Privé-web-apps implementeren

Privé-web-apps worden gemaakt voor interne gebruikers van een organisatie, zoals werknemers en contractanten. U kunt deze apps implementeren met BeyondCorp Enterprise (BCE) in de Workspace Beheerdersconsole.

De app toevoegen aan uw Workspace-account

Privé-apps kunnen worden gehost op Google Cloud, een andere cloudprovider of een datacenter op locatie.

1. Log in bij de Google Beheerdersconsole.

   Log in met uw beheerdersaccount (dit eindigt niet op @gmail.com).

2. Ga in de Beheerdersconsole naar Menu  AppsWeb- en mobiele apps.

3. Klik op App toevoegenPrivé-web-app toevoegen.
4. Voer onder App-gegevens een app-naam en URL in waarmee gebruikers toegang krijgen tot de app.
5. Selecteer waar je app wordt gehost:
   1. Apps die worden gehost in Google Cloud: voer de Private Service Connect-URL (PSC) in onder 'Details van de app-host'. Zie Instellingen voor apps die worden gehost op Google Cloud voor meer informatie.
   2. HTTPS-apps die worden gehost op een andere cloudprovider:
      • Voer de interne URL en het poortnummer in.
      • Voor de beste prestaties selecteert u een regio het dichtst bij de locatie waar de app wordt gehost en kiest u de app-connectors voor BeyondCorp Enterprise (BCE) die nodig zijn om de app te koppelen.
      • HTTP-apps worden niet ondersteund.
      • Zie Instellingen voor apps die worden gehost door andere cloudproviders of datacenters op locatie voor meer informatie.
6. Klik op App toevoegen.

Instellingen voor apps die worden gehost op Google Cloud

Maak een Private Service Connect-URL (PSC) om de privé-apps in uw omgeving te koppelen.

Als u de PSC-URL wilt instellen, maakt u een interne load balancer en maakt u daarna een servicekoppeling met een intern IP-adres. 

Een interne load balancer maken

Privé-apps in Google Workspace moeten worden gepubliceerd achter een interne load balancer waarvoor wereldwijde toegang aanstaat. Ga naar Een service publiceren met automatische goedkeuring voor meer informatie.

Een interne load balancer voor een Compute of GKE-resource maken

1. Ga in de Google Cloud Console naar de pagina Load balancing.
2. Klik op Load balancer maken.
   
3. Klik op Configuratie starten voor load balancer via het netwerk (TCP/SSL)
   • Voor alleen internet of intern gebruik selecteert u Alleen tussen mijn VM's.
   • Wijzig de resterende standaardwaarden niet.
   • Klik op Doorgaan.
4. Voer de naam van de load balancer in en selecteer de regio en het netwerk waar de load balancer wordt geïmplementeerd.
5. Selecteer het tabblad Backend-configuratie
   • Selecteer het type backend van de bron.
   • Voer de statuscheck van de service uit.
   • Wijzig de resterende standaardwaarden niet.
6. Selecteer het tabblad Frontend-configuratie
   • Selecteer Aanzetten voor algemene toegang.
   • Selecteer het subnetwerk.
   • Voer het poortnummer in.
   • Wijzig de resterende standaardwaarden niet.
7. Klik op Maken.

Een interne load balancer voor een Cloud Run-resource maken

1. Ga in de Google Cloud Console naar de pagina Load balancing.
2. Klik op Load balancer maken.
3. Klik op Configuratie starten voor load balancer voor apps (HTTP/S).
   1. Selecteer Alleen tussen mijn VM's of Serverloze services.
   2. Klik op Doorgaan.
4. Voer de naam van de load balancer in en selecteer de regio en het netwerk waar de load balancer wordt geïmplementeerd.
5. Selecteer het tabblad Frontend-configuratie
   1. Selecteer het subnetwerk.
   2. Voer de stappen op het scherm uit om een subnetwerk te reserveren als u dit nog niet heeft gedaan.
6. Selecteer het tabblad Backend-configuratie.
   1. Maak of selecteer de backend-service.
   2. Als u een service maakt, selecteert u de eindpuntgroep van het serverloze netwerk.
7. Klik op Maken.

De servicebijlage-URL maken

Als u de PSC-URL wilt instellen, maakt u een servicebijlage die een intern IP-adres gebruikt.

1. Ga in de Google Cloud Console naar de pagina Private Service Connect.
2. Klik op het tabblad Service publiceren.
3. Klik op Service publiceren.
4. Selecteer het type load balancer voor de service die u wilt publiceren:
   • Load balancer via het netwerk voor interne passthrough
   • Load balancer via het netwerk voor regionale interne proxy's
   • Regionale interne load balancer voor apps
5. Selecteer de interne load balancer die de service host die u wilt publiceren.
   In de velden Netwerk en regio worden de gegevens van de geselecteerde interne load balancer ingevuld.
6. Voer bij Servicenaam een naam in voor de servicebijlage.
7. Selecteer een of meer subnetwerken voor de service. Als u een nieuw subnetwerk wilt toevoegen, kunt u er een maken:
   • Klik op Nieuw subnetwerk reserveren.
   • Voer een naam en optionele beschrijving in voor het subnetwerk.
   • Selecteer een regio voor het subnetwerk.
   • Voer het IP-bereik in dat voor het subnetwerk moet worden gebruikt en klik op Toevoegen.
8. Selecteer Koppelingen automatisch accepteren.
9. Klik op Service toevoegen.
10. Klik op de gepubliceerde service. Het veld Servicebijlage bevat de naam van de servicebijlage. De URL is:
    https://www.googleapis.com/compute/v1/SERVICE_ATTACHMENT_NAME

Instellingen voor apps die worden gehost door andere cloudproviders of datacenters op locatie

Voeg een app-connector toe om uw cloudnetwerk of netwerk op locatie beveiligd te verbinden met de Google-cloud.

Met app-connectors kunt u uw app vanuit andere clouds beveiligd verbinden met Google zonder een site-to-site VPN. 

Een VM maken in het niet-Google-netwerk 

Elke externe agent voor app-connectors moet worden geïnstalleerd op een speciale virtuele machine (VM) of een Bare Metal-server in een niet-Google-omgeving.

• Vraag uw netwerkbeheerder om hulp of volg de instructies van uw cloudprovider om de VM te maken.
• Docker is ook vereist op elke VM of server om de externe agent uit te voeren. 
• Zorg ervoor dat de VM-netwerkfirewall van de externe agent al het uitgaande verkeer toestaat dat wordt gestart op poort 443 voor het IAP/TCP IP-bereik 35.235.240.0/20. Zie De firewallconfiguratie controleren voor andere domeinen waar de VM-firewall van de externe agent uitgaand verkeer moet toestaan.

Voeg een app-connector toe en installeer de externe agent

Voor app-connectors moet een externe agent worden geïnstalleerd en uitgevoerd in elk niet-Google-netwerk waarop uw apps worden gehost. De externe agent start en onderhoudt de beveiligde netwerkverbinding en stuurt verkeer tussen Google Workspace en de app.

1. Voeg een app-connector toe:
   1. Log in bij de Google Beheerdersconsole.

      Log in met uw beheerdersaccount (dit eindigt niet op @gmail.com).

   2. Ga in de Beheerdersconsole naar Menu  AppsWeb- en mobiele apps.

   3. Klik op het tabblad BeyondCorp Enterprise-connectors (BCE) .
   4. Klik op Connector toevoegen.
   5. Voer een naam in voor de connector. Bijvoorbeeld: connect-myapp.
   6. Selecteer een regio in de buurt van de niet-Google-omgeving.
   7. Klik op Connector toevoegen.
   8. Als je de status wilt bekijken, klik je rechtsboven op Je taken.
2. Maak een VM-instantie (virtuele machine) om de externe agent te hosten.
   Volg de instructies van uw netwerkbeheerder of cloudprovider. Zie Een VM maken in het niet-Google-netwerk.
3. Installeer een externe agent.
   1. Klik op de naam van de app-connector.
   2. Klik op Externe agent installeren.
   3. Installeer de externe agent in een niet-Google-omgeving:
      • Maak een VM-instantie (virtuele machine) om de externe agent te hosten. Volg de instructies van uw netwerkbeheerder of cloudprovider.
      • Installeer Docker. Dit is vereist om de externe agent uit te voeren. Bekijk de online documentatie voor instructies om de Docker Engine te installeren.
      • Installeer de externe agent en schrijf deze in via de CLI-opdrachten die u ziet op de pagina met de app-connector voor Google Workspace.
      • Kopieer en plak de openbare sleutel die wordt weergegeven nadat de externe agent is ingeschreven. 
   4. Klik op Opslaan.

De pagina met de app-connector moet nu aangeven dat er een openbare sleutel is toegevoegd.

Toegang en verificatie beperken

1. Log in bij de Google Beheerdersconsole.

   Log in met uw beheerdersaccount (dit eindigt niet op @gmail.com).

2. Ga in de Beheerdersconsole naar Menu  AppsWeb- en mobiele apps.

3. Klik op het tabblad Apps en klik vervolgens op een app om de detailpagina te openen.
4. Klik op Geavanceerde instellingen.
   • 403 landingspagina: voer het webadres in waarnaar gebruikers worden omgeleid als ze geen toegang krijgen tot de app. Gebruik de indeling https://<url>.
   • Verificatiedomein: Voer de SSO-URL (single sign-on) van uw organisatie in, zodat gebruikers kunnen inloggen met hun organisatiegegevens. Gebruikers die geen geldige inloggegevens hebben voor uw Workspace-domein, krijgen dan ook geen toegang. Gebruik deze indeling: sso.your.org.com. 
   • Toegestane domeinen: vink het vakje aan voor Toegestane domeinen aanzetten om gebruikerstoegang te beperken tot alleen de opgegeven domeinen. Scheid de domeinen met een komma.  Bijvoorbeeld: test.your.org.com, prod.your.org.com.
   • Opnieuw verifiëren: gebruik deze opties om te vereisen dat gebruikers zich na een bepaalde periode opnieuw laten verifiëren.  U kunt bijvoorbeeld een beveiligingssleutel of verificatie in 2 stappen gebruiken.

• Inloggen: vereisen dat gebruikers zich opnieuw verifiëren met een gebruikersnaam en wachtwoord nadat ze gedurende de opgegeven tijd zijn ingelogd.
• Beveiligingssleutel: vereisen dat gebruikers opnieuw verifiëren met hun beveiligingssleutel.
• Tweestapsverificatie: vereisen dat gebruikers opnieuw verifiëren met een methode voor verificatie in twee stappen (2FA).

Zie Opnieuw verifiëren in IAP voor meer informatie.

Contextbewust toegangsbeheer toewijzen

Met contextbewuste toegang kunt u bepalen tot welke privé-apps een gebruiker toegang heeft op basis van de context, zoals of het apparaat van de gebruiker voldoet aan uw IT-beleid. 

U kunt bijvoorbeeld gedetailleerd beleid voor toegangsbeheer maken voor apps die toegang hebben tot Workspace-gegevens op basis van kenmerken als gebruikersidentiteit, locatie, apparaatbeveiligingsstatus en IP-adres.

Zie Toegangsniveaus toewijzen aan privé-apps voor meer informatie.