GSP1036

Ringkasan

Di lab ini, Anda akan mempelajari cara menggunakan Chrome Enterprise Premium dan penerusan TCP Identity-Aware Proxy (IAP) untuk mengaktifkan akses administratif ke instance VM yang tidak memiliki alamat IP eksternal atau tidak mengizinkan akses langsung melalui internet.

Yang akan Anda pelajari

• Mengaktifkan penerusan TCP IAP di project Google Cloud
• Menguji konektivitas ke instance Linux dan Windows
• Mengonfigurasi aturan firewall yang diperlukan untuk BCE
• Memberikan izin untuk menggunakan penerusan TCP IAP
• Melakukan tunneling menggunakan koneksi SSH dan RDP

Penyiapan dan persyaratan

Sebelum mengklik tombol Start Lab

Baca petunjuk ini. Lab memiliki timer dan Anda tidak dapat menjedanya. Timer yang dimulai saat Anda mengklik Start Lab akan menampilkan durasi ketersediaan resource Google Cloud untuk Anda.

Lab interaktif ini dapat Anda gunakan untuk melakukan aktivitas lab di lingkungan cloud sungguhan, bukan di lingkungan demo atau simulasi. Untuk mengakses lab ini, Anda akan diberi kredensial baru yang bersifat sementara dan dapat digunakan untuk login serta mengakses Google Cloud selama durasi lab.

Untuk menyelesaikan lab ini, Anda memerlukan:

• Akses ke browser internet standar (disarankan browser Chrome).

• Waktu untuk menyelesaikan lab. Ingat, setelah dimulai, lab tidak dapat dijeda.

Cara memulai lab dan login ke Google Cloud Console

1. Klik tombol Start Lab. Jika Anda perlu membayar lab, dialog akan terbuka untuk memilih metode pembayaran. Di sebelah kiri ada panel Lab Details yang berisi hal-hal berikut:

   • Tombol Open Google Cloud console
   • Waktu tersisa
   • Kredensial sementara yang harus Anda gunakan untuk lab ini
   • Informasi lain, jika diperlukan, untuk menyelesaikan lab ini

2. Klik Open Google Cloud console (atau klik kanan dan pilih Open Link in Incognito Window jika Anda menjalankan browser Chrome).

   Lab akan menjalankan resource, lalu membuka tab lain yang menampilkan halaman Sign in.

   Tips: Atur tab di jendela terpisah secara berdampingan.

   Catatan: Jika Anda melihat dialog Choose an account, klik Use Another Account.

3. Jika perlu, salin Username di bawah dan tempel ke dialog Sign in.

   {{{user_0.username | "Username"}}}

   Anda juga dapat menemukan Username di panel Lab Details.

4. Klik Next.

5. Salin Password di bawah dan tempel ke dialog Welcome.

   {{{user_0.password | "Password"}}}

   Anda juga dapat menemukan Password di panel Lab Details.

6. Klik Next.

   Penting: Anda harus menggunakan kredensial yang diberikan lab. Jangan menggunakan kredensial akun Google Cloud Anda. Catatan: Menggunakan akun Google Cloud sendiri untuk lab ini dapat dikenai biaya tambahan.

7. Klik halaman berikutnya:

   • Setujui persyaratan dan ketentuan.
   • Jangan tambahkan opsi pemulihan atau autentikasi 2 langkah (karena ini akun sementara).
   • Jangan mendaftar uji coba gratis.

Setelah beberapa saat, Konsol Google Cloud akan terbuka di tab ini.

Catatan: Untuk mengakses produk dan layanan Google Cloud, klik Navigation menu atau ketik nama layanan atau produk di kolom Search.

Anda perlu menginstal klien RDP terlebih dahulu agar dapat menghubungkan dan menguji instance Windows.

Tugas 1. Mengaktifkan penerusan TCP IAP di project Google Cloud

1. Buka Navigation Menu, lalu pilih APIs and Services > Library.

2. Telusuri IAP, lalu pilih Cloud Identity-Aware Proxy API.

3. Klik Enable.

Tugas 2. Membuat instance Linux dan Windows

Buat tiga instance untuk lab ini: - Dua untuk tujuan demonstrasi (Linux dan Windows) - Satu untuk menguji konektivitas (Windows)

Instance Linux

1. Dari Navigation menu, pilih Compute Engine > VM Instances.

2. Klik Create instance.

3. Di Machine configuration:

   Pilih nilai berikut:

   • Name: linux-iap
   • Zone:

4. Klik Networking.

   Untuk Network interfaces, klik default dari dropdown jaringan untuk mengedit. Selanjutnya, ubah External IPV4 address ke None.

5. Klik Done.

   

6. Setelah itu, klik Create. VM ini akan disebut sebagai linux-iap

Instance Windows

1. Untuk membuat Windows Demo VM, klik Create instance.

2. Di Machine configuration:

   Pilih nilai berikut:

   • Name: windows-iap
   • Zone:

3. Klik bagian OS and Storage.

   Klik Change untuk mulai mengonfigurasi boot disk dan pilih nilai berikut:

   • Public Images > Operating system > Windows Server
   • Version > Windows Server 2016 Datacenter

   

   Klik Select.

4. Klik Networking.

   Untuk Network interfaces, klik default dari dropdown jaringan untuk mengedit. Selanjutnya, ubah External IPV4 address ke None. Klik Done.

5. Setelah itu, klik Create. VM ini akan disebut sebagai windows-iap

6. Untuk membuat Windows Connectivity VM, klik Create instance.

7. Di Machine configuration:

   Pilih nilai berikut:

   • Name: windows-connectivity
   • Zone:

8. Klik bagian OS and Storage, lalu klik Change

   Untuk OS, tetapkan hal-hal berikut di tab Custom Images:

   • Source project for images: Qwiklabs Resources
   • Image: iap-desktop-v001

   Klik Select.

9. Klik Security.

   Di bagian Access scopes, pilih Allow full access to all Cloud APIs.

   Jangan menonaktifkan IP eksternal untuk instance ini

10. Setelah itu, klik Create. VM ini akan disebut sebagai windows-connectivity

Tugas 3. Menguji konektivitas ke instance Linux dan Windows

1. Setelah instance dibuat, Anda akan menguji akses ke linux-iap dan windows-iap untuk memastikan bahwa Anda tidak dapat mengakses VM tanpa IP eksternal.

2. Untuk linux-iap, klik tombol SSH untuk masuk ke mesin tersebut dan pastikan Anda menerima pesan yang mirip seperti ini:

   

4. Untuk windows-iap, klik tombol RDP dan pastikan Anda menerima pesan yang mirip seperti berikut:

   

Tugas 4. Mengonfigurasi aturan firewall yang diperlukan untuk BCE

1. Buka Navigation Menu, pilih VPC Network > Firewall, lalu klik Create Firewall Rule

2. Konfigurasi setelan berikut:

3. Klik CREATE untuk membuat aturan firewall.

Tugas 5. Memberikan izin untuk menggunakan penerusan TCP IAP

Gunakan langkah-langkah berikut untuk mengonfigurasi peran iap.tunnelResourceAccessor oleh VM.

1. Buka Navigation Menu, pilih Security > Identity-Aware Proxy, lalu pindah ke tab SSH and TCP Resources (abaikan pesan error terkait Oauth Consent screen di bagian HTTPS).
2. Pilih instance VM linux-iap dan windows-iap.
3. Klik Add principal, lalu masukkan akun layanan yang terkait dengan VM Windows connectivity Anda. Format akun layanan ini adalah -compute@developer.gserviceaccount.com.
4. Untuk perannya, pilih Cloud IAP > IAP-Secured Tunnel User.
5. Klik SAVE.
6. Di bagian kanan atas halaman, klik ikon "S" untuk membuka profil Anda dan menyalin email akun siswa.
7. Klik Add principal lagi untuk menambahkan akun siswa Anda.
8. Masukkan akun siswa. Anda dapat menyalin nilai ini dari panel detail lab.
9. Untuk perannya, pilih Cloud IAP > IAP-Secured Tunnel User.
10. Klik SAVE.

Tugas 6. Menggunakan IAP Desktop untuk terhubung ke instance Windows dan Linux

IAP Desktop dapat digunakan untuk terhubung ke instance menggunakan antarmuka pengguna grafis (GUI) dari instance dengan Windows Desktop. Anda dapat membaca selengkapnya tentang IAP Desktop di repositori GitHub yang menghosting download untuk alat tersebut.

Untuk menggunakan IAP Desktop agar terhubung ke instance di lab ini:

1. RDP ke instance windows-connectivity dengan mendownload file RDP. Buka halaman Compute Engine > VM Instances. Pilih panah bawah di samping instance windows-connectivity pada halaman landing Compute Engine, lalu download filenya.

2. Buka file RDP untuk terhubung ke instance melalui Remote Desktop Protocol. Anda akan menggunakan kredensial di bawah ini untuk terhubung ke instance setelah diminta:

   • Username: student
   • Password: Learn123!

3. Setelah terhubung ke instance windows-connectivity, temukan dan buka aplikasi IAP Desktop pada desktop instance tersebut.

4. Setelah aplikasi tersebut terbuka, klik tombol "Sign in with Google" untuk login. Gunakan nama pengguna dan sandi yang disediakan di konsol lab untuk melakukan autentikasi dengan IAP Desktop. Saat Anda diminta untuk melanjutkan, klik Continue, lalu klik Allow.

5. Anda harus menambahkan project untuk terhubung ke instance Compute Engine di dalam IAP Desktop setelah autentikasi. Pilih project lab yang terkait dengan instance lab Anda:

6. Klik dua kali pada instance windows-iap di aplikasi IAP Desktop untuk login ke instance tersebut.

7. Anda mungkin diminta untuk menyediakan kredensial untuk instance tersebut saat pertama kali mencoba terhubung melalui IAP Desktop. Pilih "Generate new credentials" saat pertama kali login ke instance.

8. Klik OK untuk pop-up Generate logon credentials.

9. Setelah kredensial dibuat, Anda akan diarahkan ke desktop instance windows-iap dan dapat melihat pengalaman pengguna akhir.

Tugas 7. Melakukan tunneling menggunakan koneksi SSH dan RDP

1. Anda akan menguji konektivitas ke instance RDP menggunakan klien RDP. Hal ini dilakukan karena Anda perlu terhubung ke instance melalui tunnel IAP secara lokal.

2. Buka halaman Compute Engine > VM Instances.

3. Untuk instance windows-connectivity, klik panah bawah dan pilih Set windows password. Salin dan simpan sandi tersebut.

4. Lalu, klik panah bawah pada bagian Connect dan klik download file RDP. Buka file RDP dengan klien Anda dan masukkan sandi Anda.

5. Setelah terhubung ke instance windows-connectivity, buka Google Cloud SDK Shell:

   

6. Sekarang, masukkan perintah berikut dari command line untuk melihat apakah Anda dapat terhubung ke linux-iap instance atau tidak:

   gcloud compute ssh linux-iap

   Klik Y saat diminta untuk melanjutkan dan memilih zona.

   Pastikan Anda memilih zona yang tepat untuk instance saat diminta.

7. Selanjutnya, klik Accept pada jendela PuTTY Security Alert yang muncul.

8. Perbarui setelan PuTTY untuk mengizinkan koneksi Tunnel secara lokal. Klik pojok kiri atas PuTTY Window > Change Settings.

   

9. Izinkan port lokal untuk menerima koneksi dari host lain dengan mencentang kotak "Local ports accept connections from other hosts".

   

10. Tutup sesi PuTTY dan klik Apply. Gunakan perintah berikut untuk membuat tunnel terenkripsi ke port RDP dari instance VM:

    gcloud compute start-iap-tunnel windows-iap 3389 --local-host-port=localhost:0 --zone={{{ project_0.default_zone | Zone }}}

    Setelah Anda melihat pesan “Listening on port [XXX].”, salin nomor port tunnel.

11. Kembali ke Konsol Google Cloud dan buka halaman Compute Engine > VM Instances.

12. Tetapkan dan salin sandi untuk instance windows-iap.

    Kembali ke sesi RDP sekarang.

13. Biarkan gcloud tetap berjalan dan buka aplikasi Remote Desktop Connection dari Microsoft Windows.

14. Masukkan endpoint tunnel, dengan endpoint adalah nomor port tunnel dari langkah sebelumnya:

    • localhost:endpoint
    

15. Klik Connect.

    Lalu, masukkan kredensial sebelumnya yang telah Anda salin. Sekarang Anda berhasil melakukan RDP ke instance Anda.

    Jika diminta, klik Yes.

    

Selamat! Anda telah berhasil terhubung ke kedua instance menggunakan IAP.

Selamat!

Anda telah mempelajari cara menggunakan BeyondCorp Enterprise (BCE) dan penerusan TCP Identity-Aware Proxy (IAP) dengan men-deploy 2 VM, windows-iap dan linux-iap, tanpa alamat IP, serta mengonfigurasi tunnel IAP yang memberi Anda akses ke kedua instance tersebut menggunakan VM ketiga, windows-connectivity.

Langkah berikutnya/Pelajari lebih lanjut

• Baca informasi selengkapnya tentang BeyondCorp Enterprise (BCE) dan model keamanan zero-trust di situs dokumentasi cloud berikut.

Sertifikasi dan pelatihan Google Cloud

...membantu Anda mengoptimalkan teknologi Google Cloud. Kelas kami mencakup keterampilan teknis dan praktik terbaik untuk membantu Anda memahami dengan cepat dan melanjutkan proses pembelajaran. Kami menawarkan pelatihan tingkat dasar hingga lanjutan dengan opsi on demand, live, dan virtual untuk menyesuaikan dengan jadwal Anda yang sibuk. Sertifikasi membantu Anda memvalidasi dan membuktikan keterampilan serta keahlian Anda dalam teknologi Google Cloud.

Manual Terakhir Diperbarui pada 18 Juli 2025

Lab Terakhir Diuji pada 18 Juli 2025

Hak cipta 2026 Google LLC. Semua hak dilindungi undang-undang. Google dan logo Google adalah merek dagang dari Google LLC. Semua nama perusahaan dan produk lain mungkin adalah merek dagang masing-masing perusahaan yang bersangkutan.