Acceso seguro a las aplicaciones de SaaS

Console

Para crear un recurso de puerta de enlace segura, haz lo siguiente:

1. En la consola de Google Cloud , ve a la página de la puerta de enlace segura.
   Ir a la puerta de enlace segura
2. Selecciona el proyecto para el que deseas crear la puerta de enlace segura.
3. Para crear una puerta de enlace segura, haz clic en Crear puerta de enlace nueva y espera a que se complete el proceso de creación.
4. Puedes hacer un seguimiento del progreso en la sección Notificaciones de la consola de Google Cloud .
5. Antes de crear un recurso de aplicación SaaS, te recomendamos que crees concentradores de salida de SaaS. La marca hubs representa los recursos regionales necesarios para habilitar la conectividad de salida a la aplicación de destino. Puedes configurar un concentrador para cada región, y cada concentrador proporciona dos direcciones IP. Una puerta de enlace segura puede tener hasta 20 concentradores. Puedes especificar las siguientes regiones:
   • africa-south1
   • asia-east1
   • asia-south1
   • asia-south2
   • asia-southeast1
   • europe-central2
   • europe-north1
   • europe-southwest1
   • europe-west1
   • europe-west2
   • europe-west3
   • europe-west4
   • europe-west8
   • europe-west9
   • northamerica-northeast1
   • northamerica-northeast2
   • northamerica-south1
   • southamerica-east1
   • southamerica-west1
   • us-central1
   • us-east1
   • us-east4
   • us-east5
   • us-west1
6. En la consola de Google Cloud , ve a la página Centros de salida de SaaS.
   Ir a los concentradores de salida de SaaS
7. Selecciona el proyecto para el que deseas crear los concentradores de salida de SaaS.
8. Para agregar un concentrador de salida de SaaS, haz clic en Agregar concentrador de salida de SaaS.
9. En la lista desplegable, selecciona las regiones en las que deseas agregar los concentradores de salida. Para agregar los concentradores de salida, haz clic en Agregar concentrador de salida de SaaS para agregar más de un concentrador. Cuando termines, haz clic en Guardar para crear los centros de salida.

gcloud

Para crear un recurso de puerta de enlace segura, ejecuta el siguiente comando. Para la marca --hubs, especifica una o más regiones de la siguiente lista.

gcloud beyondcorp security-gateways create SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --display-name="SECURITY_GATEWAY_DISPLAY_NAME" \
    --hubs=us-central1 \
    --service-discovery={}
      

La marca hubs establece los recursos regionales necesarios para habilitar la conectividad de salida a la aplicación de destino. Puedes tener un concentrador para cada región, y cada concentrador proporciona dos direcciones IP. Una puerta de enlace segura puede tener hasta 20 concentradores. Puedes especificar las siguientes regiones:

• africa-south1
• asia-east1
• asia-south1
• asia-south2
• asia-southeast1
• europe-central2
• europe-north1
• europe-southwest1
• europe-west1
• europe-west2
• europe-west3
• europe-west4
• europe-west8
• europe-west9
• northamerica-northeast1
• northamerica-northeast2
• northamerica-south1
• southamerica-east1
• southamerica-west1
• us-central1
• us-east1
• us-east4
• us-east5
• us-west1

REST

Para crear un recurso de puerta de enlace segura, llama al método de la API de Create con los detalles de la puerta de enlace en el cuerpo de la solicitud. Para la marca hubs, especifica una o más regiones de la siguiente lista.

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -X POST \
    -d '{ "display_name": "SECURITY_GATEWAY_DISPLAY_NAME", "hubs": { "us-central1": {} }, "service_discovery": {} }' \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways?security_gateway_id=SECURITY_GATEWAY_ID"
      

La marca hubs representa los recursos regionales necesarios para habilitar la conectividad de salida a la aplicación de destino. Puedes tener un concentrador para cada región, y cada concentrador proporciona dos direcciones IP. Una puerta de enlace segura puede tener hasta 20 concentradores. Puedes especificar las siguientes regiones:

• africa-south1
• asia-east1
• asia-south1
• asia-south2
• asia-southeast1
• europe-central2
• europe-north1
• europe-southwest1
• europe-west1
• europe-west2
• europe-west3
• europe-west4
• europe-west8
• europe-west9
• northamerica-northeast1
• northamerica-northeast2
• northamerica-south1
• southamerica-east1
• southamerica-west1
• us-central1
• us-east1
• us-east4
• us-east5
• us-west1

Console

Para configurar los concentradores de salida de SaaS, haz lo siguiente:

1. En la consola de Google Cloud , ve a la página Centros de salida de SaaS.
   Ir a los concentradores de salida de SaaS
2. En la página Concentradores de salida de SaaS, busca la tabla que enumera los concentradores. Para cada región que desees usar, copia todas las direcciones IP que se indican en la columna IPs de salida estáticas dedicadas. Cada región proporciona dos direcciones IP.
3. Agrega las direcciones IP a la lista de IP permitidas de tu aplicación SaaS. Por ejemplo, para una aplicación de GitHub, puedes seguir esta guía: Administra las direcciones IP permitidas para tu organización.

gcloud

Para configurar los concentradores de salida de SaaS, haz lo siguiente:

1. Obtén las direcciones IP que asigna la puerta de enlace segura para cada concentrador. Se asignan dos direcciones IP para una región.

gcloud beyondcorp security-gateways describe SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global
        

A continuación, se muestra una respuesta de GET de ejemplo de una puerta de enlace segura con hubs. En el ejemplo, se crean hubs en las regiones us-central1 y us-east1, y todas las direcciones IP que se devuelven en la respuesta deben permitirse en la aplicación de SaaS.

createTime: 'CREATE_TIME'
displayName: My secure gateway
hubs:
  us-central1:
    internetGateway:
      assignedIps:
      -   IP_ADDRESS_1
      -   IP_ADDRESS_2
  us-east1:
    internetGateway:
      assignedIps:
      -   IP_ADDRESS_1
      -   IP_ADDRESS_2
name: projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID
state: RUNNING
updateTime: 'UPDATE_TIME'
    

2. Agrega las direcciones IP a la lista de IP permitidas de tu aplicación SaaS. Por ejemplo, para una aplicación de GitHub, puedes seguir esta guía: Administra las direcciones IP permitidas para tu organización.

REST

Para configurar los concentradores de salida de SaaS, haz lo siguiente:

1. Obtén las direcciones IP que asigna la puerta de enlace segura para cada concentrador. Se asignan dos direcciones IP para una región.

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID"
        

A continuación, se muestra una respuesta de GET de ejemplo de una puerta de enlace segura con hubs. En el ejemplo, se crean hubs en las regiones us-central1 y us-east1, y todas las direcciones IP que se devuelven en la respuesta deben permitirse en la aplicación de SaaS.

{
  "securityGateways": [
    {
      "name": "projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID",
      "createTime": "CREATE_TIME",
      "updateTime": "UPDATE_TIME",
      "displayName": "My secure gateway",
      "state": "RUNNING",
      "hubs": {
        "us-central1": {
          "internetGateway": {
            "assignedIps": [
              "IP_ADDRESS_1",
              "IP_ADDRESS_2",
            ]
          }
        },
        "us-east1": {
          "internetGateway": {
            "assignedIps": [
              "IP_ADDRESS_1",
              "IP_ADDRESS_2",
            ]
          }
        }
      }
    }
  ]
}
    

2. Agrega las direcciones IP a la lista de IP permitidas de tu aplicación SaaS. Por ejemplo, para una aplicación de GitHub, puedes seguir esta guía: Administra las direcciones IP permitidas para tu organización.

Console

Para crear una aplicación de SaaS, haz lo siguiente:

1. En la consola de Google Cloud , ve a la página de la puerta de enlace segura.
   Ir a la puerta de enlace segura
2. Para crear una aplicación, haz clic en Add application.
3. Selecciona el tipo de aplicación: Aplicación pública.
4. Si aún no se configuraron los hubs de salida de SaaS para esta puerta de enlace segura, se te solicitará que los crees. Las aplicaciones públicas requieren al menos un concentrador de salida de SaaS. Para configurar los concentradores de salida de SaaS, haz clic en Ir a los concentradores de salida de SaaS y agrega una o más regiones.
5. Después de que tengas uno o más centros de salida, haz clic en Siguiente.
6. Ingresa los detalles de la aplicación:
   • Nombre de la aplicación: Ingresa un nombre, por ejemplo, GitHub.
   • Coincidencia de dominios: Ingresa una lista de patrones de dominio separados por comas para enrutar a través de la puerta de enlace segura. Incluye el puerto en el formato domain:port. Se permiten comodines (*). Por ejemplo: github.com:443.
7. Para configurar tu aplicación SaaS, haz clic en Continuar.
8. Configura tu aplicación de SaaS para permitir el tráfico desde la puerta de enlace segura:
1. Toma nota o copia con cuidado todas las direcciones IP que se indican para las regiones que usas. Estas direcciones IP son únicas para tu puerta de enlace segura.
2. Accede a la Consola del administrador de tu aplicación SaaS.
3. Navega a la configuración de red o de seguridad donde se administran las listas de entidades permitidas de IP.
4. Agrega todas las direcciones IP obtenidas a la lista de entidades permitidas de IP de la aplicación.
9. Para agregar la aplicación, haz clic en Continuar.
10. Opcional: Define una política de acceso: Selecciona una política de acceso de Access Context Manager. Puedes omitir este paso en esta guía.
11. Para crear y guardar tu configuración, y crear la aplicación, haz clic en Crear.

gcloud

Para crear una aplicación de SaaS con gcloud, ejecuta el siguiente comando:

gcloud beyondcorp security-gateways applications create APPLICATION_ID \
    --project=PROJECT_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --location=global \
    --display-name="APPLICATION_DISPLAY_NAME" \
    --endpoint-matchers="hostname=HOST_NAME,ports=443"
      

REST

Para crear una aplicación de SaaS con la API de REST, ejecuta el siguiente comando:

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -X POST \
    -d "{ \"display_name\": \"APPLICATION_DISPLAY_NAME\", \"endpoint_matchers\": [{hostname: \"HOST_NAME\", ports: 443}] }" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID/applications?application_id=APPLICATION_ID"
      

Console

Crea una política para varias aplicaciones

Para configurar una política de acceso, haz lo siguiente:

1. Para crear una política que se aplique a varias aplicaciones vinculadas a la puerta de enlace segura, ve a la página Políticas.
   Ir a Políticas
2. Para agregar políticas de acceso a las aplicaciones, haz clic en Crear política.
3. En la lista desplegable, selecciona las aplicaciones a las que deseas que se apliquen las políticas.
4. Agrega principales a la política:

   Las principales pueden ser usuarios, grupos, dominios o cuentas de servicio. A estas principales se les otorga o deniega el acceso según los niveles de acceso que les asignes.

   1. Para agregar una principal, haz clic en Agregar principal.
   2. En el campo Principal, ingresa la dirección de correo electrónico del usuario, el grupo, la cuenta de servicio o el nombre de dominio.
   3. En el menú desplegable Niveles de acceso, selecciona uno o más niveles predefinidos de Acceso adaptado al contexto. El acceso solo se otorga si la principal cumple con las condiciones de los niveles de acceso seleccionados.

   Para agregar más principales, vuelve a hacer clic en Agregar principal y repite los pasos secundarios.

   Puedes crear y administrar niveles de acceso en Access Context Manager.

5. Para aplicar la política a la aplicación, haz clic en Crear política.

Cómo modificar una política de acceso a nivel de la aplicación

1. Para modificar una política para una sola aplicación, ve a la página Aplicaciones.
   Ir a Aplicaciones
2. Para encontrar la aplicación que deseas editar, haz lo siguiente:
   1. En la lista Applications, busca la aplicación que deseas modificar.
   2. Para ver los detalles de la aplicación, haz clic en el menú Más acciones (more_vert) y selecciona Ver detalles.
3. Para editar la aplicación, haz clic en Editar.
4. Agrega principales a la política:

   Las principales pueden ser usuarios, grupos, dominios o cuentas de servicio. A estas principales se les otorga o deniega el acceso según los niveles de acceso que les asignes.

   1. Para agregar una principal, haz clic en Agregar principal.
   2. En el campo Principal, ingresa la dirección de correo electrónico del usuario, el grupo, la cuenta de servicio o el nombre de dominio.
   3. En la lista desplegable Niveles de acceso, selecciona uno o más niveles de acceso adaptado al contexto predefinidos. El acceso solo se otorga si la principal cumple con las condiciones de los niveles de acceso seleccionados.

   Para agregar más principales, vuelve a hacer clic en Agregar principal y repite los pasos secundarios.

   Puedes crear y administrar niveles de acceso en Access Context Manager.

5. Para aplicar la política a la aplicación, haz clic en Guardar.

gcloud

Agrega una vinculación a nivel de la puerta de enlace de Service Discovery

Antes de otorgar acceso a un usuario a una aplicación, asegúrate de que tenga permisos de Service Discovery a nivel de Secure Gateway.

gcloud beyondcorp security-gateways add-iam-policy-binding SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.serviceDiscoveryUser" \
    --member=MEMBER
  

Reemplaza lo siguiente:

• SECURITY_GATEWAY_ID: ID de la puerta de enlace segura
• PROJECT_ID: Es el ID del proyecto en el que se configura la puerta de enlace segura.
• MEMBER: Es el usuario, el grupo o la cuenta de servicio a los que deseas asignar el rol de Service Discovery. Para obtener más información, consulta Principales de IAM.

Agrega una vinculación a nivel de la aplicación

gcloud beyondcorp security-gateways applications add-iam-policy-binding APPLICATION_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.sgApplicationUser" \
    --member=MEMBER
  

Reemplaza lo siguiente:

• APPLICATION_ID: Es el ID del recurso de la aplicación.
• SECURITY_GATEWAY_ID: ID de la puerta de enlace segura
• PROJECT_ID: Es el ID del proyecto en el que se configura la puerta de enlace segura.
• MEMBER: Es el usuario, el grupo o la cuenta de servicio a los que deseas asignar el rol de Service Discovery. Para obtener más información, consulta Principales de IAM.

Agrega una vinculación condicional

También puedes agregar una vinculación con condiciones. Las condiciones especifican requisitos, como que la dirección IP de un usuario se origine en una ubicación específica. (El nivel de acceso se puede definir en una política de acceso a nivel de la organización o en una política de acceso con alcance).

El siguiente comando de ejemplo otorga acceso solo si la dirección IP de origen se encuentra dentro de un nivel de acceso especificado:

gcloud beyondcorp security-gateways applications add-iam-policy-binding APPLICATION_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.sgApplicationUser" \
    --member=MEMBER \
    --condition="expression='accessPolicies/1234567890/accessLevels/in_us' in request.auth.access_levels,title=Source IP must be in US"
  

Quita una vinculación a nivel de la puerta de enlace de Service Discovery

Revoca los permisos de descubrimiento de servicios de un usuario a nivel de la puerta de enlace segura.

gcloud beyondcorp security-gateways remove-iam-policy-binding SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.serviceDiscoveryUser" \
    --member=MEMBER
  

Reemplaza lo siguiente:

• SECURITY_GATEWAY_ID: ID de la puerta de enlace segura
• PROJECT_ID: Es el ID del proyecto en el que se configura la puerta de enlace segura.
• MEMBER: Es el usuario, el grupo o la cuenta de servicio de los que deseas quitar el rol de Service Discovery. Para obtener más información, consulta Principales de IAM.

Cómo quitar una vinculación a nivel de la aplicación

gcloud beyondcorp security-gateways applications remove-iam-policy-binding APPLICATION_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.sgApplicationUser" \
    --member=MEMBER
  

Reemplaza lo siguiente:

• APPLICATION_ID: Es el ID del recurso de la aplicación.
• SECURITY_GATEWAY_ID: ID de la puerta de enlace segura
• PROJECT_ID: Es el ID del proyecto en el que se configura la puerta de enlace segura.
• MEMBER: Es el usuario, el grupo o la cuenta de servicio de los que deseas quitar el rol de Service Discovery. Para obtener más información, consulta Principales de IAM.

Cómo quitar una vinculación condicional

También puedes quitar una vinculación con condiciones. Las condiciones especifican requisitos, como que la dirección IP de un usuario se origine en una ubicación específica. (El nivel de acceso se puede definir en una política de acceso a nivel de la organización o en una política de acceso con alcance).

En el siguiente ejemplo de comando, se quita una vinculación condicional con un nivel de acceso especificado:

gcloud beyondcorp security-gateways applications remove-iam-policy-binding APPLICATION_ID \
    --security-gateway=SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global \
    --role="roles/beyondcorp.sgApplicationUser" \
    --member=MEMBER \
    --condition="expression='accessPolicies/1234567890/accessLevels/in_us' in request.auth.access_levels,title=Source IP must be in US"
  

REST

Actualiza una política de acceso de forma segura

El comando setIamPolicy reemplaza toda la política existente por la que proporcionas. Para evitar quitar permisos existentes por accidente, te recomendamos que uses el siguiente patrón de "lectura-modificación-escritura". Este patrón ayuda a evitar la eliminación accidental de permisos existentes.

1. Read: Guarda la política de acceso actual en un archivo.
2. Modificar: Edita el archivo de política de forma local para agregar o cambiar permisos.
3. Write: Aplica tu archivo de política actualizado.

Establece una política a nivel de la puerta de enlace de Service Discovery

Para otorgar permisos de detección de servicios, debes establecer una política de acceso en la puerta de enlace de seguridad en lugar de en una aplicación individual. Esto sigue el mismo patrón de "lectura-modificación-escritura".

Recupera la política actual y guárdala en un archivo llamado gateway_policy.json.

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID:getIamPolicy" > gateway_policy.json
  

A continuación, abre el archivo gateway_policy.json en un editor de texto y agrega los principales requeridos a la lista members para el rol roles/beyondcorp.serviceDiscoveryUser, de manera similar a las modificaciones a nivel de la aplicación.

El archivo gateway_policy.json es similar al siguiente ejemplo:

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.serviceDiscoveryUser",
      "members": [
        "group:existing-group@example.com"
      ]
    }
  ],
  "etag": "BwXN8_d-bOM="
}
  

También puedes agregar otros tipos de miembros, como serviceAccount, user, group, principal y principalSet, en las vinculaciones de políticas. Para obtener más información, consulta Principales de IAM.

Aplica la política actualizada:

jq '{policy: .}' gateway_policy.json | curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -d @- \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID:setIamPolicy"
  

Cómo establecer una política de acceso a nivel de la aplicación

Obtén la política actual

Recupera la política actual. El campo etag evita actualizaciones conflictivas si varios administradores realizan cambios de forma simultánea.

El siguiente comando recupera la política y la guarda en un archivo llamado policy.json.

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID/applications/APPLICATION_ID:getIamPolicy" > policy.json
  

Reemplaza lo siguiente:

• PROJECT_ID: Es el ID del proyecto en el que se configura la puerta de enlace segura.
• SECURITY_GATEWAY_ID: ID de la puerta de enlace segura
• APPLICATION_ID: Es el ID del recurso de la aplicación.

El comando crea un archivo policy.json que contiene la política actual.

Modifica el archivo de políticas

Para otorgar acceso a un grupo para usar la puerta de enlace segura, haz lo siguiente:

1. Abre el archivo policy.json en un editor de texto.
2. Agrega el grupo a la lista members para el rol roles/beyondcorp.securityGatewayUser.

El archivo policy.json es similar al siguiente ejemplo:

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.sgApplicationUser",
      "members": [
        "group:existing-group@example.com"
      ]
    }
  ],
  "etag": "BwXN8_d-bOM="
}
      

Para agregar un grupo adicional, agrega una entrada nueva al array members. Incluye una coma después de la entrada anterior. En el siguiente ejemplo, se agrega new-group@example.com:

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.sgApplicationUser",
      "members": [
        "group:existing-group@example.com",
        "group:new-group@example.com"
      ]
    }
  ],
  "etag": "BwXN8_d-bOM="
}
    

También puedes agregar otros tipos de miembros, como serviceAccount, user, group, principal y principalSet, en las vinculaciones de políticas. Para obtener más información, consulta Principales de IAM.

Aplica la política actualizada

Después de editar y guardar el archivo policy.json, aplícalo al recurso con el comando setIamPolicy. Este comando usa el etag de tu archivo para garantizar que actualices la versión correcta.

jq '{policy: .}' policy.json | curl -X POST \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    -d @- \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID/applications/APPLICATION_ID:setIamPolicy"
  

Reemplaza lo siguiente:

• PROJECT_ID: Es el ID del proyecto en el que se configura la puerta de enlace segura.
• SECURITY_GATEWAY_ID: ID de la puerta de enlace segura
• APPLICATION_ID: Es el ID del recurso de la aplicación.

Agrega una política de acceso condicional

También puedes establecer políticas de acceso con condiciones. Las condiciones especifican requisitos, como que la dirección IP de un usuario se origine en una ubicación específica. (El nivel de acceso se puede definir en una política de acceso a nivel de la organización o en una política de acceso con alcance).

La siguiente política de ejemplo otorga acceso solo si la dirección IP de origen se encuentra dentro de un nivel de acceso especificado:

{
  "version": 3,
  "bindings": [
    {
      "role": "roles/beyondcorp.sgApplicationUser",
      "members": [
        "group:group@example.com"
      ],
      "condition": {
        "expression": "request.auth.access_levels.contains('accessPolicies/1234567890/accessLevels/in_us')",
        "title": "Source IP must be in US"
      }
    }
  ],
  "etag": "BwXN8_d-bOM="
}
  

Para aplicar esta política, sigue los pasos que se describieron anteriormente.

gcloud

gcloud beyondcorp security-gateways describe SECURITY_GATEWAY_ID \
    --project=PROJECT_ID \
    --location=global | grep -i "serviceDiscovery"
      

REST

curl --silent \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    -H "Content-Type: application/json" \
    "https://beyondcorp.googleapis.com/v1/projects/PROJECT_ID/locations/global/securityGateways/SECURITY_GATEWAY_ID" | grep -i "serviceDiscovery"