Membuat dan melihat kebijakan keamanan Cloud Armor

Halaman ini menjelaskan cara membuat kebijakan keamanan Google Cloud Armor untuk memfilter traffic yang masuk ke aplikasi Anda. Untuk mengetahui informasi tentang konsep kebijakan keamanan, lihat Ringkasan kebijakan keamanan Cloud Armor.

Sebelum memulai

Sebelum mengonfigurasi kebijakan keamanan, lakukan hal berikut:

  • Pastikan Anda memahami konsep Load Balancer Aplikasi eksternal.

  • Periksa layanan backend yang ada untuk mengetahui layanan yang belum melampirkan kebijakan keamanan. Layanan backend ini dan backend terkait tidak dilindungi. Untuk menambahkan perlindungan Cloud Armor, lampirkan kebijakan keamanan baru atau yang sudah ada ke layanan backend.

Menyiapkan izin IAM untuk kebijakan keamanan Cloud Armor

Operasi berikut memerlukan peran Compute Security Admin Identity and Access Management (IAM) (roles/compute.securityAdmin):

  • Mengonfigurasi, mengubah, memperbarui, dan menghapus kebijakan keamanan Cloud Armor
  • Dengan menggunakan metode API berikut:
    • SecurityPolicies insert
    • SecurityPolicies delete
    • SecurityPolicies patch
    • SecurityPolicies addRule
    • SecurityPolicies patchRule
    • SecurityPolicies removeRule

Pengguna dengan peran Compute Network Admin (roles/compute.networkAdmin) dapat melakukan operasi berikut:

  • Menetapkan kebijakan keamanan Cloud Armor untuk layanan backend
  • Dengan menggunakan metode API berikut:
    • BackendServices setSecurityPolicy
    • BackendServices list (gcloud saja)

Pengguna dengan peran Security Admin (roles/iam.securityAdmin) dan peran Compute Network Admin (roles/compute.networkAdmin) dapat melihat kebijakan keamanan Cloud Armor menggunakan metode API SecurityPolicies get, list, dan getRule.

Menyiapkan izin IAM untuk peran khusus

Tabel berikut mencantumkan izin dasar peran IAM, metode API terkait, dan peran yang memberikan izin tersebut.

Izin IAM Metode API Peran
compute.securityPolicies.create SecurityPolicies insert Compute Security Admin (roles/compute.securityAdmin)
compute.securityPolicies.delete SecurityPolicies delete Compute Security Admin (roles/compute.securityAdmin)
compute.securityPolicies.get SecurityPolicies get
SecurityPolicies getRule		 Security Admin (roles/iam.securityAdmin)
compute.securityPolicies.list SecurityPolicies list Security Admin (roles/iam.securityAdmin)
Kedua hal berikut:
  • compute.securityPolicies.use
  • compute.backendServices.
    setSecurityPolicy
 BackendServices
setSecurityPolicy		 Compute Network Admin (roles/compute.networkAdmin)
compute.securityPolicies.update SecurityPolicies patch
SecurityPolicies addRule
SecurityPolicies patchRule
SecurityPolicies removeRule		 Compute Security Admin (roles/compute.securityAdmin)

Membuat kebijakan keamanan

Gunakan konsol Google Cloud , Google Cloud CLI, atau REST API untuk mengonfigurasi kebijakan keamanan, aturan, dan ekspresi Cloud Armor. Saat Anda menggunakan gcloud CLI, gunakan flag --type untuk menentukan apakah kebijakan keamanan adalah kebijakan keamanan backend atau kebijakan keamanan edge.

Jika Anda belum memahami konfigurasi kebijakan keamanan, tinjau contoh kebijakan keamanan. Untuk menambahkan aturan ke kebijakan keamanan atau melihat ekspresi aturan, lihat Membuat dan melihat aturan kebijakan keamanan.

Membuat daftar kebijakan keamanan

Ikuti langkah-langkah di bagian ini untuk membuat daftar kebijakan keamanan Cloud Armor di project Anda.

Konsol

  1. Di konsol Google Cloud , buka halaman Cloud Armor policies.

    Buka kebijakan Cloud Armor

  2. Untuk melihat kebijakan, dalam daftar kebijakan, klik nama kebijakan tertentu tersebut.

gcloud 

gcloud compute security-policies list

Contoh:

gcloud compute security-policies list

Output: 

NAME: my-policy
REGION: us-central1

Untuk informasi selengkapnya, lihat gcloud compute security-policies list.

Langkah berikutnya