Implementando o Modelo de Acesso Zero Trust do BeyondCorp

Quando Usar

• Ao substituir a infraestrutura tradicional de VPN por acesso a aplicativos baseado em identidade
• Ao migrar para o Google Cloud e exigir acesso zero trust para aplicativos internos
• Ao implementar a verificação de confiança do dispositivo como pré-requisito para acesso a recursos
• Ao precisar de políticas de acesso ciente do contexto com base na identidade do usuário, postura do dispositivo e localização
• Ao proteger o acesso para força de trabalho remota e híbrida sem confiança em nível de rede

Não use quando os aplicativos exigirem acesso em nível de rede bruto (por exemplo, protocolos baseados em UDP não suportados pelo IAP), para aplicativos públicos voltados para o consumidor ou quando a organização não tiver um provedor de identidade com recursos de MFA.

Pré-requisitos

• Organização do Google Cloud com Cloud Identity ou Google Workspace
• API Identity-Aware Proxy (IAP) ativada no projeto GCP
• Licença Chrome Enterprise Premium para verificação de endpoint
• Aplicativos implantados atrás de um Google Cloud Load Balancer ou no App Engine/Cloud Run
• Extensão Endpoint Verification implantada em todos os dispositivos corporativos
• API Access Context Manager ativada

Fluxo de Trabalho

Etapa 1: Configurar o Access Context Manager com Níveis de Acesso

Defina níveis de acesso que representam níveis de confiança com base em atributos de dispositivo e usuário.

# Enable required APIs
gcloud services enable iap.googleapis.com
gcloud services enable accesscontextmanager.googleapis.com
gcloud services enable beyondcorp.googleapis.com

# Create an access policy (organization level)
gcloud access-context-manager policies create \
  --organization=ORG_ID \
  --title="BeyondCorp Enterprise Policy"

# Create a basic access level for corporate managed devices
cat > corporate-device-level.yaml << 'EOF'
- devicePolicy:
    allowedEncryptionStatuses:
      - ENCRYPTED
    osConstraints:
      - osType: DESKTOP_CHROME_OS
        minimumVersion: "13816.0.0"
      - osType: DESKTOP_WINDOWS
        minimumVersion: "10.0.19045"
      - osType: DESKTOP_MAC
        minimumVersion: "13.0.0"
    requireScreenlock: true
    requireAdminApproval: true
  regions:
    - US
    - GB
    - DE
EOF

gcloud access-context-manager levels create corporate-managed \
  --policy=POLICY_ID \
  --title="Corporate Managed Device" \
  --basic-level-spec=corporate-device-level.yaml

# Create a custom access level using CEL expressions
gcloud access-context-manager levels create high-trust \
  --policy=POLICY_ID \
  --title="High Trust Level" \
  --custom-level-spec=high-trust-cel.yaml

Etapa 2: Implantar o Identity-Aware Proxy em Aplicativos

Ative o IAP em serviços de backend para impor a verificação de identidade antes de conceder acesso.

# Create OAuth consent screen
gcloud iap oauth-brands create \
  --application_title="Corporate Applications" \
  --support_email=security@company.com

# Create OAuth client for IAP
gcloud iap oauth-clients create BRAND_NAME \
  --display_name="BeyondCorp IAP Client"

# Enable IAP on a backend service (GCE/GKE behind HTTPS LB)
gcloud compute backend-services update internal-app-backend \
  --iap=enabled,oauth2-client-id=CLIENT_ID,oauth2-client-secret=CLIENT_SECRET \
  --global

# Enable IAP on App Engine
gcloud iap web enable \
  --resource-type=app-engine \
  --oauth2-client-id=CLIENT_ID \
  --oauth2-client-secret=CLIENT_SECRET

# Enable IAP on Cloud Run service
gcloud run services add-iam-policy-binding internal-api \
  --member="serviceAccount:service-PROJECT_NUM@gcp-sa-iap.iam.gserviceaccount.com" \
  --role="roles/run.invoker" \
  --region=us-central1

Etapa 3: Configurar Vinculações do IAM com Condições de Nível de Acesso

Vincule o acesso do IAP a grupos específicos com requisitos de nível de acesso.

# Conceder acesso ao grupo de engenharia com requisito de dispositivo corporativo
gcloud iap web add-iam-policy-binding \
  --resource-type=backend-services \
  --service=internal-app-backend \
  --member="group:engineering@company.com" \
  --role="roles/iap.httpsResourceAccessor" \
  --condition="expression=accessPolicies/POLICY_ID/accessLevels/corporate-managed,title=Require Corporate Device"

# Conceder acesso a contratados com requisito de alta confiança
gcloud iap web add-iam-policy-binding \
  --resource-type=backend-services \
  --service=internal-app-backend \
  --member="group:contractors@company.com" \
  --role="roles/iap.httpsResourceAccessor" \
  --condition="expression=accessPolicies/POLICY_ID/accessLevels/high-trust,title=Require High Trust"


…