Créer et afficher des stratégies de sécurité Cloud Armor

Cette page explique comment créer des stratégies de sécurité Google Cloud Armor afin de filtrer le trafic entrant vers votre application. Pour en savoir plus sur les concepts liés aux stratégies de sécurité, consultez la présentation des stratégies de sécurité Cloud Armor.

Avant de commencer

Avant de configurer des stratégies de sécurité, procédez comme suit :

  • Assurez-vous de bien connaître les concepts d'équilibreur de charge d'application externe.

  • Examinez vos services de backend existants pour déterminer ceux qui ne sont pas associés à une stratégie de sécurité. Ces services de backend et leurs backends associés ne sont pas protégés. Pour ajouter la protection Cloud Armor, associez une stratégie de sécurité nouvelle ou existante au service de backend.

Configurer les autorisations IAM pour les stratégies de sécurité Cloud Armor

Les opérations suivantes nécessitent le rôle IAM (Identity and Access Management) Administrateur de sécurité de Compute (roles/compute.securityAdmin) :

  • Configurer, modifier, mettre à jour et supprimer une stratégie de sécurité Cloud Armor
  • Avec les méthodes d'API suivantes :
    • SecurityPolicies insert
    • SecurityPolicies delete
    • SecurityPolicies patch
    • SecurityPolicies addRule
    • SecurityPolicies patchRule
    • SecurityPolicies removeRule

Un utilisateur disposant du rôle Administrateur de réseaux Compute (roles/compute.networkAdmin) peut effectuer les opérations suivantes :

  • Définir une stratégie de sécurité Cloud Armor pour un service de backend
  • Avec les méthodes d'API suivantes :
    • BackendServices setSecurityPolicy
    • BackendServices list (gcloud uniquement)

Les utilisateurs disposant du rôle Administrateur de sécurité (roles/iam.securityAdmin) et du rôle Administrateur de réseaux Compute (roles/compute.networkAdmin) peuvent afficher les stratégies de sécurité Cloud Armor à l'aide des méthodes d'API SecurityPolicies get, list et getRule.

Configurer les autorisations IAM pour les rôles personnalisés

Le tableau suivant liste les autorisations standards des rôles IAM, les méthodes d'API associées et les rôles qui accordent ces autorisations.

Autorisation IAM Méthodes d'API Rôles
compute.securityPolicies.create SecurityPolicies insert Administrateur de sécurité de Compute (roles/compute.securityAdmin)
compute.securityPolicies.delete SecurityPolicies delete Administrateur de sécurité de Compute (roles/compute.securityAdmin)
compute.securityPolicies.get SecurityPolicies get
SecurityPolicies getRule		 Administrateur de sécurité (roles/iam.securityAdmin)
compute.securityPolicies.list SecurityPolicies list Administrateur de sécurité (roles/iam.securityAdmin)
Les deux éléments suivants :
  • compute.securityPolicies.use
  • compute.backendServices.
    setSecurityPolicy
 BackendServices
setSecurityPolicy		 Administrateur de réseau Compute (roles/compute.networkAdmin)
compute.securityPolicies.update SecurityPolicies patch
SecurityPolicies addRule
SecurityPolicies patchRule
SecurityPolicies removeRule		 Administrateur de sécurité de Compute (roles/compute.securityAdmin)

Crée des stratégies de sécurité

Utilisez la console Google Cloud , la Google Cloud CLI ou l'API REST pour configurer des stratégies, des règles et des expressions de sécurité Cloud Armor. Lorsque vous utilisez la gcloud CLI, utilisez l'option --type pour spécifier si la stratégie de sécurité est une stratégie de sécurité de backend ou une stratégie de sécurité périphérique.

Si vous ne maîtrisez pas la configuration des stratégies de sécurité, consultez des exemples de stratégies de sécurité. Pour ajouter des règles à une stratégie de sécurité ou afficher des expressions de règle, consultez Créer et afficher des règles de stratégie de sécurité.

Lister les stratégies de sécurité

Suivez les étapes de cette section pour lister les stratégies de sécurité Cloud Armor de votre projet.

Console

  1. Dans la console Google Cloud , accédez à la page Stratégies Cloud Armor.

    Accéder à la page Stratégies Cloud Armor

  2. Pour afficher une stratégie, cliquez sur son nom dans la liste des stratégies.

gcloud 

gcloud compute security-policies list

Exemple :

gcloud compute security-policies list

Résultat : 

NAME: my-policy
REGION: us-central1

Pour en savoir plus, consultez la page gcloud compute security-policies list.

Étapes suivantes