通过企业代理的 Google Cloud Identity 感知代理

Question

为应用程序配置了 Google Cloud Identity Aware 代理。到目前为止，只要我不使用公司代理，我就可以通过 ssh 访问它，没有问题。尝试通过代理（IAP 端点位于公司代理的“允许”列表中），但失败并出现 SSL CERTIFICATE 错误。

错误：

...
"/Library/Frameworks/Python.framework/Versions/3.7/lib/python3.7/ssl.py", line 853, in _create
    self.do_handshake()
  File "/Library/Frameworks/Python.framework/Versions/3.7/lib/python3.7/ssl.py", line 1117, in do_handshake
    self._sslobj.do_handshake()
ssl.SSLCertVerificationError: [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: unable to get local issuer certificate (_ssl.c:1056)
INFO: Error during WebSocket processing:
ssl.SSLCertVerificationError: [SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: unable to get local issuer certificate (_ssl.c:1056)

INFO: Client closed connection from [stdin].
DEBUG: (gcloud.compute.start-iap-tunnel) Error while connecting [[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed: unable to get local issuer certificate (_ssl.c:1056)].
Traceback (most recent call last):
  File "/usr/local/Caskroom/google-cloud-sdk/latest

...

有人成功为 IAP 配置企业代理吗？如果是，您认为需要什么配置才能使其正常工作？

非常感谢！

Answer 1

回答我自己的问题：

是的，可以配置代理来访问 IAP 端点节点。

脚步：

1. 请您友好的代理管理员将以下内容添加到允许列表：

   wss://tunnel.cloudproxy.app

2. 配置您当前的GCLOUD_SDK环境

   $ gcloud config set proxy/type http
   更新属性 [proxy/type]。

    $ gcloud config set proxy/address proxy.testcorp.com                                                                           
    Updated property [proxy/address].
   
    $ gcloud config set proxy/port 8080                                                                                            
    Updated property [proxy/port].
   
    $ gcloud config set proxy/username user001                                                                                    
    Updated property [proxy/username].
   
    $ gcloud config set proxy/password XXXXXXXXXXXX                                                                                
    Updated property [proxy/password].
   

3. 确保您的工作站上安装了正确的 SSL 证书。您可以GCLOUD_SDK使用以下命令配置使用您的证书：

   gcloud 配置集 custom_ca_certs_file /Users/user01/gce/certs/corpcerts.pem

接下来，您可以继续发出'gcloud ssh'命令来--tunnel-through-iap 连接到您的节点。