Criar e visualizar políticas de segurança do Cloud Armor

Nesta página, descrevemos como criar políticas de segurança do Google Cloud Armor para filtrar o tráfego de entrada no seu aplicativo. Para informações sobre conceitos de política de segurança, consulte a visão geral da política de segurança do Cloud Armor.

Antes de começar

Antes de configurar políticas de segurança, faça o seguinte:

  • Familiarize-se com os conceitos de balanceador de carga de aplicativo externo.

  • Examine seus serviços de back-end atuais para determinar quais não têm uma política de segurança anexada. Esses serviços de back-end e os back-ends associados não são protegidos. Para adicionar a proteção do Cloud Armor, anexe uma política de segurança nova ou atual ao serviço de back-end.

Configurar permissões do IAM para políticas de segurança do Cloud Armor

As operações a seguir exigem o papel de administrador de segurança do Compute (roles/compute.securityAdmin) do Identity and Access Management (IAM):

  • Como configurar modificar, atualizar e excluir uma política de segurança do Cloud Armor
  • Usando os seguintes métodos de API:
    • SecurityPolicies insert
    • SecurityPolicies delete
    • SecurityPolicies patch
    • SecurityPolicies addRule
    • SecurityPolicies patchRule
    • SecurityPolicies removeRule

Um usuário com o papel de administrador da rede do Compute (roles/compute.networkAdmin) pode realizar as seguintes operações:

  • Definir uma política de segurança do Cloud Armor para um serviço de back-end
  • Usando os seguintes métodos de API:
    • BackendServices setSecurityPolicy
    • BackendServices list (somente gcloud)

Os usuários com os papéis de administrador de segurança (roles/iam.securityAdmin) e de administrador de rede do Compute (roles/compute.networkAdmin) podem visualizar as políticas de segurança do Cloud Armor usando os métodos get, list e getRule da API SecurityPolicies.

Configurar permissões do IAM para papéis personalizados

A tabela a seguir lista as permissões básicas dos papéis do IAM, os métodos de API associados e os papéis que concedem essa permissão.

Permissão do IAM Métodos da API Papéis
compute.securityPolicies.create SecurityPolicies insert Administrador de segurança do Compute (roles/compute.securityAdmin)
compute.securityPolicies.delete SecurityPolicies delete Administrador de segurança do Compute (roles/compute.securityAdmin)
compute.securityPolicies.get SecurityPolicies get
SecurityPolicies getRule		 Administrador de segurança (roles/iam.securityAdmin)
compute.securityPolicies.list SecurityPolicies list Administrador de segurança (roles/iam.securityAdmin)
Ambas as opções a seguir:
  • compute.securityPolicies.use
  • compute.backendServices.
    setSecurityPolicy
 BackendServices
setSecurityPolicy		 Administrador de rede do Compute (roles/compute.networkAdmin)
compute.securityPolicies.update SecurityPolicies patch
SecurityPolicies addRule
SecurityPolicies patchRule
SecurityPolicies removeRule		 Administrador de segurança do Compute (roles/compute.securityAdmin)

Criar políticas de segurança

Use o console do Google Cloud , a Google Cloud CLI ou a API REST para configurar políticas, regras e expressões de segurança do Cloud Armor. Ao usar a CLI gcloud, use a flag --type para especificar se a política de segurança é de back-end ou de borda.

Se você não estiver familiarizado com a configuração da política de segurança, consulte os exemplos de políticas de segurança. Para adicionar regras a uma política de segurança ou visualizar expressões de regra, consulte Criar e visualizar regras de política de segurança.

Listar políticas de segurança

Siga as etapas nesta seção para listar as políticas de segurança do Cloud Armor no seu projeto.

Console

  1. No console do Google Cloud , acesse a página Políticas do Cloud Armor.

    Acessar as políticas do Cloud Armor

  2. Para visualizar uma política, clique no nome dela na lista de políticas.

gcloud 

gcloud compute security-policies list

Exemplo:

gcloud compute security-policies list

Saída: 

NAME: my-policy
REGION: us-central1

Para ver mais informações, consulte gcloud compute security-policies list.

A seguir