限定公開のウェブアプリをデプロイする

限定公開のウェブ アプリケーションは、従業員や請負業者など、組織の内部ユーザー用に作成されます。これらのアプリは、Workspace 管理コンソールの BeyondCorp Enterprise（BCE）を使用してデプロイできます。

アプリを Workspace アカウントに追加する

限定公開アプリは、Google Cloud、別のクラウド プロバイダ、オンプレミスのデータセンターでホストできます。

1. Google 管理コンソールにログインします。

   管理者アカウント（末尾が @gmail.com でないもの）でログインします。

2. 管理コンソールで、メニュー アイコン   [アプリ] [ウェブアプリとモバイルアプリ] にアクセスします。

3. [アプリを追加] [限定公開のウェブアプリを追加] をクリックします。
4. [アプリケーションの詳細] で、ユーザーがアプリにアクセスするアプリ名と URL を入力します。
5. アプリケーションがホストされている場所を選択します。
   1. Google Cloud でホストされているアプリ - [アプリケーション ホストの詳細] に Private Service Connect（PSC）の URL を入力します。詳しくは、Google Cloud でホストされているアプリの設定をご覧ください。
   2. 別のクラウド プロバイダでホストされている HTTPS アプリ:
      • 内部 URL とポート番号を入力します。
      • 最適なパフォーマンスを得るには、アプリケーションがホストされている場所に最も近いリージョンを選択してから、アプリケーションの接続に必要な BeyondCorp Enterprise（BCE）アプリコネクタを選択します。
      • HTTP アプリはサポートされていません。
      • 詳しくは、他のクラウド プロバイダやオンプレミス データセンターでホストされているアプリの設定をご覧ください。
6. [Add application] をクリックする。

Google Cloud でホストされているアプリの設定

Private Service Connect（PSC） URL を作成して、環境内の限定公開アプリを接続します。

PSC の URL を設定するには、内部ロードバランサを作成し、内部 IP アドレスを使用するサービス アタッチメントを作成します。

内部ロードバランサを作成する

Google Workspace の限定公開アプリは、グローバル アクセスを有効にした内部ロードバランサの背後で公開する必要があります。詳しくは、自動承認でサービスを公開するをご覧ください。

コンピューティング リソースまたは GKE リソース用の内部ロードバランサを作成する

1. Google Cloud コンソールで、[ロード バランシング] ページに移動します。
2. [ロードバランサを作成] をクリックします。
   
3. [ネットワーク ロードバランサ（TCP/SSL）の構成を開始] をクリックします。
   • [インターネット接続または内部専用] で [VM 間のみ] を選択します。
   • 残りのデフォルト値は変更しないでください。
   • [続行] をクリックします。
4. ロードバランサの名前を入力し、ロードバランサをデプロイするリージョンとネットワークを選択します。
5. [バックエンドの構成] タブを選択します。
   • リソースのバックエンド タイプを選択します。
   • サービスのヘルスチェックを提供します。
   • 残りのデフォルト値は変更しないでください。
6. [フロントエンドの構成] タブを選択します。
   • [グローバル アクセスを有効にする] を選択します。
   • サブネットワークを選択します。
   • ポート番号を入力します。
   • 残りのデフォルト値は変更しないでください。
7. [作成] をクリックします。

Cloud Run リソース用の内部ロードバランサを作成する

1. Google Cloud コンソールで、[ロード バランシング] ページに移動します。
2. [ロードバランサを作成] をクリックします。
3. [アプリケーション ロードバランサ（HTTP/S）の構成を開始] をクリックします。
   1. [VM 間のみ] または [サーバーレス サービス] を選択します。
   2. [続行] をクリックします。
4. ロードバランサの名前を入力し、ロードバランサをデプロイするリージョンとネットワークを選択します。
5. [フロントエンドの構成] タブを選択します。
   1. サブネットワークを選択します。
   2. サブネットを予約していない場合は、画面上の手順に沿ってサブネットを予約します。
6. [バックエンドの構成] タブを選択します。
   1. バックエンド サービスを作成または選択します。
   2. サービスを作成する場合は、サーバーレス ネットワーク エンドポイント グループを選択します。
7. [作成] をクリックします。

サービス アタッチメントの URL を作成する

PSC の URL を設定するには、内部 IP アドレスを使用するサービス アタッチメントを作成します。

1. Google Cloud コンソールで [Private Service Connect] ページに移動します。
2. [サービスを公開 ] タブをクリックします。
3. [サービスを公開] をクリックします。
4. 公開するサービスのロードバランサの種類を選択します。
   • 内部パススルー ネットワーク ロードバランサ
   • リージョン内部プロキシ ネットワーク ロードバランサ
   • リージョン内部アプリケーション ロードバランサ
5. 公開するサービスをホストする内部ロードバランサを選択します。
   選択した内部ロードバランサの詳細情報が [ネットワーク] フィールドと [リージョン] フィールドに挿入されます。
6. [サービス名] に、サービス アタッチメントの名前を入力します。
7. サービスに 1 つ以上のサブネットを選択します。新しいサブネットを追加する場合は、次の方法で作成します。
   • [新しいサブネットの予約] をクリックします。
   • サブネットの名前と説明（省略可）を入力します。
   • サブネットのリージョンを選択します。
   • サブネットに使用する IP 範囲を入力し、[追加] をクリックします。
8. [接続を自動的に受け入れる] を選択します。
9. [サービスを追加] をクリックします。
10. 公開サービスをクリックします。[サービス アタッチメント] フィールドには、サービス アタッチメント名が含まれています。URL は次のとおりです。
    https://www.googleapis.com/compute/v1/SERVICE_ATTACHMENT_NAME

他のクラウド プロバイダやオンプレミスのデータセンターでホストされているアプリの設定

クラウドまたはオンプレミスのネットワークを Google Cloud に安全に接続するには、アプリコネクタを追加します。

アプリコネクタを使用すると、サイト間 VPN を使用せずに、アプリケーションを他のクラウドから Google に安全に接続できます。

Google 以外のネットワークに VM を作成する

各アプリコネクタのリモート エージェントは、Google 以外の環境の専用の仮想マシン（VM）またはベアメタル サーバーにインストールされている必要があります。

• VM を作成するには、ネットワーク管理者にサポートを依頼するか、クラウド プロバイダの指示に従ってください。
• リモート エージェントを実行するには、各 VM またはサーバーに Docker も必要です。
• リモート エージェントの VM ネットワーク ファイアウォールで、ポート 443 で開始し、IAP-TCP IP 範囲 35.235.240.0/20 に向かうすべての送信トラフィックが許可されていることを確認します。リモート エージェント VM ファイアウォールが送信トラフィックの宛先として許可している他のドメインについては、ファイアウォール構成を確認するをご覧ください。

アプリコネクタを追加してリモート エージェントをインストールする

アプリコネクタを使用するには、アプリがホストされている Google 以外の各ネットワークにリモート エージェントをインストールして実行する必要があります。リモート エージェントは、安全なネットワーク接続を開始して維持し、Google Workspace とアプリケーション間のトラフィックをルーティングします。

1. アプリコネクタを追加します。
   1. Google 管理コンソールにログインします。

      管理者アカウント（末尾が @gmail.com でないもの）でログインします。

   2. 管理コンソールで、メニュー アイコン   [アプリ] [ウェブアプリとモバイルアプリ] にアクセスします。

   3. [BeyondCorp Enterprise（BCE）コネクタ] タブをクリックします。
   4. [コネクタを追加] をクリックします。
   5. コネクタの名前を入力してください（例: connect-myapp）。
   6. Google 以外の環境に近いリージョンを選択します。
   7. [コネクタを追加] をクリックします。
   8. ステータスを表示するには、右上の [タスク] をクリックします。
2. リモート エージェントをホストする仮想マシン（VM）インスタンスを作成します。
   ネットワーク管理者またはクラウド プロバイダの指示に従います。Google 以外のネットワークで VM を作成するをご覧ください。
3. リモート エージェントをインストールします。
   1. アプリコネクタ名をクリックします。
   2. [リモート エージェントをインストールする] をクリックします。
   3. Google 以外の環境で、リモート エージェントをインストールします。
      • リモート エージェントをホストする仮想マシン（VM）インスタンスを作成します。ネットワーク管理者またはクラウド プロバイダの指示に従ってください。
      • リモート エージェントの実行に必要な Docker をインストールします。手順については、Docker Engine のインストールに関するオンライン ドキュメントをご覧ください。
      • Google Workspace アプリコネクタのページに表示された CLI コマンドを使用して、リモート エージェントのインストールと登録を行います。
      • リモート エージェントの登録後に表示される公開鍵をコピーして貼り付けます。
   4. [保存] をクリックします。

アプリコネクタのページに、公開鍵が正常に追加されたことが表示されます。

アクセスと認証を制限する

1. Google 管理コンソールにログインします。

   管理者アカウント（末尾が @gmail.com でないもの）でログインします。

2. 管理コンソールで、メニュー アイコン   [アプリ] [ウェブアプリとモバイルアプリ] にアクセスします。

3. [アプリ] タブをクリックし、アプリをクリックして詳細ページを開きます。
4. [詳細設定] をクリックします。
   • 403 ランディング ページ - ユーザーがアプリへのアクセスを拒否された場合のリダイレクト先となるウェブアドレスを入力します。https://<url> の形式を使用します。
   • 認証ドメイン - ユーザーが組織の認証情報を使用してログインできるようにするには、組織のシングル サインオン（SSO）の URL を入力します。Workspace ドメインの有効な認証情報を持っていないユーザーのアクセスも拒否されます。sso.your.org.com の形式を使用してください
   • 許可されたドメイン - [許可されたドメインを有効にする] チェックボックスをオンにして、指定したドメインのみにユーザーのアクセスを制限します。エントリはカンマで区切ってください。（例: test.your.org.com, prod.your.org.com）。
   • 再認証 - 一定期間経過後にユーザーに再認証を要求するには、このオプションを使用します。たとえば、タッチ セキュリティ キーや 2 段階認証プロセスを使用できます。

• ログイン: 指定した時間ログインした後、ユーザー名とパスワードによる再認証をユーザーに求めます。
• セキュアキー: ユーザーにセキュリティ キーを使用した再認証を求めます。
• 登録された第 2 要素: ユーザーに 2 段階認証プロセス（2FA）を使用した再認証を要求します。

詳細については、IAP 再認証をご覧ください。

コンテキストアウェア アクセス制御を割り当てる

コンテキストアウェア アクセスを使用すると、ユーザーのデバイスが IT ポリシーに準拠しているかどうかなどの状況に基づいて、ユーザーがアクセスできる限定公開アプリを制御できます。

たとえば、ユーザー ID、場所、デバイスのセキュリティ ステータス、IP アドレスなどの属性に基づいて、Workspace データにアクセスするアプリに対する詳細なアクセス制御ポリシーを作成できます。

詳しくは、限定公開アプリにアクセスレベルを割り当てるをご覧ください。