ניהול כללי מדיניות האבטחה של Cloud Armor

בדף הזה מוסבר איך לנהל כללים במדיניות האבטחה של Google Cloud Armor, כולל עדכון כללים ספציפיים, עדכון אטומי של כמה כללים ומחיקת כללים.

כדי ליצור כללים חדשים או להציג כללים קיימים במדיניות אבטחה, קראו את המאמר יצירה והצגה של כללי מדיניות אבטחה ב-Cloud Armor. כדי לנהל את מאגר מדיניות האבטחה עצמו, קראו את המאמר ניהול מדיניות האבטחה של Cloud Armor.

ניהול הכללים של מדיניות האבטחה

בקטעים הבאים מוסבר איך לעדכן או למחוק כללים של מדיניות אבטחה.

עדכון כלל יחיד במדיניות אבטחה

בקטע הזה מוסבר איך לעדכן כלל יחיד במדיניות אבטחה של Cloud Armor. כדי לעדכן כמה כללים באופן אטומי, קראו את המאמר עדכון כמה כללים באופן אטומי במדיניות אבטחה.

המסוף

1. נכנסים לדף Cloud Armor policies במסוף Google Cloud .

   כניסה לדף Cloud Armor policies

2. לוחצים על שם מדיניות האבטחה כדי לפתוח את הדף Policy details.

3. לוחצים על הכרטיסייה כללים.

4. ליד הכלל שרוצים לעדכן, לוחצים על Edit. הדף Edit rule מוצג.

5. מבצעים את השינויים ולוחצים על עדכון.

gcloud

כדי לעדכן כלל, משתמשים בפקודה הבאה. אפשר לעדכן רק מדיניות אבטחה אחת בכל פעם:

gcloud compute security-policies rules update PRIORITY [ \
    --security-policy POLICY_NAME  \
    --description DESCRIPTION  \
    --src-ip-ranges IP_RANGES  | --expression EXPRESSION \
    --action=[ allow | deny-403 | deny-404 | deny-502 ]  \
    --preview
  ]
  

לדוגמה, הפקודה הבאה מעדכנת כלל עם עדיפות 1111 כדי לאפשר תנועה מטווח כתובות ה-IP‏ 192.0.2.0/24:

gcloud compute security-policies rules update 1111 \
    --security-policy my-policy \
    --description "allow traffic from 192.0.2.0/24" \
    --src-ip-ranges "192.0.2.0/24" \
    --action "allow"

למידע נוסף על הפקודה הקודמת, ראו gcloud compute security-policies rules update.

כדי לעדכן את העדיפות של כלל, צריך להשתמש ב-API בארכיטקטורת REST. securityPolicies.patchRule.

עדכון אטומי של כמה כללים במדיניות אבטחה

אתם יכולים להשתמש בתכונה "עדכון אטומי" כדי להחיל שינויים על כמה כללים בעדכון אחד. עדכונים של כלל אחד עלולים לגרום להתנהגות לא מכוונת, כמו שגיאות, כי כללים ישנים וחדשים עשויים לחפוף לזמן קצר.

כדי לעדכן כמה כללים באופן אטומי, מייצאים את מדיניות האבטחה הנוכחית לקובץ JSON או YAML ואז משנים אותו. משתמשים בקובץ ששיניתם כדי ליצור מדיניות אבטחה, ואז מחליפים את מדיניות האבטחה של השירותים לקצה העורפי.

gcloud

1. מייצאים את המדיניות שרוצים לעדכן, כמו בדוגמה הבאה:

   gcloud compute security-policies export my-policy \
       --file-name my-file \
       --file-format yaml
   

   המדיניות שיוצאה נראית דומה לדוגמה הבאה:

       description: my description
       fingerprint: PWfLGDWQDLY=
       id: '123'
       name: my-policy
       rules:
       - action: deny(404)
         description: my-rule-1
         match:
           expr:
             expression: evaluatePreconfiguredWaf('xss-v422-stable')
           versionedExpr: SRC_IPS_V1
         preview: false
         priority: 1
       - action: allow
         description: my-rule-2
         match:
           config:
             srcIpRanges:
             - '1.2.3.4'
           versionedExpr: SRC_IPS_V1
         preview: false
         priority: 2
       - action: deny
         description: default rule
         kind: compute#securityPolicyRule
         match:
           config:
             srcIpRanges:
             - '*'
           versionedExpr: SRC_IPS_V1
         preview: false
         priority: 2147483647
       selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/securityPolicies/my-policy
   

2. משתמשים בכלי לעריכת טקסט כדי לשנות את המדיניות. לדוגמה, אפשר לשנות את העדיפויות של כללים קיימים ולהוסיף כלל:

       description: my description
       fingerprint: PWfLGDWQDLY=
       id: '123'
       name: my-policy
       rules:
       - action: deny(404)
         description: my-rule-1
         match:
           expr:
             expression: evaluatePreconfiguredWaf('xss-v422-stable')
           versionedExpr: SRC_IPS_V1
         preview: false
         priority: 1
       - action: allow
         description: my-new-rule
         match:
           config:
             srcIpRanges:
             - '1.2.3.1'
           versionedExpr: SRC_IPS_V1
         preview: false
         priority: 10
       - action: allow
         description: my-rule-2
         match:
           config:
             srcIpRanges:
             - '1.2.3.4'
           versionedExpr: SRC_IPS_V1
         preview: false
         priority: 11
       - action: deny
         description: default rule
         kind: compute#securityPolicyRule
         match:
           config:
             srcIpRanges:
             - '*'
           versionedExpr: SRC_IPS_V1
         preview: false
         priority: 2147483647
       selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/securityPolicies/my-policy
   

3. יוצרים מדיניות אבטחה חדשה ב-Cloud Armor ומציינים את שם הקובץ והפורמט ששיניתם, כמו בדוגמה הבאה:

   gcloud compute security-policies create new-policy \
       --file-name modified-policy \
       --file-format yaml
   

4. מסירים את מדיניות האבטחה הישנה משירות הקצה העורפי הרלוונטי, כמו בדוגמה הבאה:

   gcloud compute backend-services update my-backend \
       --security-policy ""
   

5. מוסיפים את מדיניות האבטחה החדשה לשירות לקצה העורפי, כמו בדוגמה הבאה:

   gcloud compute backend-services update my-backend \
       --security-policy new-policy
   

6. אם המדיניות הישנה לא בשימוש, מוחקים אותה:

   gcloud compute security-policies delete my-policy
   

מחיקת כללים ממדיניות אבטחה

כדי למחוק כללים ממדיניות האבטחה של Cloud Armor, פועלים לפי השלבים בקטע הזה.

המסוף

1. נכנסים לדף Cloud Armor policies במסוף Google Cloud .

   כניסה לדף Cloud Armor policies

2. לוחצים על שם מדיניות האבטחה כדי לפתוח את הדף Policy details.

3. בכרטיסייה כללים, מסמנים את התיבה לצד הכלל שרוצים למחוק.

4. לוחצים על מחיקה.

gcloud

כדי להסיר כלל, משתמשים בפקודה הבאה. אפשר לשנות רק מדיניות אבטחה אחת בכל פעם, אבל אפשר למחוק כמה כללים בבת אחת:

gcloud compute security-policies rules delete PRIORITY [...] [
    --security-policy POLICY_NAME \
  ]

לדוגמה:

gcloud compute security-policies rules delete 1000 \
    --security-policy my-policy

המאמרים הבאים

• יצירה והצגה של כללי מדיניות אבטחה
• יצירה וצפייה בכללים של מדיניות אבטחה
• ניהול מדיניות האבטחה
• כוונון הכללים של חומת האש ליישומי אינטרנט (WAF)
• פתרון בעיות