יצירה והצגה של כללי מדיניות האבטחה של Cloud Armor

בדף הזה מוסבר איך ליצור כללי מדיניות אבטחה של Google Cloud Armor כדי לסנן את התנועה הנכנסת לאפליקציה. למידע על מושגים שקשורים למדיניות אבטחה, קראו את הסקירה הכללית על מדיניות האבטחה של Cloud Armor.

לפני שמתחילים

לפני שמגדירים את מדיניות האבטחה, צריך לבצע את הפעולות הבאות:

  • חשוב לוודא שאתם מכירים את המושגים שקשורים למאזן עומסים חיצוני של אפליקציות (ALB).

  • בודקים את שירותי הקצה העורפי הקיימים כדי לראות לאילו מהם לא מצורפת מדיניות אבטחה. שירותי הקצה העורפי האלה והקצוות העורפיים שמשויכים אליהם לא מוגנים. כדי להוסיף הגנה של Cloud Armor, צריך לצרף מדיניות אבטחה חדשה או קיימת לשירות לקצה העורפי.

הגדרת הרשאות IAM למדיניות האבטחה של Cloud Armor

כדי לבצע את הפעולות הבאות, צריך את התפקיד אדמין אבטחה ב-Compute (roles/compute.securityAdmin) בממשק של ניהול זהויות והרשאות גישה (IAM):

  • הגדרה, שינוי, עדכון ומחיקה של מדיניות אבטחה ב-Cloud Armor
  • משתמשים בשיטות ה-API הבאות:
    • SecurityPolicies insert
    • SecurityPolicies delete
    • SecurityPolicies patch
    • SecurityPolicies addRule
    • SecurityPolicies patchRule
    • SecurityPolicies removeRule

משתמש עם התפקיד אדמין של רשת Compute (roles/compute.networkAdmin) יכול לבצע את הפעולות הבאות:

  • הגדרת מדיניות אבטחה של Cloud Armor לשירות לקצה העורפי
  • משתמשים בשיטות ה-API הבאות:
    • BackendServices setSecurityPolicy
    • ‫BackendServices list (gcloud בלבד)

משתמשים עם תפקיד אדמין לענייני אבטחה (roles/iam.securityAdmin) ותפקיד אדמין של רשת Compute‏ (roles/compute.networkAdmin) יכולים לראות את מדיניות האבטחה של Cloud Armor באמצעות השיטות get,‏ list ו-getRule של ה-API‏ SecurityPolicies.

הגדרת הרשאות IAM לתפקידים בהתאמה אישית

בטבלה הבאה מפורטות ההרשאות הבסיסיות של תפקידי IAM, ה-methods המשויכות אליהן ב-API והתפקידים שמעניקים את ההרשאות האלה.

הרשאת IAM שיטות API תפקידים
compute.securityPolicies.create SecurityPolicies insert אדמין אבטחה ב-Compute‏ (roles/compute.securityAdmin)
compute.securityPolicies.delete SecurityPolicies delete אדמין אבטחה ב-Compute‏ (roles/compute.securityAdmin)
compute.securityPolicies.get SecurityPolicies get
SecurityPolicies getRule		 אדמין אבטחה (roles/iam.securityAdmin)
compute.securityPolicies.list SecurityPolicies list אדמין אבטחה (roles/iam.securityAdmin)
שני הפרטים הבאים:
  • compute.securityPolicies.use
  • compute.backendServices.
    setSecurityPolicy
 BackendServices
setSecurityPolicy		 אדמין של רשת Compute‏ (roles/compute.networkAdmin)
compute.securityPolicies.update SecurityPolicies patch
SecurityPolicies addRule
SecurityPolicies patchRule
SecurityPolicies removeRule		 אדמין אבטחה ב-Compute‏ (roles/compute.securityAdmin)

יצירת כללי מדיניות אבטחה

כדי להגדיר את כללי האבטחה, הכללים והביטויים של Cloud Armor, אתם יכולים להשתמש במסוף Google Cloud , ב-Google Cloud CLI או ב-API בארכיטקטורת REST. כשמשתמשים ב-CLI של gcloud, משתמשים בדגל --type כדי לציין אם מדיניות האבטחה היא מדיניות אבטחה לקצה העורפי או מדיניות אבטחה לקצה הרשת.

אם אתם לא מכירים את ההגדרה של מדיניות האבטחה, כדאי לעיין בדוגמאות למדיניות אבטחה. כדי להוסיף כללים למדיניות אבטחה או להציג ביטויים של כללים, קראו את המאמר יצירה והצגה של כללים במדיניות אבטחה.

הצגת רשימה של כללי מדיניות האבטחה

כדי להציג את רשימת כללי מדיניות האבטחה של Cloud Armor בפרויקט, פועלים לפי השלבים שמפורטים בקטע הזה.

המסוף

  1. נכנסים לדף Cloud Armor policies במסוף Google Cloud .

    כניסה לדף Cloud Armor policies

  2. כדי לראות מדיניות מסוימת, לוחצים על השם שלה ברשימת כללי המדיניות.

gcloud 

gcloud compute security-policies list

לדוגמה:

gcloud compute security-policies list

פלט: 

NAME: my-policy
REGION: us-central1

מידע נוסף זמין במאמר gcloud compute security-policies list.

המאמרים הבאים