Aplikasi web pribadi dibuat untuk pengguna internal organisasi, seperti karyawan dan kontraktor. Aplikasi ini dapat di-deploy menggunakan BeyondCorp Enterprise (BCE) di konsol Admin Workspace.
Menambahkan aplikasi ke akun Workspace Anda
Aplikasi pribadi dapat dihosting di Google Cloud, penyedia cloud lain, atau pusat data lokal.
-
Login ke Konsol Google Admin.
Login menggunakan akun administrator (bukan yang diakhiri dengan @gmail.com).
-
Di konsol Admin, buka Menu
Aplikasi
Aplikasi seluler dan web.
- Klik Tambahkan aplikasi
- Di bagian Detail Aplikasi, masukkan URL dan nama aplikasi tempat pengguna dapat mengakses aplikasi.
- Pilih tempat aplikasi Anda dihosting:
- Aplikasi yang dihosting di Google Cloud—Masukkan URL Private Service Connect (PSC) di bagian Detail Host Aplikasi. Untuk mengetahui detailnya, lihat Setelan untuk aplikasi yang dihosting di Google Cloud.
- Aplikasi HTTPS yang dihosting di penyedia cloud lain:
- Masukkan URL internal dan nomor port.
- Untuk mendapatkan performa terbaik, pilih region terdekat dengan tempat aplikasi dihosting, lalu pilih konektor aplikasi BeyondCorp Enterprise (BCE) yang diperlukan untuk menghubungkan aplikasi Anda.
- Aplikasi HTTP tidak didukung.
- Untuk mengetahui detailnya, lihat Setelan untuk aplikasi yang dihosting di penyedia cloud lain atau pusat data lokal
- Klik Tambahkan aplikasi.
Setelan untuk aplikasi yang dihosting di Google Cloud
Buat URL Private Service Connect (PSC) untuk menghubungkan aplikasi pribadi di lingkungan Anda.
Untuk menyiapkan URL PSC, buat Load Balancer Internal, lalu buat lampiran layanan yang menggunakan alamat IP internal.
Membuat Load Balancer Internal
Aplikasi pribadi di Google Workspace harus dipublikasikan di belakang load balancer internal dengan akses global yang diaktifkan. Untuk mengetahui detailnya, lihat Memublikasikan layanan dengan persetujuan otomatis.
Membuat Load Balancer Internal untuk resource Compute atau GKE
- Di Konsol Google Cloud, buka halaman Load balancing.
- Klik Create Load Balancer.
- Klik Start Configuration for Network Load Balancer (TCP/SSL).
- Untuk Internet facing or internal only, pilih Only between my VMs.
- Jangan ubah nilai default yang tersisa.
- Klik Continue.
- Masukkan nama load balancer, lalu pilih region dan jaringan tempat load balancer akan di-deploy.
- Pilih tab Backend configuration
- Pilih Backend Type resource Anda.
- Berikan health check layanan.
- Jangan ubah nilai default yang tersisa.
- Pilih tab Frontend configuration
- Pilih Enable for global access.
- Pilih subnetwork.
- Masukkan nomor port.
- Jangan ubah nilai default yang tersisa.
- Klik Create.
Membuat Load Balancer Internal untuk resource Cloud Run
- Di Konsol Google Cloud, buka halaman Load balancing.
- Klik Create Load Balancer.
- Klik Start Configuration for application load balancer (HTTP/S).
- Pilih Only between my VMs atau Serverless services.
- Klik Continue.
- Masukkan nama load balancer, lalu pilih region dan jaringan tempat load balancer akan di-deploy.
- Pilih tab Frontend configuration
- Pilih subnetwork.
- Selesaikan langkah-langkah di layar untuk memesan subnet jika Anda belum melakukannya.
- Pilih tab Backend configuration.
- Buat atau pilih layanan backend.
- Jika membuat layanan, pilih grup endpoint jaringan serverless.
- Klik Create.
Membuat URL Lampiran Layanan
Untuk menyiapkan URL PSC, buat lampiran layanan yang menggunakan alamat IP internal.
- Di konsol Google Cloud, buka halaman Private Service Connect.
- Klik tab Publish service .
- Klik Publish service.
- Pilih Load balancer type untuk layanan yang ingin dipublikasikan:
- Load Balancer Jaringan passthrough internal
- Load Balancer Jaringan proxy internal regional
- Load Balancer Aplikasi internal regional
- Pilih Load balancer internal yang menghosting layanan yang ingin dipublikasikan.
Kolom jaringan dan region diisi dengan detail untuk load balancer internal yang dipilih. - Untuk Service name, masukkan nama lampiran layanan.
- Pilih satu atau beberapa Subnet untuk layanan tersebut. Jika ingin menambahkan subnet baru, Anda dapat membuatnya:
- Klik Reserve new subnet
- Masukkan Nama dan Deskripsi opsional untuk subnet.
- Pilih Region untuk subnet.
- Masukkan Rentang IP yang akan digunakan untuk subnet, lalu klik Add.
- Pilih Automatically accept connections.
- Klik Add service.
- Klik layanan yang dipublikasikan. Kolom Lampiran Layanan berisi nama lampiran layanan. URL-nya adalah:
https://www.googleapis.com/compute/v1/SERVICE_ATTACHMENT_NAME
Setelan untuk aplikasi yang dihosting di penyedia cloud lain atau pusat data lokal
Untuk menghubungkan jaringan cloud atau lokal ke Google Cloud dengan aman, tambahkan konektor aplikasi.
Konektor aplikasi memungkinkan Anda menghubungkan aplikasi dengan aman dari cloud lain ke Google tanpa VPN site-to-site.
Membuat VM di jaringan non-Google
Setiap remote agent konektor aplikasi harus diinstal di virtual machine (VM) khusus atau server Bare Metal apa pun di lingkungan non-Google.
- Untuk membuat VM, minta bantuan administrator jaringan Anda atau ikuti petunjuk yang diberikan oleh penyedia cloud Anda.
- Docker juga diperlukan di setiap VM atau server untuk menjalankan remote agent.
- Pastikan firewall jaringan VM remote agent mengizinkan semua traffic keluar yang dimulai di port 443 untuk rentang IP IAP-TCP 35.235.240.0/20. Lihat Memverifikasi konfigurasi firewall untuk domain lain yang harus diizinkan oleh firewall VM remote agent untuk traffic keluar.
Menambahkan konektor aplikasi dan menginstal remote agent
Konektor aplikasi mewajibkan remote agent diinstal dan dijalankan di setiap jaringan non-Google tempat aplikasi Anda dihosting. Remote agent akan memulai dan mempertahankan koneksi jaringan yang aman serta merutekan traffic antara Google Workspace dan aplikasi.
- Tambahkan konektor aplikasi:
-
Login ke Konsol Google Admin.
Login menggunakan akun administrator (bukan yang diakhiri dengan @gmail.com).
-
Di konsol Admin, buka Menu
- Klik tab BeyondCorp Enterprise (BCE) Connectors .
- Klik Add connector.
- Masukkan nama untuk konektor. Misalnya: connect-myapp.
- Pilih region yang dekat dengan lingkungan non-Google.
- Klik Add connector.
- Untuk melihat status, di kanan atas, klik
-
- Buat instance virtual machine (VM) untuk menghosting remote agent.
Ikuti petunjuk yang diberikan oleh administrator jaringan atau penyedia cloud Anda. Lihat Membuat VM di jaringan non-Google. - Instal remote agent.
- Klik nama konektor aplikasi.
- Klik Install remote agent.
- Di lingkungan non-Google, instal remote agent:
- Buat instance virtual machine (VM) untuk menghosting remote agent. Ikuti petunjuk yang diberikan oleh administrator jaringan atau penyedia cloud Anda.
- Instal Docker, yang diperlukan untuk menjalankan remote agent. Untuk mengetahui petunjuknya, lihat dokumentasi online untuk menginstal Docker Engine.
- Instal dan daftarkan remote agent menggunakan perintah CLI yang ditampilkan di halaman konektor aplikasi Google Workspace.
- Salin dan tempel kunci publik yang ditampilkan setelah remote agent berhasil didaftarkan.
- Klik Save.
Halaman konektor aplikasi akan menampilkan bahwa kunci publik berhasil ditambahkan.
Membatasi akses dan autentikasi
-
Login ke Konsol Google Admin.
Login menggunakan akun administrator (bukan yang diakhiri dengan @gmail.com).
-
Di konsol Admin, buka Menu
- Klik tab Aplikasi , lalu klik aplikasi untuk membuka halaman detail.
- Klik Setelan lanjutan.
- Halaman landing 403—Masukkan alamat web tempat pengguna akan dialihkan jika mereka ditolak mengakses aplikasi. Gunakan format https://<url>.
- Domain autentikasi—Masukkan URL single sign-on (SSO) untuk organisasi Anda agar pengguna dapat login menggunakan kredensial organisasi mereka. Tindakan ini juga menolak akses bagi pengguna yang tidak memiliki kredensial yang valid untuk domain Workspace Anda. Gunakan format sso.your.org.com.
- Domain yang diizinkan—Centang kotak Aktifkan domain yang diizinkan untuk membatasi akses pengguna hanya ke domain yang ditentukan. Pisahkan entri dengan koma. Misalnya: test.your.org.com, prod.your.org.com.
- Autentikasi ulang—Gunakan opsi ini untuk mewajibkan pengguna melakukan autentikasi ulang setelah jangka waktu tertentu. Misalnya, Anda dapat menggunakan kunci keamanan sentuh atau verifikasi 2 langkah.
- Login: Wajibkan pengguna untuk melakukan autentikasi ulang dengan nama pengguna/sandi setelah login selama jangka waktu yang ditentukan.
- Kunci aman: Wajibkan pengguna untuk melakukan autentikasi ulang menggunakan kunci keamanan mereka.
- Faktor kedua yang terdaftar: Wajibkan pengguna untuk melakukan autentikasi ulang menggunakan metode autentikasi faktor kedua (2FA).
Untuk mengetahui informasi selengkapnya, lihat Autentikasi ulang IAP.
Menetapkan kontrol akses kontekstual
Dengan Akses Kontekstual, Anda dapat mengontrol aplikasi pribadi yang dapat diakses pengguna berdasarkan konteksnya, seperti apakah perangkat mereka mematuhi kebijakan IT Anda.
Misalnya, Anda dapat membuat kebijakan kontrol akses terperinci untuk aplikasi yang mengakses data Workspace berdasarkan atribut seperti identitas pengguna, lokasi, status keamanan perangkat, dan alamat IP.
Untuk mengetahui detailnya, lihat Menetapkan tingkat akses ke aplikasi pribadi.
