建立及查看 Cloud Armor 安全性政策

本頁面說明如何建立 Google Cloud Armor 安全性政策，篩選傳入應用程式的流量。如要瞭解安全性政策概念，請參閱「Cloud Armor 安全性政策總覽」。

事前準備

設定安全性政策前，請先完成下列事項：

  • 請務必熟悉外部應用程式負載平衡器概念。

  • 檢查現有的後端服務，判斷哪些服務未附加安全性政策。這些後端服務及其相關聯的後端不受保護。如要新增 Cloud Armor 防護功能，請將新的或現有的安全性政策附加至後端服務。

設定 Cloud Armor 安全性政策的 IAM 權限

下列作業需要 Identity and Access Management (IAM) Compute 安全管理員角色 (roles/compute.securityAdmin)：

  • 設定、修改、更新及刪除 Cloud Armor 安全性政策
  • 使用下列 API 方法：
    • SecurityPolicies insert
    • SecurityPolicies delete
    • SecurityPolicies patch
    • SecurityPolicies addRule
    • SecurityPolicies patchRule
    • SecurityPolicies removeRule

具備 Compute 網路管理員角色 (roles/compute.networkAdmin) 的使用者可以執行下列作業：

  • 為後端服務設定 Cloud Armor 安全性政策
  • 使用下列 API 方法：
    • BackendServices setSecurityPolicy
    • BackendServices list (僅限gcloud)

具備安全管理員角色 (roles/iam.securityAdmin) 和 Compute 網路管理員角色 (roles/compute.networkAdmin) 的使用者，可以使用 SecurityPolicies API 方法 get、list 和 getRule 查看 Cloud Armor 安全性政策。

設定自訂角色的 IAM 權限

下表列出 IAM 角色的基本權限、相關聯的 API 方法，以及授予該權限的角色。

IAM 權限 API 方法 角色
compute.securityPolicies.create SecurityPolicies insert Compute 安全管理員 (roles/compute.securityAdmin)
compute.securityPolicies.delete SecurityPolicies delete Compute 安全管理員 (roles/compute.securityAdmin)
compute.securityPolicies.get SecurityPolicies get
SecurityPolicies getRule		 安全管理員 (roles/iam.securityAdmin)
compute.securityPolicies.list SecurityPolicies list 安全管理員 (roles/iam.securityAdmin)
以下兩項：
  • compute.securityPolicies.use
  • compute.backendServices.
    setSecurityPolicy
 BackendServices
setSecurityPolicy		 Compute 網路管理員 (roles/compute.networkAdmin)
compute.securityPolicies.update SecurityPolicies patch
SecurityPolicies addRule
SecurityPolicies patchRule
SecurityPolicies removeRule		 Compute 安全管理員 (roles/compute.securityAdmin)

建立安全性政策

使用 Google Cloud 控制台、Google Cloud CLI 或 REST API，設定 Cloud Armor 安全性政策、規則和運算式。使用 gcloud CLI 時，請透過 --type 旗標指定安全性政策是後端安全性政策，還是邊緣安全性政策。

如果您不熟悉安全性政策設定，請參閱安全性政策範例。如要將規則新增至安全性政策或查看規則運算式，請參閱「建立及查看安全性政策規則」。

列出安全性政策

請按照本節的步驟，列出專案中的 Cloud Armor 安全性政策。

控制台

  1. 前往 Google Cloud 控制台的「Cloud Armor policies」(Cloud Armor 政策) 頁面。

    前往「Cloud Armor policies」(Cloud Armor 政策)

  2. 如要查看政策，請在政策清單中按一下該政策的名稱。

gcloud

gcloud compute security-policies list

例如：

gcloud compute security-policies list

輸出內容：

NAME: my-policy
REGION: us-central1

詳情請參閱「gcloud compute security-policies list」。

後續步驟