Gérer les règles de stratégie de sécurité Cloud Armor

Cette page explique comment gérer les règles de vos stratégies de sécurité Google Cloud Armor, y compris comment mettre à jour des règles individuelles, mettre à jour de façon atomique plusieurs règles et supprimer des règles.

Pour créer des règles ou afficher des règles existantes dans une stratégie de sécurité, consultez Créer et afficher des règles de stratégie de sécurité Cloud Armor. Pour gérer le conteneur de stratégie de sécurité lui-même, consultez Gérer les stratégies de sécurité Cloud Armor.

Gérer les règles de stratégie de sécurité

Les sections suivantes décrivent comment mettre à jour ou supprimer des règles de stratégie de sécurité.

Mettre à jour une seule règle dans une stratégie de sécurité

Cette section explique comment mettre à jour une seule règle dans une stratégie de sécurité Cloud Armor. Pour mettre à jour de façon atomique plusieurs règles, consultez Mettre à jour de façon atomique plusieurs règles dans une stratégie de sécurité.

Console

  1. Dans la console Google Cloud , accédez à la page Stratégies Cloud Armor.

    Accéder à la page Stratégies Cloud Armor

  2. Cliquez sur le nom de la stratégie de sécurité pour ouvrir la page Détails de la stratégie.

  3. Cliquez sur l'onglet Règles.

  4. À côté de la règle que vous souhaitez mettre à jour, cliquez sur Modifier. La page Modifier la règle s'affiche.

  5. Apportez les modifications souhaitées, puis cliquez sur Mettre à jour.

gcloud

Utilisez la commande suivante pour mettre à jour une règle. Vous ne pouvez mettre à jour qu'une seule stratégie de sécurité à la fois :

gcloud compute security-policies rules update PRIORITY [ \
    --security-policy POLICY_NAME  \
    --description DESCRIPTION  \
    --src-ip-ranges IP_RANGES  | --expression EXPRESSION \
    --action=[ allow | deny-403 | deny-404 | deny-502 ]  \
    --preview
  ]

Par exemple, la commande suivante met à jour une règle ayant la priorité 1111 pour autoriser le trafic provenant de la plage d'adresses IP 192.0.2.0/24 :

gcloud compute security-policies rules update 1111 \
    --security-policy my-policy \
    --description "allow traffic from 192.0.2.0/24" \
    --src-ip-ranges "192.0.2.0/24" \
    --action "allow"

Pour en savoir plus sur la commande précédente, consultez gcloud compute security-policies rules update.

Pour mettre à jour la priorité d'une règle, utilisez l'API REST. Consultez securityPolicies.patchRule.

Mettre à jour de façon atomique plusieurs règles dans une stratégie de sécurité

Vous pouvez utiliser la fonctionnalité de mise à jour atomique pour appliquer des modifications à plusieurs règles en une seule opération. Les mises à jour d'une seule règle peuvent entraîner un comportement inattendu, comme des erreurs, car les anciennes et les nouvelles règles peuvent se chevaucher pendant une courte période.

Pour mettre à jour de façon atomique plusieurs règles, exportez la stratégie de sécurité actuelle vers un fichier JSON ou YAML, puis modifiez-la. Utilisez le fichier modifié pour créer une stratégie de sécurité, puis remplacez la stratégie de sécurité dans les services de backend.

gcloud

  1. Exportez la stratégie à mettre à jour, comme illustré dans l'exemple suivant :

    gcloud compute security-policies export my-policy \
    --file-name my-file \
    --file-format yaml

    La stratégie exportée ressemble à l'exemple suivant :

        description: my description
    fingerprint: PWfLGDWQDLY=
    id: '123'
    name: my-policy
    rules:
    - action: deny(404)
      description: my-rule-1
      match:
        expr:
          expression: evaluatePreconfiguredWaf('xss-v422-stable')
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 1
    - action: allow
      description: my-rule-2
      match:
        config:
          srcIpRanges:
          - '1.2.3.4'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 2
    - action: deny
      description: default rule
      kind: compute#securityPolicyRule
      match:
        config:
          srcIpRanges:
          - '*'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 2147483647
    selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/securityPolicies/my-policy

  2. Utilisez un éditeur de texte pour modifier la stratégie. Par exemple, vous pouvez modifier les priorités des règles existantes et ajouter une règle :

        description: my description
    fingerprint: PWfLGDWQDLY=
    id: '123'
    name: my-policy
    rules:
    - action: deny(404)
      description: my-rule-1
      match:
        expr:
          expression: evaluatePreconfiguredWaf('xss-v422-stable')
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 1
    - action: allow
      description: my-new-rule
      match:
        config:
          srcIpRanges:
          - '1.2.3.1'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 10
    - action: allow
      description: my-rule-2
      match:
        config:
          srcIpRanges:
          - '1.2.3.4'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 11
    - action: deny
      description: default rule
      kind: compute#securityPolicyRule
      match:
        config:
          srcIpRanges:
          - '*'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 2147483647
    selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/securityPolicies/my-policy

  3. Créez une stratégie de sécurité Cloud Armor, puis spécifiez le nom et le format du fichier modifié, comme indiqué dans l'exemple suivant :

    gcloud compute security-policies create new-policy \
    --file-name modified-policy \
    --file-format yaml

  4. Supprimez l'ancienne stratégie de sécurité du service de backend pertinent, comme indiqué dans l'exemple suivant :

    gcloud compute backend-services update my-backend \
    --security-policy ""

  5. Ajoutez la nouvelle stratégie de sécurité au service de backend, comme indiqué dans l'exemple suivant :

    gcloud compute backend-services update my-backend \
    --security-policy new-policy

  6. Si l'ancienne stratégie n'est pas utilisée, supprimez-la :

    gcloud compute security-policies delete my-policy

Supprimer des règles d'une stratégie de sécurité

Suivez les étapes de cette section pour supprimer des règles d'une stratégie de sécurité Cloud Armor.

Console

  1. Dans la console Google Cloud , accédez à la page Règles Cloud Armor.

    Accéder à la page Stratégies Cloud Armor

  2. Cliquez sur le nom de la stratégie de sécurité pour ouvrir la page Détails de la stratégie.

  3. Dans l'onglet Règles, cochez la case à côté de la règle que vous souhaitez supprimer.

  4. Cliquez sur Supprimer.

gcloud

Utilisez la commande suivante pour supprimer une règle. Vous ne pouvez modifier qu'une seule stratégie de sécurité à la fois, mais vous pouvez en supprimer plusieurs en même temps :

gcloud compute security-policies rules delete PRIORITY [...] [
    --security-policy POLICY_NAME \
  ]

Exemple :

gcloud compute security-policies rules delete 1000 \
    --security-policy my-policy

Étapes suivantes