خادم.
- انقر على إنشاء.
إنشاء عنوان URL لمرفق الخدمة
لإعداد عنوان URL لخدمة PSC، يجب إنشاء مرفق خدمة يستخدم عنوان IP داخلي.
- في وحدة التحكّم في Google Cloud، انتقِل إلى صفحة Private Service Connect.
- انقر على علامة التبويب خدمة النشر .
- انقر على نشر الخدمة.
- اختَر نوع جهاز موازنة الحمل للخدمة التي تريد نشرها:
- جهاز موازنة حمل الشبكة الذي يستخدم نقطة مرور داخلية
- جهاز موازنة حمل الشبكة للخادم الوكيل الداخلي الإقليمي
- جهاز موازنة حمل التطبيق الإقليمي الداخلي
- اختَر جهاز موازنة الحمل الداخلي الذي يستضيف الخدمة التي تريد نشرها.
تتم تعبئة حقلَي الشبكة والمنطقة بتفاصيل جهاز موازنة الحمل الداخلي الذي اخترته. - بالنسبة إلى اسم الخدمة، أدخِل اسمًا لمرفق الخدمة.
- اختَر شبكة فرعية واحدة أو أكثر للخدمة. إذا أردت إضافة شبكة فرعية جديدة، يمكنك إنشاء شبكة فرعية عبر اتباع الخطوات التالية:
- انقر على حجز شبكة فرعية جديدة
- أدخِل اسمًا ووصفًا اختياريًا للشبكة الفرعية.
- اختَر منطقة للشبكة الفرعية.
- أدخِل نطاق IP المطلوب استخدامه للشبكة الفرعية وانقر على إضافة.
- اختَر قبول الاتصالات تلقائيًا.
- انقر على إضافة خدمة.
- انقر على الخدمة المنشورة. يحتوي حقل "مرفق الخدمة" على اسم مرفق الخدمة. عنوان URL هو:
https://www.googleapis.com/compute/v1/SERVICE_ATTACHMENT_NAME
إعدادات التطبيقات التي يستضيفها مقدّمو خدمات السحابة الإلكترونية الآخرون أو مراكز البيانات داخل الشركة
إذا أردت ربط الشبكة السحابية أو الشبكة داخل الشركة بأمان بخدمة Google Cloud، يمكنك إضافة موصِّل تطبيقات.
تسمح لك موصِّلات التطبيقات بربط تطبيقاتك بأمان من خدمات السحابة الإلكترونية الأخرى بخدمة Google بدون استخدام شبكة VPN من موقع إلى موقع.
إنشاء جهاز افتراضي على الشبكة غير التابعة لشركة Google
يجب تثبيت كل وكيل بعيد خاص بموصِّل التطبيقات على جهاز افتراضي (VM) مخصَّص أو أي خادم Bare Metal في البيئة غير التابعة لشركة Google.
- لإنشاء جهاز افتراضي، يمكنك طلب المساعدة من المشرف على الشبكة أو اتّباع التعليمات التي يقدّمها مقدّم خدمات السحابة الإلكترونية.
- ويتطلب أيضًا خدمة Docker على كل جهاز افتراضي أو خادم لتشغيل الوكيل البعيد.
- يُرجى التأكَّد من أنّ جدار حماية شبكة الجهاز الافتراضي (VM) الخاص بالوكيل البعيد يسمح بجميع حركة البيانات الصادرة التي بدأت في المنفذ 443 لنطاق IP IAP-TCP 35.235.240.0/20. يُرجى مراجعة التحقّق من ضبط جدار الحماية للنطاقات الأخرى التي يجب أن يسمح جدار حماية الجهاز الافتراضي (VM) الخاص بالوكيل البعيد بالزيارات الصادرة لها.
إضافة موصِّل تطبيقات وتثبيت الوكيل البعيد
تتطلّب موصِّلات التطبيقات تثبيت وكيل بعيد وتشغيله على كل شبكة غير تابعة لشركة Google تستضيف عليها تطبيقاتك. يبدأ الوكيل البعيد الاتصال الآمن بالشبكة ويحافظ عليه ويوجِّه الزيارات بين Google Workspace والتطبيق.
- إضافة موصِّل تطبيقات:
-
سجِّل الدخول إلى وحدة تحكم المشرف في Google.
يُرجى تسجيل الدخول باستخدام حساب المشرف (لا ينتهي بالنطاق gmail.com@).
-
في وحدة تحكُّم المشرف، انتقِل إلى رمز القائمة
- انقر على علامة التبويب BeyondCorp Enterprise (BCE) Connectors.
- انقر على إضافة موصِّل.
- أدخِل اسمًا للموصل. على سبيل المثال: connect-myapp.
- اختَر منطقة قريبة من البيئة غير التابعة لشركة Google.
- انقر على إضافة موصِّل.
- للاطِّلاع على الحالة، انقر في أعلى يسار الصفحة على
-
- يمكنك إنشاء مثيل جهاز افتراضي (VM) لاستضافة الوكيل البعيد.
يُرجى اتّباع التعليمات التي يقدّمها المشرف على الشبكة أو مقدّم خدمات السحابة الإلكترونية. يُرجى الاطِّلاع على إنشاء جهاز افتراضي على الشبكة غير التابعة لشركة Google. - يجب تثبيت وكيل بعيد.
- انقر على اسم موصِّل التطبيقات.
- انقر على تثبيت وكيل بعيد.
- في بيئة غير تابعة لشركة Google، ثبِّت الوكيل البعيد:
- يمكنك إنشاء مثيل جهاز افتراضي (VM) لاستضافة الوكيل البعيد. يُرجى اتّباع التعليمات التي يقدّمها المشرف على الشبكة أو مقدّم خدمات السحابة الإلكترونية.
- يُرجى تثبيت Docker، حيث أنها خدمة مطلوبة لتشغيل الوكيل البعيد. للحصول على التعليمات، يُرجى مراجعة الوثائق المنشورة على الإنترنت الخاصة بتثبيت Docker Engine.
- يمكنك تثبيت الوكيل البعيد وتسجيله باستخدام أوامر واجهة سطر الأوامر (CLI) المعروضة في صفحة موصِّل تطبيقات Google Workspace.
- يمكنك نسخ ولصق المفتاح العام الذي يُعرض بعد تسجيل الوكيل البعيد بنجاح.
- انقر على حفظ.
من المفترض أن تُظهر صفحة موصِّل التطبيقات أنّه تمت إضافة مفتاح عام بنجاح.
تقييد الوصول والمصادقة
-
سجِّل الدخول إلى وحدة تحكم المشرف في Google.
يُرجى تسجيل الدخول باستخدام حساب المشرف (لا ينتهي بالنطاق gmail.com@).
-
في وحدة تحكُّم المشرف، انتقِل إلى رمز القائمة
- انقر على علامة التبويب التطبيقات ، ثم انقر على تطبيق لفتح صفحة التفاصيل.
- انقر على الإعدادات المتقدِّمة.
- 403 الصفحة المقصودة: يمكنك إدخال عنوان الويب الذي يعاد توجيه المستخدمين إليه إذا رُفض وصولهم إلى التطبيق. يُرجى استخدام التنسيق https://<url>.
- نطاق المصادقة: أدخِل عنوان URL الخاص بالدخول المُوحَّد (SSO) في مؤسستك من أجل السماح للمستخدمين بتسجيل الدخول باستخدام بيانات اعتماد مؤسساتهم. يؤدي ذلك أيضًا إلى رفض وصول المستخدمين الذين ليس لديهم بيانات اعتماد صالحة لنطاق Workspace. يُرجى استخدام التنسيق: sso.your.org.com.
- النطاقات المسموح بها: يمكنك وضع علامة في المربّع تفعيل النطاقات المسموح بها لتقييد وصول المستخدمين إلى النطاقات المحدَّدة فقط. يُرجى الفصل بين الإدخالات بفاصلة. على سبيل المثال: test.your.org.com ,prod.your.org.com
- إعادة المصادقة: يمكنك استخدام هذه الخيارات لمطالبة المستخدمين بإعادة المصادقة بعد فترة زمنية. على سبيل المثال، يمكنك استخدام مفتاح أمان يعمل باللمس أو ميزة "التحقّق بخطوتين".
- تسجيل الدخول: يمكنك مطالبة المستخدمين بإعادة المصادقة باستخدام اسم مستخدم/كلمة مرور بعد تسجيل الدخول للفترة الزمنية المحدّدة.
- مفتاح الأمان: يمكنك مطالبة المستخدمين بإعادة المصادقة باستخدام مفتاح الأمان.
- العوامل الثانية المسجّلة: يمكنك مطالبة المستخدمين بإعادة المصادقة باستخدام إجراء المصادقة الثنائية (2FA).
لمزيد من المعلومات، يُرجى الاطّلاع على إعادة مصادقة الشراء داخل التطبيق.
تحديد عناصر التحكّم في الوصول الواعي بالسياق
يمكنك باستخدام ميزة "الوصول الواعي بالسياق" التحكُّم في التطبيقات الخاصة التي يمكن للمستخدمين الوصول إليها استنادًا إلى السياق المناسب لهم، مثلاً ما إذا كان الجهاز متوافقًا مع سياسة تكنولوجيا المعلومات أم لا.
على سبيل المثال، يمكنك إنشاء سياسات دقيقة للتحكُّم في الوصول إلى التطبيقات التي يمكنها الوصول إلى بيانات Workspace استنادًا إلى سمات مثل هوية المستخدم والموقع الجغرافي وحالة أمان الجهاز وعنوان IP.
لمعرفة التفاصيل، يُرجى الاطّلاع على تحديد مستويات الوصول إلى التطبيقات الخاصة.
