IAP (Identity-Aware Proxy)のLT資料になります。 九州インフラ交流勉強会(Kixs) Vol.004 https://kixs.connpass.com/event/53008/

1. http://gcpug.jp
Cloud Identity-Aware Proxy
まだhttps accessをIP Addressで制限してるの？

2. http://gcpug.jp
熊野 良 (Ryo Kumano)
Twitter: @ryok0607
2014/06 〜 株式会社グルーヴノーツ 入社
- 肩書きは 「サーバエンジニア・データベースエンジニア」
- GCP上で稼動している自社サービスのインフラ設計・構築・運用を担当
- 2015/08 〜 東京 -> 福岡に移住
過去(5年以内)に携わった業務
- 国内大手B2Cサイトのインフラ設計・構築・運用・DB設計・チューニング
など
自己紹介

3. http://gcpug.jp
[case 1]
開発環境なので特定の人だけアクセスさせたい
[case 2]
営業先で非公開の機能をデモしたい
Webサイトのアクセス制限: こんな時どうしてます？

4. http://gcpug.jp
- アプリのログイン認証
- ログイン画面は外部にさらしてしまう。
- IP/Passwordが漏れると不正ログインされてしまう。
- 会社(作業場)のIP Addressを許可
- 一般的に使われてるであろう手法。
- オフィス(IP)が複数あると管理が面倒。
- リモートワークには対応しづらい。
- GCPは GAEやHTTP-LB でIP制限出来ない。
開発環境なので特定の人だけアクセスさせたい

5. http://gcpug.jp
外なのでIP Address指定ができない！
- アプリのログイン認証
- 前述と同じ問題。
- ApacheやNginxでBasic認証を仕込む。
- IP/Password が漏れると不正ログインされてしまう。
- 見た目がダサい。
- とはいえ選択肢がほぼこれ。
営業先で非公開の機能をデモしたい

6. http://gcpug.jp
VPN 使えば？

7. http://gcpug.jp
- サーバー立てるの面倒臭い。
- 鍵の管理が面倒臭い。
- クライアント側の設定・接続操作が面倒臭い。
- ネットワーク・サービス毎に
VPNが生え始めたら最悪に面倒臭い。
結論: 面倒臭い (使ってますが)
VPN使えば？って思うやん？

8. http://gcpug.jp
https://cloud.google.com/iap/
- GCPで利用できる機能。
- ユーザーID(Google Acoount)で制御。
- GAE / HTTP-LB 環境で設定可能。
Cloud Identity-Aware Proxy

9. http://gcpug.jp
(LT時に公開したサイトでIAPのデモ実演)
デモ

10. http://gcpug.jp
- IAPで場所 (IP Address) を気にせず
アクセス制御が可能。
- システム側はHTTP-LB / GAE 利用が必須。
- クライアント側はGoogle Account が必須。
まとめ

11. http://gcpug.jp
Thank You!