Was ist Identity-Aware Proxy?
Identity-Aware Proxy (IAP) ist ein globaler Google-Cloud-Dienst, der eine zentrale Autorisierungsschicht vor Anwendungen legt, auf die über HTTPS zugegriffen wird. Statt den Zugriff über Firewalls auf Netzwerkebene zu steuern, prüft IAP jede Anfrage auf Anwendungsebene: Identität und Berechtigung werden ausgewertet, bevor die Anfrage die Anwendung erreicht.
Google positioniert IAP als cloud-native Alternative zu klassischen VPNs. Der Zugriff erfolgt direkt über den Browser; eine Client-Software oder ein Netzwerk-Tunnel ist dafür nicht erforderlich. Zugriffsrichtlinien definieren und erzwingen Sie zentral an einer Stelle.
Kernfunktionen
- Zentrale Autorisierungsschicht für Anwendungen in Cloud Run, App Engine, Compute Engine, Google Kubernetes Engine und für On-Premises-Anwendungen
- Authentifizierung über Google-Konten, Workforce Identity Federation oder Identity Platform
- Autorisierung über IAM: IAP wertet die zutreffende IAM-Richtlinie aus; Benutzer benötigen die Rolle “IAP-secured Web App User”
- Kontextbasierte Zugriffsrichtlinien auf Basis von Benutzeridentität, Gruppenzugehörigkeit, Gerätesicherheit sowie Kontextsignalen wie Standort oder IP-Adresse
- Signierte Header und JWT zur zusätzlichen Absicherung der Anwendung; in der App Engine Standard-Umgebung alternativ die Users API
- TCP-Weiterleitung für SSH- und RDP-Zugriff auf VM-Instanzen
- Automatische OAuth-Konfiguration: Beim Aktivieren von IAP für eine Ressource werden OAuth-2.0-Client-ID und Secret automatisch erzeugt
Typische Anwendungsfälle
Interne Anwendungen ohne VPN: Mitarbeiterinnen und Mitarbeiter greifen über den Browser auf interne Webanwendungen zu. Der Zugriff wird pro Anwendung autorisiert, nicht über eine pauschale Netzwerkfreigabe.
Administrativer Zugriff auf VMs: Über die TCP-Weiterleitung erreichen Administratoren VM-Instanzen per SSH oder RDP, ohne dass diese eine öffentliche IP-Adresse benötigen.
Zero-Trust-Architekturen: IAP setzt kontinuierliche Autorisierung um und wertet dabei Kontextsignale wie Gerätestatus, Standort oder IP-Adresse aus.
Zugriff für externe Identitäten: Über Workforce Identity Federation und Identity Platform binden Sie externe Identitätsanbieter an, ohne separate Google-Konten anlegen zu müssen.
Vorteile
- Zugriffskontrolle auf Anwendungsebene statt breiter Netzwerkfreigaben
- Kein Client und kein Netzwerk-Tunnel erforderlich
- Einheitliche Richtlinienverwaltung über IAM
- Einsetzbar für Cloud-Ressourcen und On-Premises-Anwendungen
- Kombinierbar mit kontextbasierten Zugriffsbedingungen
Integration mit innFactory
Als zertifizierter Google Cloud Partner unterstützt innFactory Sie bei Identity-Aware Proxy:
- Architekturberatung: Bewertung, welche Anwendungen sich über IAP absichern lassen und wie der Übergang von VPN-basiertem Zugriff gestaltet wird
- Richtlinien-Design: Definition von IAM- und kontextbasierten Zugriffsrichtlinien für Ihre Anwendungslandschaft
- Integration: Anbindung bestehender Identitätsanbieter über Workforce Identity Federation oder Identity Platform
- Betrieb: Absicherung administrativer Zugriffe über die TCP-Weiterleitung und Einbindung in Ihre Monitoring- und Audit-Prozesse
Sprechen Sie uns für eine Beratung zu Identity-Aware Proxy und Zero-Trust-Architekturen auf Google Cloud an.
Typische Anwendungsfälle
Technische Spezifikationen
Häufig gestellte Fragen
Was ist Identity-Aware Proxy?
Identity-Aware Proxy (IAP) ist ein globaler Google-Cloud-Dienst, mit dem Sie eine zentrale Autorisierungsschicht für Anwendungen einrichten, auf die über HTTPS zugegriffen wird. Sie arbeiten damit mit einem Zugriffsmodell auf Anwendungsebene statt mit Firewalls auf Netzwerkebene. Google beschreibt IAP als cloud-native Alternative zu klassischen VPNs.
Welche Ressourcen kann IAP schützen?
IAP schützt Anwendungen in Cloud Run, App Engine (Standard- und Flexible-Umgebung), Compute Engine und Google Kubernetes Engine sowie On-Premises-Anwendungen.
Wie authentifiziert IAP Benutzer?
Ist ein Benutzer nicht angemeldet, leitet IAP ihn zur Anmeldung weiter. Als Authentifizierungsmethoden stehen Google-Konten, Workforce Identity Federation für externe Identitätsanbieter sowie Identity Platform zur Verfügung. Nach der Anmeldung speichert der Browser ein Token in einem Cookie, und IAP ermittelt daraus Identität und E-Mail-Adresse des Benutzers.
Wie erfolgt die Autorisierung?
IAP wendet die zutreffende IAM-Richtlinie an und prüft, ob der Benutzer für die angefragte Ressource berechtigt ist. Für den Zugriff auf eine geschützte Anwendung benötigen Benutzer die Rolle "IAP-secured Web App User".
Lässt sich IAP auch für SSH und RDP nutzen?
Ja. Über die TCP-Weiterleitung von IAP können Sie SSH- und RDP-Verbindungen zu VM-Instanzen aufbauen, ohne diese über eine öffentliche IP-Adresse erreichbar zu machen.
Was passiert beim Aktivieren von IAP für eine Ressource?
Wenn Sie IAP für eine Ressource aktivieren, erstellt der Dienst automatisch eine OAuth-2.0-Client-ID und ein zugehöriges Secret.
Hinweis: Alle Produktinformationen auf dieser Seite wurden sorgfältig zusammengestellt, sind jedoch ohne Gewähr und können veraltet oder unvollständig sein. Cloud-Services entwickeln sich schnell weiter — Funktionen, Preise, SLAs und Verfügbarkeit ändern sich laufend. Verbindliche und aktuelle Informationen finden Sie ausschließlich auf der offiziellen Produktseite von Google Cloud (offizielle Dokumentation). Diese Seite stellt kein Angebot von Google Cloud dar.
