Crea y visualiza políticas de seguridad de Cloud Armor

En esta página, se describe cómo puedes crear políticas de seguridad de Google Cloud Armor para filtrar el tráfico entrante a tu aplicación. Para obtener información sobre los conceptos de las políticas de seguridad, consulta la descripción general de las políticas de seguridad de Cloud Armor.

Antes de comenzar

Antes de configurar las políticas de seguridad, haz lo siguiente:

  • Asegúrate de estar familiarizado con los conceptos del balanceador de cargas de aplicaciones externo.

  • Examina tus servicios de backend existentes para determinar cuáles no tienen una política de seguridad adjunta. Estos servicios de backend y sus backends asociados no están protegidos. Para agregar la protección de Cloud Armor, adjunta una política de seguridad nueva o existente al servicio de backend.

Configura los permisos de IAM para las políticas de seguridad de Cloud Armor

Las siguientes operaciones requieren el rol de Administrador de seguridad de Compute (roles/compute.securityAdmin) de Identity and Access Management (IAM):

  • Configura, modifica, actualiza y borra una política de seguridad de Cloud Armor
  • Usa los siguientes métodos de la API:
    • SecurityPolicies insert
    • SecurityPolicies delete
    • SecurityPolicies patch
    • SecurityPolicies addRule
    • SecurityPolicies patchRule
    • SecurityPolicies removeRule

Un usuario con el rol de administrador de red de Compute (roles/compute.networkAdmin) puede realizar las siguientes operaciones:

  • Establece una política de seguridad de Cloud Armor para un servicio de backend
  • Usa los siguientes métodos de la API:
    • BackendServices setSecurityPolicy
    • BackendServices list (solo gcloud)

Los usuarios con el rol de Administrador de seguridad (roles/iam.securityAdmin) y el rol de Administrador de red de Compute (roles/compute.networkAdmin) pueden ver las políticas de seguridad de Cloud Armor con los métodos de la API de SecurityPolicies get, list y getRule.

Configura permisos de IAM para funciones personalizadas

En la siguiente tabla, se enumeran los permisos básicos de los roles de IAM, sus métodos de API asociados y los roles que otorgan ese permiso.

Permisos de IAM Métodos de la API Funciones
compute.securityPolicies.create SecurityPolicies insert Administrador de seguridad de Compute (roles/compute.securityAdmin)
compute.securityPolicies.delete SecurityPolicies delete Administrador de seguridad de Compute (roles/compute.securityAdmin)
compute.securityPolicies.get SecurityPolicies get
SecurityPolicies getRule		 Administrador de seguridad (roles/iam.securityAdmin)
compute.securityPolicies.list SecurityPolicies list Administrador de seguridad (roles/iam.securityAdmin)
Ambos de los siguientes:
  • compute.securityPolicies.use
  • compute.backendServices.
    setSecurityPolicy
 BackendServices
setSecurityPolicy		 Administrador de redes de Compute (roles/compute.networkAdmin)
compute.securityPolicies.update SecurityPolicies patch
SecurityPolicies addRule
SecurityPolicies patchRule
SecurityPolicies removeRule		 Administrador de seguridad de Compute (roles/compute.securityAdmin)

Crear políticas de seguridad

Usa la consola de Google Cloud , Google Cloud CLI o la API de REST para configurar las políticas, reglas y expresiones de seguridad de Cloud Armor. Cuando uses la gcloud CLI, usa la marca --type para especificar si la política de seguridad es de backend o perimetral.

Si no conoces la configuración de las políticas de seguridad, revisa los ejemplos de políticas de seguridad. Para agregar reglas a una política de seguridad o ver expresiones de reglas, consulta Crea y visualiza reglas de políticas de seguridad.

Mostrar lista de políticas de seguridad

Sigue los pasos de esta sección para enumerar las políticas de seguridad de Cloud Armor en tu proyecto.

Console

  1. En la consola de Google Cloud , ve a la página Políticas de Cloud Armor.

    Ir a Políticas de Cloud Armor

  2. Para ver una política, en la lista de políticas, haz clic en el nombre de esa política específica.

gcloud 

gcloud compute security-policies list

Por ejemplo:

gcloud compute security-policies list

Resultado: 

NAME: my-policy
REGION: us-central1

Para obtener más información, consulta gcloud compute security-policies list.

¿Qué sigue?