创建和查看 Cloud Armor 安全政策

本页面介绍了如何创建 Google Cloud Armor 安全政策，以过滤流向应用的传入流量。如需了解安全政策概念，请参阅 Cloud Armor 安全政策概览。

准备工作

在配置安全政策之前，请执行以下操作：

  • 确保您熟悉外部应用负载均衡器概念。

  • 检查现有后端服务以确定哪些服务尚未关联安全政策。这些后端服务及其关联的后端将不受保护。如需添加 Cloud Armor 保护，请将新的或现有的安全政策附加到后端服务。

为 Cloud Armor 安全政策设置 IAM 权限

以下操作需要 Identity and Access Management (IAM) Compute Security Admin 角色 (roles/compute.securityAdmin)：

  • 配置、修改、更新和删除 Cloud Armor 安全政策
  • 使用以下 API 方法：
    • SecurityPolicies insert
    • SecurityPolicies delete
    • SecurityPolicies patch
    • SecurityPolicies addRule
    • SecurityPolicies patchRule
    • SecurityPolicies removeRule

具有 Compute Network Admin 角色 (roles/compute.networkAdmin) 的用户可以执行以下操作：

  • 为后端服务设置 Cloud Armor 安全政策
  • 使用以下 API 方法：
    • BackendServices setSecurityPolicy
    • BackendServices list（仅限 gcloud）

具有 Security Admin 角色 (roles/iam.securityAdmin) 和 Compute Network Admin 角色 (roles/compute.networkAdmin) 的用户可以使用 SecurityPolicies API 方法 get、list 和 getRule 查看 Cloud Armor 安全政策。

为自定义角色设置 IAM 权限

下表列出了 IAM 角色的基本权限、其关联的 API 方法以及授予该权限的角色。

IAM 权限 API 方法 角色
compute.securityPolicies.create SecurityPolicies insert Compute Security Admin (roles/compute.securityAdmin)
compute.securityPolicies.delete SecurityPolicies delete Compute Security Admin (roles/compute.securityAdmin)
compute.securityPolicies.get SecurityPolicies get
SecurityPolicies getRule		 Security Admin (roles/iam.securityAdmin)
compute.securityPolicies.list SecurityPolicies list Security Admin (roles/iam.securityAdmin)
以下两项：
  • compute.securityPolicies.use
  • compute.backendServices.
    setSecurityPolicy
 BackendServices
setSecurityPolicy		 Compute Network Admin (roles/compute.networkAdmin)
compute.securityPolicies.update SecurityPolicies patch
SecurityPolicies addRule
SecurityPolicies patchRule
SecurityPolicies removeRule		 Compute Security Admin (roles/compute.securityAdmin)

创建安全政策

您可以使用 Google Cloud 控制台、Google Cloud CLI 或 REST API 配置 Cloud Armor 安全政策、规则和表达式。使用 gcloud CLI 时，请使用 --type 标志指定安全政策是后端安全政策还是边缘安全政策。

如果您不熟悉安全政策配置，请查看示例安全政策。如需向安全政策添加规则或查看规则表达式，请参阅创建和查看安全政策规则。

列出安全政策

按照本部分中的步骤列出项目中的 Cloud Armor 安全政策。

控制台

  1. 在 Google Cloud 控制台中，前往 Cloud Armor 政策页面。

    前往“Cloud Armor 政策”页面

  2. 如需查看某项政策，请在政策列表中点击该政策的名称。

gcloud

gcloud compute security-policies list

例如：

gcloud compute security-policies list

输出：

NAME: my-policy
REGION: us-central1

如需了解详情，请参阅 gcloud compute security-policies list。

后续步骤