Les applications Web privées sont créées pour les utilisateurs internes d'une organisation, comme les employés et les sous-traitants. Vous pouvez les déployer à l'aide de Chrome Enterprise Premium dans la console d'administration Google.
Ajouter l'application à votre compte Google Workspace
Les applications privées peuvent être hébergées sur Google Cloud, par un autre fournisseur de services cloud ou dans un centre de données sur site.
-
Connectez-vous à la Console d'administration Google.
Connectez-vous avec votre compte administrateur (ne se terminant pas par "@gmail.com").
-
Dans la console d'administration, accédez à Menu
Applications
Applications Web et mobiles.
- Cliquez sur Ajouter une application
- Sous "Informations sur l'application", saisissez le nom de l'application et l'URL permettant aux utilisateurs d'y accéder.
- Spécifiez l'emplacement où votre application est hébergée :
- Applications hébergées sur Google Cloud : saisissez l'URL Private Service Connect (PSC) sous "Application Host Details" (Détails de l'hôte de l'application). Pour en savoir plus, consultez Paramètres des applications hébergées sur Google Cloud.
- Applications HTTPS hébergées par un autre fournisseur de services cloud : saisissez l'URL interne et le numéro de port. Les applications HTTP ne sont pas compatibles. Pour en savoir plus, consultez Paramètres pour les applications hébergées par d'autres fournisseurs de services cloud ou dans des centres de données sur site.
Pour optimiser les performances, sélectionnez la région la plus proche de l'emplacement où l'application est hébergée, puis choisissez les connecteurs d'application requis pour vous connecter à votre application.
- Cliquez sur Add application (Ajouter une application).
Paramètres pour les applications hébergées sur Google Cloud
Créez une URL Private Service Connect (PSC) pour connecter les applications privées de votre environnement.
Pour configurer l'URL PSC, créez un équilibreur de charge interne, puis créez un rattachement de service qui utilise une adresse IP interne.
Créer un équilibreur de charge interne
Les applications privées dans Google Workspace doivent être publiées derrière un équilibreur de charge interne avec l'accès mondial activé. Pour en savoir plus, consultez Publier un service avec approbation automatique.
Créer un équilibreur de charge interne pour une ressource Compute ou GKE
Avant de commencer : Pour établir une communication HTTPS sécurisée, configurez un groupe d'instances pour qu'il diffuse les requêtes sur le port 443. Le groupe d'instances est alors sélectionné dans l'onglet de configuration du backend.
- Dans la console Google Cloud, accédez à la page Équilibrage de charge.
- Cliquez sur Créer un équilibreur de charge.
- Cliquez sur Start Configuration for Network Load Balancer (TCP/SSL) (Démarrer la configuration de l'équilibreur de charge réseau (TCP/SSL)), puis sélectionnez les options suivantes :
- Type d'équilibreur de charge : équilibreur de charge réseau (TCP/UDP/SSL)
- Proxy ou passthrough : passthrough
- Web ou interne uniquement : interne
- Cliquez sur Suivant.
- Cliquez sur Continuer.
- Saisissez le nom de l'équilibreur de charge, puis sélectionnez la région et le réseau dans lesquels vous allez le déployer.
Important : Le réseau que vous choisissez pour l'équilibreur de charge doit être le même que celui utilisé par votre groupe d'instances. - Sélectionnez l'onglet Configuration du backend.
- Protocole : sélectionnez TCP.
- Type de pile d'adresses IP : sélectionnez IPv4.
- Sélectionnez un groupe d'instances.
Pour en créer un, accédez à Groupes d'instances. - Sélectionnez une vérification d'état dans la liste. Pour créer une vérification d'état :
- Sélectionnez Créer une vérification d'état.
- Saisissez le nom de votre vérification d'état (par exemple, ping-port).
- Sélectionnez le champ d'application régional.
- Pour le protocole, choisissez HTTPS.
- Conservez le port 443.
- Dans "Protocole de proxy", sélectionnez AUCUN.
- Pour le chemin d'accès de la requête, laissez "/".
- Activez les journaux.
- Conservez les valeurs par défaut pour les critères de vérification.
- Sélectionnez l'onglet Configuration de l'interface.
- (Facultatif) Saisissez le nom de l'interface.
- Dans "Version IP", sélectionnez IPv4.
- Sélectionnez un sous-réseau.
- Dans le champ "Objectif de l'adresse IP interne", sélectionnez Non partagée.
- Dans "Ports", sélectionnez Unique.
- Saisissez le numéro de port 443.
- Pour "Accès mondial", sélectionnez Activer.
- Sélectionnez l'onglet Vérifier et finaliser pour vérifier les paramètres de configuration de votre équilibreur de charge.
- Cliquez sur Créer.
Créer un équilibreur de charge interne pour une ressource Cloud Run
- Dans la console Google Cloud, accédez à la page Équilibrage de charge.
- Cliquez sur Créer un équilibreur de charge.
- Cliquez sur Start Configuration for application load balancer (HTTP/S) (Démarrer la configuration de l'équilibreur de charge d'application (HTTP/S)) et sélectionnez les options suivantes.
- Type d'équilibreur de charge : équilibreur de charge d'application (HTTP/HTTPS)
- Web ou interne uniquement : interne
- Déploiement interrégional ou dans une seule région : dans une seule région
- Cliquez sur Suivant.
- Cliquez sur Configurer.
- Saisissez le nom de l'équilibreur de charge, puis sélectionnez la région et le réseau dans lesquels il sera déployé.
- Sélectionnez l'onglet Configuration du backend.
- Créez ou sélectionnez le service de backend.
- Si vous créez un service, sélectionnez le type de backend Groupe de points de terminaison du réseau sans serveur, puis un groupe de points de terminaison du réseau.
- Si vous ne possédez pas de point de terminaison du réseau sans serveur, sélectionnez l'option pour en créer un.
Avant de créer le groupe de points de terminaison du réseau sans serveur, créez un service Cloud Run vers lequel le groupe de points de terminaison pointera.
- Sélectionnez l'onglet Configuration de l'interface.
- Protocole : sélectionnez HTTPS.
- Sélectionnez le sous-réseau.
- Suivez les instructions à l'écran pour réserver un sous-réseau, si ce n'est pas déjà fait.
- Activez l'accès mondial.
- Pour le certificat, vous pouvez choisir d'en créer un ou de sélectionner un certificat existant.
- Cliquez sur Créer.
Créer l'URL du rattachement de service
Pour configurer l'URL PSC, créez un rattachement de service qui utilise une adresse IP interne.
- Dans la console Google Cloud, accédez à la page Private Service Connect.
- Cliquez sur l'onglet Publier le service.
- Cliquez sur Publier le service.
- Sélectionnez le type d'équilibreur de charge pour le service que vous souhaitez publier :
- Équilibreur de charge réseau passthrough interne
- Équilibreur de charge réseau proxy interne régional
- Équilibreur de charge d'application interne régional
- Sélectionnez l'équilibreur de charge interne qui héberge le service que vous souhaitez publier.
Les champs de réseau et de région sont renseignés avec les détails de l'équilibreur de charge interne sélectionné. - Dans le champ Nom du service, saisissez le nom du rattachement de service.
- Sélectionnez un ou plusieurs sous-réseaux pour le service. Si vous souhaitez ajouter un sous-réseau, vous pouvez en créer un :
- Cliquez sur Réserver un nouveau sous-réseau.
- Saisissez un nom et une description facultative pour le sous-réseau.
- Sélectionnez une région pour le sous-réseau.
- Saisissez la plage d'adresses IP à utiliser pour le sous-réseau, puis cliquez sur Ajouter.
- Dans "Préférences de connexion", sélectionnez Automatically accept all connections (Accepter automatiquement toutes les connexions).
- Cliquez sur Ajouter un service.
- Cliquez sur le service publié. Renseignez le nom du rattachement de service dans le champ Rattachement de service pour créer l'URL :
https://www.googleapis.com/compute/v1/NOM_RATTACHEMENT_SERVICE - Saisissez l'URL lorsque vous ajoutez votre application privée dans Google Workspace. Consultez Ajouter l'application à votre compte Workspace.
Paramètres pour les applications hébergées par d'autres fournisseurs de services cloud ou dans des centres de données sur site
Pour connecter de manière sécurisée votre réseau cloud ou sur site au cloud Google, ajoutez un connecteur d'application.
Les connecteurs d'application vous permettent de connecter de manière sécurisée votre application à Google depuis d'autres clouds sans VPN de site à site.
Créer une VM sur le réseau autre que Google
Vous devez installer l'agent distant de chaque connecteur d'application sur une machine virtuelle (VM) dédiée ou sur n'importe quel serveur Bare Metal dans l'environnement autre que Google.
- Pour créer la VM, demandez de l'aide à votre administrateur réseau ou suivez les instructions fournies par votre fournisseur de services cloud.
- Pour exécuter l'agent distant, utilisez Docker sur chaque VM ou serveur.
- Assurez-vous que le pare-feu de réseau de la VM de l'agent distant autorise tout le trafic sortant initié sur le port 443 pour la plage d'adresses IP IAP-TCP 35.235.240.0/20. Consultez Vérifier la configuration du pare-feu pour les autres domaines dans lesquels le pare-feu de la VM de l'agent distant doit autoriser le trafic sortant.
Ajouter un connecteur d'application et installer l'agent distant
-
Ajoutez un connecteur d'application :
-
Connectez-vous à la Console d'administration Google.
Connectez-vous avec votre compte administrateur (ne se terminant pas par "@gmail.com").
-
Dans la console d'administration, accédez à Menu
- Cliquez sur l'onglet Connecteurs BeyondCorp Enterprise (BCE).
- Cliquez sur Ajouter un connecteur.
- Entrez un nom de connecteur. Exemple : connect-myapp.
- Sélectionnez une région proche de l'environnement autre que Google.
- Cliquez sur Ajouter un connecteur.
- Pour afficher l'état, cliquez sur
-
- Créez une instance de VM pour héberger l'agent distant.
Suivez les instructions fournies par votre administrateur réseau ou votre fournisseur de services cloud. Consultez Créer une VM sur le réseau autre que Google. - Installez un agent distant.
- Cliquez sur le nom du connecteur d'application.
- Cliquez sur Installer l'agent distant.
- Dans l'environnement autre que Google, installez l'agent distant :
- Créez une instance de machine virtuelle (VM) pour héberger l'agent distant. Suivez les instructions fournies par votre administrateur réseau ou votre fournisseur de services cloud.
- Installez Docker, qui est nécessaire pour exécuter l'agent distant. Pour obtenir des instructions, consultez la documentation en ligne sur l'installation de Docker Engine.
- Installez et enregistrez l'agent distant à l'aide des commandes de la CLI affichées sur la page du connecteur d'application Google Workspace.
- Copiez et collez la clé publique qui s'affiche une fois l'agent distant enregistré.
- Cliquez Enregistrer.
La page du connecteur d'application doit indiquer qu'une clé publique a bien été ajoutée.
Restreindre l'accès et l'authentification
-
Connectez-vous à la Console d'administration Google.
Connectez-vous avec votre compte administrateur (ne se terminant pas par "@gmail.com").
-
Dans la console d'administration, accédez à Menu
- Cliquez sur l'onglet Applications, puis sur une application pour ouvrir sa page d'informations.
- Cliquez sur Paramètres avancés.
- Page de destination 403 : saisissez l'adresse Web vers laquelle les utilisateurs seront redirigés s'ils se voient refuser l'accès à l'application. Utilisez le format https://<url>.
- Domaine d'authentification : saisissez l'URL d'authentification unique (SSO) de votre organisation pour permettre aux utilisateurs de se connecter à l'aide de leurs identifiants professionnels. Cela permet aussi de refuser l'accès aux utilisateurs qui ne disposent pas d'identifiants valides pour votre domaine Google Workspace. Utilisez le format sso.votre.org.com.
- Domaines autorisés : cochez l'option Activer les domaines autorisés pour limiter l'accès des utilisateurs aux domaines spécifiés. Séparez les entrées par une virgule. Par exemple: test.votre.org.com, prod.votre.org.com.
- Réauthentification : utilisez ces options pour exiger que les utilisateurs s'authentifient à nouveau après un certain temps. Par exemple, vous pouvez utiliser une clé de sécurité tactile ou la validation en deux étapes.
- Connexion : demandez aux utilisateurs de s'authentifier à nouveau à l'aide d'un nom d'utilisateur/mot de passe après avoir été connectés pendant la durée spécifiée.
- Clé sécurisée : demandez aux utilisateurs de s'authentifier à nouveau à l'aide de leur clé de sécurité.
- Seconds facteurs enregistrés: exigez que les utilisateurs s'authentifient de nouveau à l'aide d'une méthode d'authentification à deux facteurs (A2F).
Pour en savoir plus, consultez Réauthentification IAP.
Attribuer un contrôle des accès contextuels
Grâce à l'accès contextuel, vous pouvez contrôler les applications privées auxquelles un utilisateur peut accéder en fonction de son contexte, par exemple la conformité de son appareil avec vos règles informatiques.
Par exemple, vous pouvez créer des règles précises de contrôle des accès pour les applications qui accèdent aux données Google Workspace, sur la base d'attributs tels que l'identité de l'utilisateur, son emplacement, le niveau de sécurité de l'appareil et son adresse IP.
Pour en savoir plus, consultez Attribuer des niveaux d'accès aux applications privées.
