Wewnętrzna aplikacja firmowa na pojedynczej maszynie wirtualnej Compute Engine musi umożliwiać użytkownikom Google Workspace uwierzytelnianie z dowolnego miejsca. Co należy zrobić?

Poprawna odpowiedź to dodanie modułu równoważenia obciążenia HTTP(S) przed instancją i skonfigurowanie Identity-Aware Proxy (IAP). IAP umożliwia bezpieczny dostęp do aplikacji internetowych działających na Google Cloud, weryfikując tożsamość użytkownika i kontekst żądania, zamiast polegać na VPN lub zaporach sieciowych. Skonfigurowanie IAP dla domeny firmowej Google Workspace zapewnia, że tylko autoryzowani użytkownicy z tej domeny mogą uzyskać dostęp do aplikacji, niezależnie od ich lokalizacji. Pozostałe opcje są mniej bezpieczne lub bardziej złożone: Dodanie publicznego adresu IP z regułami zapory sieciowej i serwerem proxy ogranicza dostęp, ale wymaga zarządzania serwerem proxy i nie zapewnia granularnej kontroli dostępu opartej na tożsamości użytkownika. Tunel VPN jest złożony w konfiguracji i utrzymaniu, a także wymaga, aby użytkownicy byli połączeni z siecią firmową, co nie spełnia wymogu dostępu "z dowolnego miejsca". Dodanie publicznego adresu IP i losowej subdomeny jest bardzo niebezpieczne, ponieważ nie zapewnia żadnego mechanizmu uwierzytelniania ani autoryzacji, wystawiając aplikację na ataki.