Cloud Armor-Sicherheitsrichtlinien erstellen und ansehen

Auf dieser Seite wird beschrieben, wie Sie Google Cloud Armor-Sicherheitsrichtlinien erstellen, um eingehenden Traffic zu Ihrer Anwendung zu filtern. Informationen zu Sicherheitsrichtlinienkonzepten finden Sie in der Übersicht über die Cloud Armor-Sicherheitsrichtlinie.

Hinweis

Führen Sie vor dem Konfigurieren von Sicherheitsrichtlinien folgende Schritte aus:

  • Machen Sie sich mit den Konzepten des externen Application Load Balancers vertraut.

  • Prüfen Sie Ihre vorhandenen Backend-Dienste, um festzustellen, ob jeweils eine Sicherheitsrichtlinie angehängt ist. Diese Backend-Dienste und die zugehörigen Backends sind nicht geschützt. Wenn Sie Cloud Armor-Schutz hinzufügen möchten, hängen Sie eine neue oder vorhandene Sicherheitsrichtlinie an den Backend-Dienst an.

IAM-Berechtigungen für Cloud Armor-Sicherheitsrichtlinien einrichten

Für die folgenden Vorgänge ist die Rolle Compute Security Admin (roles/compute.securityAdmin) für Identity and Access Management (IAM) erforderlich:

  • Cloud Armor-Sicherheitsrichtlinie konfigurieren, ändern, aktualisieren und löschen
  • Mit den folgenden API-Methoden:
    • SecurityPolicies insert
    • SecurityPolicies delete
    • SecurityPolicies patch
    • SecurityPolicies addRule
    • SecurityPolicies patchRule
    • SecurityPolicies removeRule

Ein Nutzer mit der Rolle „Compute Network Admin“ (roles/compute.networkAdmin) kann die folgenden Vorgänge ausführen:

  • Cloud Armor-Sicherheitsrichtlinie für einen Backend-Dienst einrichten
  • Mit den folgenden API-Methoden:
    • BackendServices setSecurityPolicy
    • BackendServices list (nur gcloud)

Nutzer mit der Rolle „Security Admin“ (roles/iam.securityAdmin) und der Rolle „Compute Network Admin“ (roles/compute.networkAdmin) können sich Cloud Armor-Sicherheitsrichtlinien mithilfe der SecurityPolicies-API-Methoden get, list und getRule ansehen.

IAM-Berechtigungen für benutzerdefinierte Rollen einrichten

In der folgenden Tabelle sind die grundlegenden Berechtigungen der IAM-Rollen, die zugehörigen API-Methoden und die Rollen aufgeführt, die diese Berechtigung gewähren.

IAM-Berechtigung API-Methoden Rollen
compute.securityPolicies.create SecurityPolicies insert Compute-Sicherheitsadministrator (roles/compute.securityAdmin)
compute.securityPolicies.delete SecurityPolicies delete Compute-Sicherheitsadministrator (roles/compute.securityAdmin)
compute.securityPolicies.get SecurityPolicies get
SecurityPolicies getRule		 Security Admin (roles/iam.securityAdmin)
compute.securityPolicies.list SecurityPolicies list Security Admin (roles/iam.securityAdmin)
Beide der folgenden:
  • compute.securityPolicies.use
  • compute.backendServices.
    setSecurityPolicy
 BackendServices
setSecurityPolicy		 Compute-Netzwerkadministrator (roles/compute.networkAdmin)
compute.securityPolicies.update SecurityPolicies patch
SecurityPolicies addRule
SecurityPolicies patchRule
SecurityPolicies removeRule		 Compute-Sicherheitsadministrator (roles/compute.securityAdmin)

Sicherheitsrichtlinien erstellen

Verwenden Sie die Google Cloud Console, die Google Cloud CLI oder die REST API, um Cloud Armor-Sicherheitsrichtlinien, -Regeln und -Ausdrücke zu konfigurieren. Wenn Sie die gcloud CLI verwenden, geben Sie mit dem Flag --type an, ob die Sicherheitsrichtlinie eine Backend-Sicherheitsrichtlinie oder eine Edge-Sicherheitsrichtlinie ist.

Wenn Sie mit der Konfiguration von Sicherheitsrichtlinien nicht vertraut sind, empfehlen wir Ihnen, sich Beispiele für Sicherheitsrichtlinien anzusehen. Informationen zum Hinzufügen von Regeln zu einer Sicherheitsrichtlinie oder zum Aufrufen von Regelausdrücken finden Sie unter Sicherheitsrichtlinienregeln erstellen und ansehen.

Sicherheitsrichtlinien auflisten

Folgen Sie der Anleitung in diesem Abschnitt, um Cloud Armor-Sicherheitsrichtlinien in Ihrem Projekt aufzulisten.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Cloud Armor-Richtlinien auf.

    Zu Cloud Armor-Richtlinien

  2. Wenn Sie eine Richtlinie aufrufen möchten, klicken Sie in der Liste der Richtlinien auf den Namen der jeweiligen Richtlinie.

gcloud 

gcloud compute security-policies list

Beispiel:

gcloud compute security-policies list

Ausgabe: 

NAME: my-policy
REGION: us-central1

Weitere Informationen finden Sie unter gcloud compute security-policies list.

Nächste Schritte