Administra las reglas de la política de seguridad de Cloud Armor

En esta página, se describe cómo administrar las reglas dentro de tus políticas de seguridad de Google Cloud Armor, lo que incluye actualizar reglas individuales, actualizar varias reglas de forma atómica y borrar reglas.

Para crear reglas nuevas o ver las existentes en una política de seguridad, consulta Crea y visualiza reglas de políticas de seguridad de Cloud Armor. Para administrar el contenedor de la política de seguridad, consulta Administra las políticas de seguridad de Cloud Armor.

Administra las reglas de las políticas de seguridad

En las siguientes secciones, se describe cómo puedes actualizar o borrar reglas de políticas de seguridad.

Actualiza una sola regla en una política de seguridad

En esta sección, se describe cómo puedes actualizar una sola regla en una política de seguridad de Cloud Armor. Para actualizar varias reglas de forma atómica, consulta Actualiza varias reglas de forma atómica en una política de seguridad.

Console

  1. En la consola de Google Cloud , ve a la página Políticas de Cloud Armor.

    Ir a Políticas de Cloud Armor

  2. Haz clic en el nombre de la política de seguridad para abrir la página Detalles de la política.

  3. Haz clic en la pestaña Reglas.

  4. Haz clic en Editar junto a la regla que deseas actualizar. Se abrirá la página Editar regla.

  5. Realiza los cambios y, luego, haz clic en Actualizar.

gcloud

Usa el siguiente comando para actualizar una regla. Solo puedes actualizar una política de seguridad a la vez:

gcloud compute security-policies rules update PRIORITY [ \
    --security-policy POLICY_NAME  \
    --description DESCRIPTION  \
    --src-ip-ranges IP_RANGES  | --expression EXPRESSION \
    --action=[ allow | deny-403 | deny-404 | deny-502 ]  \
    --preview
  ]

Por ejemplo, con el siguiente comando, se actualiza una regla con una prioridad de 1111 para permitir el tráfico desde el rango de direcciones IP 192.0.2.0/24:

gcloud compute security-policies rules update 1111 \
    --security-policy my-policy \
    --description "allow traffic from 192.0.2.0/24" \
    --src-ip-ranges "192.0.2.0/24" \
    --action "allow"

Para obtener más información sobre el comando anterior, consulta gcloud compute security-policies rules update.

Para actualizar la prioridad de una regla, usa la API de REST. Consulta securityPolicies.patchRule.

Actualiza varias reglas de forma atómica en una política de seguridad

Puedes usar la función de actualización atómica para aplicar cambios a varias reglas en una sola actualización. Las actualizaciones de una sola regla pueden causar un comportamiento no deseado, como errores, ya que las reglas antiguas y nuevas pueden superponerse durante un período breve.

Para actualizar varias reglas de forma atómica, exporta la política de seguridad actual a un archivo JSON o YAML y, luego, modifica el archivo. Usa el archivo modificado para crear una política de seguridad y, luego, cambia la política de seguridad de los servicios de backend.

gcloud

  1. Exporta la política que deseas actualizar, como se muestra en el siguiente ejemplo:

    gcloud compute security-policies export my-policy \
    --file-name my-file \
    --file-format yaml

    La política exportada es similar al siguiente ejemplo:

        description: my description
    fingerprint: PWfLGDWQDLY=
    id: '123'
    name: my-policy
    rules:
    - action: deny(404)
      description: my-rule-1
      match:
        expr:
          expression: evaluatePreconfiguredWaf('xss-v422-stable')
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 1
    - action: allow
      description: my-rule-2
      match:
        config:
          srcIpRanges:
          - '1.2.3.4'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 2
    - action: deny
      description: default rule
      kind: compute#securityPolicyRule
      match:
        config:
          srcIpRanges:
          - '*'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 2147483647
    selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/securityPolicies/my-policy

  2. Usa un editor de texto para modificar la política. Por ejemplo, puedes modificar las prioridades de las reglas existentes y agregar una regla:

        description: my description
    fingerprint: PWfLGDWQDLY=
    id: '123'
    name: my-policy
    rules:
    - action: deny(404)
      description: my-rule-1
      match:
        expr:
          expression: evaluatePreconfiguredWaf('xss-v422-stable')
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 1
    - action: allow
      description: my-new-rule
      match:
        config:
          srcIpRanges:
          - '1.2.3.1'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 10
    - action: allow
      description: my-rule-2
      match:
        config:
          srcIpRanges:
          - '1.2.3.4'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 11
    - action: deny
      description: default rule
      kind: compute#securityPolicyRule
      match:
        config:
          srcIpRanges:
          - '*'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 2147483647
    selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/securityPolicies/my-policy

  3. Crea una nueva política de seguridad de Cloud Armor y especifica el nombre de archivo y el formato modificados, como se muestra en el siguiente ejemplo:

    gcloud compute security-policies create new-policy \
    --file-name modified-policy \
    --file-format yaml

  4. Quita la política de seguridad anterior del servicio de backend relevante, como se muestra en el siguiente ejemplo:

    gcloud compute backend-services update my-backend \
    --security-policy ""

  5. Agrega la nueva política de seguridad al servicio de backend, como se muestra en el siguiente ejemplo:

    gcloud compute backend-services update my-backend \
    --security-policy new-policy

  6. Si no deseas usar la política anterior, bórrala: 

    gcloud compute security-policies delete my-policy

Borra reglas de una política de seguridad

Sigue los pasos que se indican en esta sección para borrar reglas de una política de seguridad de Cloud Armor.

Console

  1. En la consola de Google Cloud , ve a la página Políticas de Cloud Armor.

    Ir a Políticas de Cloud Armor

  2. Haz clic en el nombre de la política de seguridad para abrir la página Detalles de la política.

  3. En la pestaña Reglas, selecciona la casilla de verificación junto a la regla que deseas borrar.

  4. Haz clic en Borrar.

gcloud

Usa el siguiente comando para quitar una regla. Solo puedes modificar una política de seguridad a la vez, pero puedes borrar varias reglas a la vez:

gcloud compute security-policies rules delete PRIORITY [...] [
    --security-policy POLICY_NAME \
  ]

Por ejemplo:

gcloud compute security-policies rules delete 1000 \
    --security-policy my-policy

¿Qué sigue?