Regeln für Cloud Armor-Sicherheitsrichtlinien verwalten

Auf dieser Seite wird beschrieben, wie Sie Regeln in Ihren Google Cloud Armor-Sicherheitsrichtlinien verwalten, einschließlich des Aktualisierens einzelner Regeln, des atomaren Aktualisierens mehrerer Regeln und des Löschens von Regeln.

Informationen zum Erstellen neuer Regeln oder zum Aufrufen vorhandener Regeln in einer Sicherheitsrichtlinie finden Sie unter Cloud Armor-Sicherheitsrichtlinienregeln erstellen und aufrufen. Informationen zum Verwalten des Sicherheitsrichtlinien-Containers selbst finden Sie unter Cloud Armor-Sicherheitsrichtlinien verwalten.

Regeln für Sicherheitsrichtlinien verwalten

In den folgenden Abschnitten wird beschrieben, wie Sie Regeln für Sicherheitsrichtlinien aktualisieren oder löschen können.

Einzelne Regel in einer Sicherheitsrichtlinie aktualisieren

In diesem Abschnitt wird beschrieben, wie Sie eine einzelne Regel in einer Cloud Armor-Sicherheitsrichtlinie aktualisieren können. Informationen zum Aktualisieren mehrerer Regeln finden Sie unter Mehrere Regeln in einer Sicherheitsrichtlinie atomar aktualisieren.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Cloud Armor-Richtlinien auf.

    Zu Cloud Armor-Richtlinien

  2. Klicken Sie auf den Namen der Sicherheitsrichtlinie, um die Seite Richtliniendetails zu öffnen.

  3. Klicken Sie auf den Tab Regeln.

  4. Klicken Sie neben der Regel, die Sie aktualisieren möchten, auf Bearbeiten. Die Seite Regel bearbeiten wird angezeigt.

  5. Nehmen Sie die gewünschten Änderungen vor und klicken Sie auf Aktualisieren.

gcloud

Verwenden Sie den folgenden Befehl, um eine Regel zu aktualisieren. Sie können jeweils nur eine Sicherheitsrichtlinie aktualisieren:

gcloud compute security-policies rules update PRIORITY [ \
    --security-policy POLICY_NAME  \
    --description DESCRIPTION  \
    --src-ip-ranges IP_RANGES  | --expression EXPRESSION \
    --action=[ allow | deny-403 | deny-404 | deny-502 ]  \
    --preview
  ]

Mit dem folgenden Befehl wird beispielsweise eine Regel mit der Priorität 1111 aktualisiert, um Traffic aus dem IP-Adressbereich 192.0.2.0/24 zuzulassen:

gcloud compute security-policies rules update 1111 \
    --security-policy my-policy \
    --description "allow traffic from 192.0.2.0/24" \
    --src-ip-ranges "192.0.2.0/24" \
    --action "allow"

Weitere Informationen zum vorherigen Befehl finden Sie unter gcloud compute security-policies rules update.

Um die Priorität einer Regel zu aktualisieren, verwenden Sie die REST API. Siehe securityPolicies.patchRule.

Mehrere Regeln in einer Sicherheitsrichtlinie kleinstmöglich aktualisieren

Mit der Funktion für atomare Aktualisierungen können Sie Änderungen an mehreren Regeln in einer einzigen Aktualisierung anwenden. Aktualisierungen einzelner Regeln können zu unbeabsichtigtem Verhalten wie Fehlern führen, da sich alte und neue Regeln möglicherweise für kurze Zeit überschneiden.

Exportieren Sie die aktuelle Sicherheitsrichtlinie in eine JSON- oder YAML-Datei und ändern Sie diese dann entsprechend, um mehrere Regeln atomar zu aktualisieren. Verwenden Sie die geänderte Datei, um eine Sicherheitsrichtlinie zu erstellen, und wechseln Sie dann die Sicherheitsrichtlinie für die Backend-Dienste.

gcloud

  1. Exportieren Sie die Richtlinie, die Sie aktualisieren möchten, wie im folgenden Beispiel gezeigt:

    gcloud compute security-policies export my-policy \
    --file-name my-file \
    --file-format yaml

    Die exportierte Richtlinie sieht dann ungefähr so aus:

        description: my description
    fingerprint: PWfLGDWQDLY=
    id: '123'
    name: my-policy
    rules:
    - action: deny(404)
      description: my-rule-1
      match:
        expr:
          expression: evaluatePreconfiguredWaf('xss-v422-stable')
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 1
    - action: allow
      description: my-rule-2
      match:
        config:
          srcIpRanges:
          - '1.2.3.4'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 2
    - action: deny
      description: default rule
      kind: compute#securityPolicyRule
      match:
        config:
          srcIpRanges:
          - '*'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 2147483647
    selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/securityPolicies/my-policy

  2. Verwenden Sie einen Texteditor, um die Richtlinie zu ändern. Sie können beispielsweise die Prioritäten vorhandener Regeln ändern und eine Regel hinzufügen:

        description: my description
    fingerprint: PWfLGDWQDLY=
    id: '123'
    name: my-policy
    rules:
    - action: deny(404)
      description: my-rule-1
      match:
        expr:
          expression: evaluatePreconfiguredWaf('xss-v422-stable')
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 1
    - action: allow
      description: my-new-rule
      match:
        config:
          srcIpRanges:
          - '1.2.3.1'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 10
    - action: allow
      description: my-rule-2
      match:
        config:
          srcIpRanges:
          - '1.2.3.4'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 11
    - action: deny
      description: default rule
      kind: compute#securityPolicyRule
      match:
        config:
          srcIpRanges:
          - '*'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 2147483647
    selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/securityPolicies/my-policy

  3. Erstellen Sie eine neue Cloud Armor-Sicherheitsrichtlinie und geben Sie den geänderten Dateinamen und das Format wie im folgenden Beispiel an:

    gcloud compute security-policies create new-policy \
    --file-name modified-policy \
    --file-format yaml

  4. Entfernen Sie die alte Sicherheitsrichtlinie aus dem entsprechenden Backend-Dienst, wie im folgenden Beispiel gezeigt:

    gcloud compute backend-services update my-backend \
    --security-policy ""

  5. Fügen Sie dem Backend-Dienst die neue Sicherheitsrichtlinie hinzu, wie im folgenden Beispiel gezeigt:

    gcloud compute backend-services update my-backend \
    --security-policy new-policy

  6. Wenn die alte Richtlinie nicht verwendet wird, löschen Sie sie:

    gcloud compute security-policies delete my-policy

Regeln aus einer Sicherheitsrichtlinie löschen

Folgen Sie der Anleitung in diesem Abschnitt, um Regeln aus einer Cloud Armor-Sicherheitsrichtlinie zu löschen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Cloud Armor-Richtlinien auf.

    Zu Cloud Armor-Richtlinien

  2. Klicken Sie auf den Namen der Sicherheitsrichtlinie, um die Seite Richtliniendetails zu öffnen.

  3. Klicken Sie auf dem Tab Regeln das Kästchen neben der Regel an, die Sie löschen möchten.

  4. Klicken Sie auf Löschen.

gcloud

Verwenden Sie den folgenden Befehl, um eine Regel zu entfernen. Sie können jeweils nur eine Sicherheitsrichtlinie ändern. Sie können aber mehrere Regeln gleichzeitig löschen:

gcloud compute security-policies rules delete PRIORITY [...] [
    --security-policy POLICY_NAME \
  ]

Beispiel:

gcloud compute security-policies rules delete 1000 \
    --security-policy my-policy

Nächste Schritte