Gestisci le regole delle policy di sicurezza di Cloud Armor

Questa pagina descrive come gestire le regole all'interno delle policy di sicurezza di Google Cloud Armor, tra cui l'aggiornamento di singole regole, l'aggiornamento atomico di più regole e l'eliminazione di regole.

Per creare nuove regole o visualizzare quelle esistenti in una policy di sicurezza, consulta Crea e visualizza le regole delle policy di sicurezza di Cloud Armor. Per gestire il container delle policy di sicurezza, consulta Gestisci le policy di sicurezza di Cloud Armor.

Gestisci le regole delle policy di sicurezza

Le sezioni seguenti descrivono come aggiornare o eliminare le regole delle policy di sicurezza.

Aggiorna una singola regola in una policy di sicurezza

Questa sezione descrive come aggiornare una singola regola in una policy di sicurezza di Cloud Armor. Per aggiornare più regole in modo atomico, vedi Aggiorna più regole in una policy di sicurezza in modo atomico.

Console

  1. Nella console Google Cloud , vai alla pagina Policy di Cloud Armor.

    Vai alle policy di Cloud Armor

  2. Fai clic sul nome della policy di sicurezza per aprire la pagina Dettagli policy.

  3. Fai clic sulla scheda Regole.

  4. Accanto alla regola che vuoi aggiornare, fai clic su Modifica. Viene visualizzata la pagina Modifica regola.

  5. Apporta le modifiche e fai clic su Aggiorna.

gcloud

Utilizza il seguente comando per aggiornare una regola. Puoi aggiornare una sola policy di sicurezza alla volta:

gcloud compute security-policies rules update PRIORITY [ \
    --security-policy POLICY_NAME  \
    --description DESCRIPTION  \
    --src-ip-ranges IP_RANGES  | --expression EXPRESSION \
    --action=[ allow | deny-403 | deny-404 | deny-502 ]  \
    --preview
  ]

Ad esempio, il comando seguente aggiorna una regola con priorità 1111 per consentire il traffico dall'intervallo di indirizzi IP 192.0.2.0/24:

gcloud compute security-policies rules update 1111 \
    --security-policy my-policy \
    --description "allow traffic from 192.0.2.0/24" \
    --src-ip-ranges "192.0.2.0/24" \
    --action "allow"

Per ulteriori informazioni sul comando precedente, consulta gcloud compute security-policies rules update.

Per aggiornare la priorità di una regola, utilizza l'API REST. Consulta securityPolicies.patchRule.

Aggiorna in modo atomico più regole in una policy di sicurezza

Puoi utilizzare la funzionalità di aggiornamento atomico per applicare le modifiche a più regole in un unico aggiornamento. Gli aggiornamenti di una singola regola potrebbero causare comportamenti imprevisti, come errori, perché le regole vecchie e nuove potrebbero sovrapporsi per un breve periodo.

Per aggiornare più regole in modo atomico, esporta la policy di sicurezza corrente in un file JSON o YAML, quindi modificalo. Utilizza il file modificato per creare una policy di sicurezza, quindi cambia la policy di sicurezza per i servizi di backend.

gcloud

  1. Esporta la policy da aggiornare, come mostrato nell'esempio seguente:

    gcloud compute security-policies export my-policy \
    --file-name my-file \
    --file-format yaml

    La policy esportata è simile all'esempio seguente:

        description: my description
    fingerprint: PWfLGDWQDLY=
    id: '123'
    name: my-policy
    rules:
    - action: deny(404)
      description: my-rule-1
      match:
        expr:
          expression: evaluatePreconfiguredWaf('xss-v422-stable')
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 1
    - action: allow
      description: my-rule-2
      match:
        config:
          srcIpRanges:
          - '1.2.3.4'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 2
    - action: deny
      description: default rule
      kind: compute#securityPolicyRule
      match:
        config:
          srcIpRanges:
          - '*'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 2147483647
    selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/securityPolicies/my-policy

  2. Utilizza un editor di testo per modificare la policy. Ad esempio, puoi modificare le priorità delle regole esistenti e aggiungere una regola:

        description: my description
    fingerprint: PWfLGDWQDLY=
    id: '123'
    name: my-policy
    rules:
    - action: deny(404)
      description: my-rule-1
      match:
        expr:
          expression: evaluatePreconfiguredWaf('xss-v422-stable')
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 1
    - action: allow
      description: my-new-rule
      match:
        config:
          srcIpRanges:
          - '1.2.3.1'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 10
    - action: allow
      description: my-rule-2
      match:
        config:
          srcIpRanges:
          - '1.2.3.4'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 11
    - action: deny
      description: default rule
      kind: compute#securityPolicyRule
      match:
        config:
          srcIpRanges:
          - '*'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 2147483647
    selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/securityPolicies/my-policy

  3. Crea una nuova policy di sicurezza di Cloud Armor e specifica il nome file e il formato modificati, come mostrato nell'esempio seguente:

    gcloud compute security-policies create new-policy \
    --file-name modified-policy \
    --file-format yaml

  4. Rimuovi la vecchia policy di sicurezza dal servizio di backend pertinente, come mostrato nell'esempio seguente:

    gcloud compute backend-services update my-backend \
    --security-policy ""

  5. Aggiungi la nuova policy di sicurezza al servizio di backend, come mostrato nell'esempio seguente:

    gcloud compute backend-services update my-backend \
    --security-policy new-policy

  6. Se la vecchia policy non viene utilizzata, eliminala:

    gcloud compute security-policies delete my-policy

Elimina le regole da una policy di sicurezza

Segui i passaggi descritti in questa sezione per eliminare le regole da una policy di sicurezza di Cloud Armor.

Console

  1. Nella console Google Cloud , vai alla pagina Policy di Cloud Armor.

    Vai alle policy di Cloud Armor

  2. Fai clic sul nome della policy di sicurezza per aprire la pagina Dettagli policy.

  3. Nella scheda Regole, seleziona la casella di controllo accanto alla regola che vuoi eliminare.

  4. Fai clic su Elimina.

gcloud

Utilizza il seguente comando per rimuovere una regola. Puoi modificare una sola policy di sicurezza alla volta, ma puoi eliminare più regole contemporaneamente:

gcloud compute security-policies rules delete PRIORITY [...] [
    --security-policy POLICY_NAME \
  ]

Ad esempio:

gcloud compute security-policies rules delete 1000 \
    --security-policy my-policy

Passaggi successivi