GSP1036

Panoramica

In questo lab imparerai come utilizzare Chrome Enterprise Premium e l'inoltro TCP di Identity-Aware Proxy (IAP) per abilitare l'accesso amministrativo alle istanze VM che non dispongono di indirizzi IP esterni o che non consentono l'accesso diretto su internet.

Obiettivi didattici

• Abilitare l'inoltro TCP di IAP nel tuo progetto Google Cloud
• Testare la connettività alle tue istanze Linux e Windows
• Configurare le regole firewall richieste per BCE
• Concedere le autorizzazioni per utilizzare l'inoltro TCP di IAP
• Illustrare il tunneling utilizzando connessioni SSH ed RDP

Configurazione e requisiti

Prima di fare clic sul pulsante Avvia lab

Leggi le seguenti istruzioni. I lab sono a tempo e non possono essere messi in pausa. Il timer si avvia quando fai clic su Inizia il lab e ti mostra per quanto tempo avrai a disposizione le risorse Google Cloud.

Con questo lab pratico avrai la possibilità di completare le attività in un ambiente cloud reale e non di simulazione o demo. Riceverai delle nuove credenziali temporanee che potrai utilizzare per accedere a Google Cloud per la durata del lab.

Per completare il lab, avrai bisogno di:

• Accesso a un browser internet standard (Chrome è il browser consigliato).

• È ora di completare il lab: ricorda che, una volta iniziato, non puoi metterlo in pausa.

Come avviare il lab e accedere alla console Google Cloud

1. Fai clic sul pulsante Avvia lab. Se devi effettuare il pagamento per il lab, si aprirà una finestra di dialogo per permetterti di selezionare il metodo di pagamento. A sinistra, trovi il riquadro Dettagli lab con le seguenti informazioni:

   • Il pulsante Apri la console Google Cloud
   • Tempo rimanente
   • Credenziali temporanee da utilizzare per il lab
   • Altre informazioni per seguire questo lab, se necessario

2. Fai clic su Apri console Google Cloud (o fai clic con il tasto destro del mouse e seleziona Apri link in finestra di navigazione in incognito se utilizzi il browser Chrome).

   Il lab avvia le risorse e apre un'altra scheda con la pagina di accesso.

   Suggerimento: disponi le schede in finestre separate posizionate fianco a fianco.

   Nota: se visualizzi la finestra di dialogo Scegli un account, fai clic su Usa un altro account.

3. Se necessario, copia il Nome utente di seguito e incollalo nella finestra di dialogo di accesso.

   {{{user_0.username | "Username"}}}

   Puoi trovare il Nome utente anche nel riquadro Dettagli lab.

4. Fai clic su Avanti.

5. Copia la Password di seguito e incollala nella finestra di dialogo di benvenuto.

   {{{user_0.password | "Password"}}}

   Puoi trovare la Password anche nel riquadro Dettagli lab.

6. Fai clic su Avanti.

   Importante: devi utilizzare le credenziali fornite dal lab. Non utilizzare le credenziali del tuo account Google Cloud. Nota: utilizzare il tuo account Google Cloud per questo lab potrebbe comportare addebiti aggiuntivi.

7. Fai clic nelle pagine successive:

   • Accetta i termini e le condizioni.
   • Non inserire opzioni di recupero o l'autenticazione a due fattori, perché si tratta di un account temporaneo.
   • Non registrarti per le prove gratuite.

Dopo qualche istante, la console Google Cloud si apre in questa scheda.

Nota: per accedere ai prodotti e ai servizi Google Cloud, fai clic sul menu di navigazione o digita il nome del servizio o del prodotto nel campo Cerca.

Avrai bisogno di un client RDP preinstallato per poter connettere e testare le istanze Windows.

Attività 1: abilita l'inoltro TCP di IAP nel tuo progetto Google Cloud

1. Apri il menu di navigazione e seleziona API e servizi > Libreria.

2. Cerca IAP e seleziona Cloud Identity-Aware Proxy API.

3. Fai clic su Abilita.

Attività 2: crea istanze Linux e Windows

Crea tre istanze per questo lab: - Due a scopo dimostrativo (Linux e Windows) - Una per testare la connettività (Windows)

Istanza Linux

1. Nel menu di navigazione, seleziona Compute Engine > Istanze VM.

2. Fai clic su Crea istanza.

3. In Configurazione macchina:

   Seleziona i valori riportati di seguito.

   • Nome: linux-iap
   • Zona:

4. Fai clic su Networking.

   In Interfacce di rete, seleziona la voce predefinita nel menu a discesa Rete per modificarla. Quindi cambia l'indirizzo IPV4 esterno in Nessuno.

5. Fai clic su Fine.

   

6. Quindi, fai clic su Crea. Questa VM verrà indicata come linux-iap

Istanze Windows

1. Per creare la VM demo Windows, fai clic su Crea istanza.

2. In Configurazione macchina:

   Seleziona i valori riportati di seguito.

   • Nome: windows-iap
   • Zona:

3. Fai clic sulla sezione Sistema operativo e spazio di archiviazione.

   Fai clic su Cambia per iniziare a configurare il disco di avvio e seleziona i seguenti valori:

   • Immagini pubbliche > Sistema operativo > Windows Server
   • Versione > Windows Server 2016 Datacenter

   

   Fai clic su Seleziona.

4. Fai clic su Networking.

   In Interfacce di rete, seleziona la voce predefinita nel menu a discesa Rete per modificarla. Quindi cambia l'indirizzo IPV4 esterno in Nessuno. Fai clic su Fine.

5. Quindi, fai clic su Crea. Questa VM verrà indicata come windows-iap

6. Per creare la VM di connettività Windows, fai clic su Crea istanza.

7. In Configurazione macchina:

   Seleziona i valori riportati di seguito.

   • Nome: windows-connectivity
   • Zona:

8. Fai clic sulla sezione Sistema operativo e spazio di archiviazione e poi su Cambia.

   Per il sistema operativo, imposta le seguenti opzioni nella scheda Immagini personalizzate:

   • Progetto di origine per le immagini: Qwiklabs Resources
   • Immagine: iap-desktop-v001

   Fai clic su Seleziona.

9. Fai clic su Sicurezza.

   Nella sezione Ambiti di accesso, seleziona Consenti l'accesso completo a tutte le API Cloud.

   Non disabilitare l'IP esterno per questa istanza

10. Quindi, fai clic su Crea. Questa VM verrà indicata come windows-connectivity

Attività 3: testa la connettività alle tue istanze Linux e Windows

1. Dopo aver creato le istanze, testerai l'accesso a linux-iap e windows-iap per assicurarti di non essere in grado di accedere alle VM senza l'IP esterno.

2. Per linux-iap fai clic sul pulsante SSH per accedere alla macchina e assicurarti di ricevere un messaggio simile al seguente.

   

4. Per windows-iap: fai clic sul pulsante RDP e assicurati di ricevere un messaggio simile al seguente:

   

Attività 4: configura le regole firewall richieste per BCE

1. Apri il menu di navigazione e seleziona Rete VPC > Firewall e fai clic su Crea regola firewall

2. Configura le seguenti impostazioni:

3. Fai clic su CREA per creare la regola firewall.

Attività 5: concedi le autorizzazioni per utilizzare l'inoltro TCP di IAP

Per configurare il ruolo iap.tunnelResourceAccessor per VM, procedi nel seguente modo.

1. Apri il menu di navigazione e seleziona Sicurezza > Identity-Aware Proxy e passa alla scheda Risorse SSH e TCP (ignora senza problemi l'errore della schermata per il consenso OAuth nella sezione HTTPS).
2. Seleziona le istanze VM linux-iap e windows-iap.
3. Fai clic su Aggiungi entità, quindi immetti il service account associato alla tua VM di connettività Windows. Dovrebbe essere nel formato -compute@developer.gserviceaccount.com.
4. Seleziona Cloud IAP > IAP-Secured Tunnel User come ruolo.
5. Fai clic su SALVA.
6. Dall'angolo in alto a destra della pagina, fai clic sull'icona "S" per aprire il tuo profilo e copiare l'email dell'account studente.
7. Fai di nuovo clic su Aggiungi entità per aggiungere il tuo account studente.
8. Inserisci l'account studente. Puoi copiare questo valore dal riquadro dei dettagli del lab.
9. Seleziona Cloud IAP > IAP-Secured Tunnel User come ruolo.
10. Fai clic su SALVA.

Attività 6: utilizza IAP Desktop per connetterti alle istanze Windows e Linux

Puoi utilizzare IAP Desktop per connetterti alle istanze tramite una Graphic User Interface da un'istanza con Windows Desktop. Per saperne di più su IAP Desktop nel repository GitHub che ospita il download dello strumento.

Per utilizzare IAP Desktop per connetterti alle istanze in questo lab:

1. Connettiti tramite RDP all'istanza windows-connectivity scaricando il file RDP. Vai alla pagina Compute Engine > Istanze VM. Seleziona la Freccia giù accanto all'istanza windows-connectivity nella pagina di destinazione di Compute Engine e scarica il file.

2. Apri il file RDP per connetterti all'istanza tramite Remote Desktop Protocol. Quando vengono richieste, utilizzerai le seguenti credenziali per connetterti all'istanza:

   • Nome utente: student
   • Password: Learn123!

3. Una volta connesso all'istanza windows-connectivity, individua e apri l'applicazione IAP Desktop sul computer dell'istanza.

4. Una volta aperta l'applicazione, fai clic sul pulsante Accedi con Google per effettuare l'accesso. Utilizza il nome utente e la password forniti nella console del lab per autenticarti con IAP Desktop. Quando ti viene chiesto di continuare, fai clic su Continua e poi su Consenti.

5. Dovrai aggiungere il progetto per connetterti alle istanze Compute Engine all'interno di IAP Desktop dopo l'autenticazione. Seleziona il progetto del lab associato alla tua istanza del lab:

6. Fai doppio clic sull'istanza windows-iap nell'applicazione IAP Desktop per accedere all'istanza.

7. È possibile che ti venga richiesto di fornire le credenziali per l'istanza la prima volta che provi a connetterti tramite IAP Desktop. Seleziona "Genera nuove credenziali" la prima volta che accedi all'istanza.

8. Fai clic su Ok per il popup Genera credenziali di accesso.

9. Una volta create le credenziali verrai indirizzato al desktop dell'istanza windows-iap dove potrai vedere l'esperienza dell'utente finale.

Attività 7: illustra il tunneling utilizzando connessioni SSH ed RDP

1. Ora testerai la connettività all'istanza RDP utilizzando un client RDP, perché hai la necessità di connetterti all'istanza tramite un tunnel IAP localmente.

2. Vai alla pagina Compute Engine > Istanze VM.

3. Per l'istanza windows-connectivity fai clic sulla Freccia giù e seleziona Imposta password di Windows. Copia la password e salvala.

4. Quindi fai clic sulla Freccia giù accanto a Connetti e fai clic su Scarica il file RDP. Apri il file RDP con il tuo client e inserisci la tua password.

5. Dopo aver effettuato la connessione all'istanza windows-connectivity, apri Google Cloud SDK Shell:

   

6. Ora dalla riga di comando inserisci il seguente comando per vedere se riesci a connetterti all'istanza linux-iap:

   gcloud compute ssh linux-iap

   Quando viene richiesto di continuare e selezionare la zona, fai clic su Y.

   Assicurati di selezionare la zona corretta per l'istanza.

7. Quindi accetta l'avviso di sicurezza PuTTY.

8. Aggiorna le impostazioni PuTTY per consentire le connessioni tunnel localmente. Fai clic sull'angolo in alto a sinistra della finestra PuTTY > Modifica impostazioni.

   

9. Consenti alle porte locali di accettare connessioni da altri host selezionando la casella di controllo "Local ports accept connections from other hosts" (Le porte locali accettano connessioni da altri host).

   

10. Chiudi la sessione PuTTY e fai clic su Apply (Applica). Utilizza il seguente comando per creare un tunnel criptato sulla porta RDP dell'istanza VM:

    gcloud compute start-iap-tunnel windows-iap 3389 --local-host-port=localhost:0 --zone={{{ project_0.default_zone | Zone }}}

    Una volta visualizzato il messaggio "Listening on port [XXX]" (In ascolto sulla porta [XXX]), copia il numero della porta del tunnel.

11. Torna alla console Google Cloud e vai alla pagina Compute Engine > Istanze VM.

12. Imposta e copia la password per l'istanza windows-iap.

    Ora torna alla sessione RDP.

13. Lascia gcloud in esecuzione e apri l'app Connessione desktop remoto di Microsoft Windows.

14. Inserisci l'endpoint del tunnel, ovvero il numero di porta del tunnel del passaggio precedente, in questo modo:

    • localhost:endpoint
    

15. Fai clic su Connect (Connetti).

    Quindi inserisci le credenziali che hai copiato in precedenza. Verrà eseguita la connessione all'istanza tramite RDP.

    Se richiesto, fai clic su Yes (Sì).

    

Complimenti! Hai effettuato correttamente la connessione a entrambe le istanze tramite IAP.

Complimenti!

Hai imparato a utilizzare BeyondCorp Enterprise (BCE) e l'inoltro TCP di Identity-Aware Proxy (IAP) eseguendo il deployment di due VM, windows-iap e linux-iap, senza indirizzi IP e configurando un tunnel IAP che ti ha fornito l'accesso a entrambe le istanze utilizzando una terza VM, windows-connectivity.

Prossimi passi/Scopri di più

• Per saperne di più su BeyondCorp Enterprise (BCE) e sul modello di sicurezza Zero Trust, consulta il seguente sito della documentazione cloud.

Formazione e certificazione Google Cloud

… per utilizzare al meglio le tecnologie Google Cloud. I nostri corsi ti consentono di sviluppare competenze tecniche e best practice per aiutarti a metterti subito al passo e avanzare nel tuo percorso di apprendimento. Offriamo vari livelli di formazione, dal livello base a quello avanzato, con opzioni di corsi on demand, dal vivo e virtuali, in modo da poter scegliere il più adatto in base ai tuoi impegni. Le certificazioni ti permettono di confermare e dimostrare le tue abilità e competenze relative alle tecnologie Google Cloud.

Ultimo aggiornamento del manuale: 18 luglio 2025

Ultimo test del lab: 18 luglio 2025

Copyright 2026 Google LLC. Tutti i diritti riservati. Google e il logo Google sono marchi di Google LLC. Tutti gli altri nomi di società e prodotti sono marchi delle rispettive società a cui sono associati.