Gerenciar regras de política de segurança do Cloud Armor

Nesta página, descrevemos como gerenciar regras nas políticas de segurança do Google Cloud Armor, incluindo a atualização de regras individuais, a atualização atômica de várias regras e a exclusão de regras.

Para criar novas regras ou visualizar as regras atuais em uma política de segurança, consulte Criar e visualizar regras de política de segurança do Cloud Armor. Para gerenciar o próprio contêiner da política de segurança, consulte Gerenciar políticas de segurança do Cloud Armor.

Gerenciar regras da política de segurança

As seções a seguir descrevem como atualizar ou excluir regras de política de segurança.

Atualizar uma única regra em uma política de segurança

Nesta seção, descrevemos como atualizar apenas uma regra em uma política de segurança do Cloud Armor. Para atualizar atomicamente várias regras, consulte Atualizar atomicamente várias regras em uma política de segurança.

Console

  1. No console do Google Cloud , acesse a página Políticas do Cloud Armor.

    Acessar as políticas do Cloud Armor

  2. Clique no nome da política de segurança para abrir a página Detalhes da política.

  3. Clique na guia Regras.

  4. Ao lado da regra que você quer atualizar, clique em Editar. A página Editar regra é exibida.

  5. Faça as alterações e clique em Atualizar.

gcloud

Use o comando a seguir para atualizar uma regra. Só é possível atualizar uma política de segurança por vez:

gcloud compute security-policies rules update PRIORITY [ \
    --security-policy POLICY_NAME  \
    --description DESCRIPTION  \
    --src-ip-ranges IP_RANGES  | --expression EXPRESSION \
    --action=[ allow | deny-403 | deny-404 | deny-502 ]  \
    --preview
  ]

Por exemplo, o comando a seguir atualiza uma regra com prioridade 1.111 para permitir o tráfego do intervalo de endereços IP 192.0.2.0/24:

gcloud compute security-policies rules update 1111 \
    --security-policy my-policy \
    --description "allow traffic from 192.0.2.0/24" \
    --src-ip-ranges "192.0.2.0/24" \
    --action "allow"

Para mais informações sobre o comando anterior, consulte gcloud compute security-policies rules update.

Para atualizar a prioridade de uma regra, use a API REST. Consulte securityPolicies.patchRule.

Atualizar atomicamente várias regras em uma política de segurança

Use o recurso de atualização atômica para implementar mudanças a várias regras em uma única atualização. As atualizações de uma única regra podem causar comportamentos não intencionais, como erros, porque as regras antigas e novas podem se sobrepor por um curto período.

Para atualizar atomicamente várias regras, exporte a política de segurança atual para um arquivo JSON ou YAML e modifique-a. Use o arquivo modificado para criar uma política de segurança e troque a política de segurança dos serviços de back-end.

gcloud

  1. Exporte a política para atualização, conforme o exemplo a seguir:

    gcloud compute security-policies export my-policy \
    --file-name my-file \
    --file-format yaml

    A política exportada é semelhante ao exemplo a seguir:

        description: my description
    fingerprint: PWfLGDWQDLY=
    id: '123'
    name: my-policy
    rules:
    - action: deny(404)
      description: my-rule-1
      match:
        expr:
          expression: evaluatePreconfiguredWaf('xss-v422-stable')
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 1
    - action: allow
      description: my-rule-2
      match:
        config:
          srcIpRanges:
          - '1.2.3.4'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 2
    - action: deny
      description: default rule
      kind: compute#securityPolicyRule
      match:
        config:
          srcIpRanges:
          - '*'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 2147483647
    selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/securityPolicies/my-policy

  2. Use um editor de texto para modificar a política. Por exemplo, você pode alterar as prioridades das regras existentes e adicionar uma regra:

        description: my description
    fingerprint: PWfLGDWQDLY=
    id: '123'
    name: my-policy
    rules:
    - action: deny(404)
      description: my-rule-1
      match:
        expr:
          expression: evaluatePreconfiguredWaf('xss-v422-stable')
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 1
    - action: allow
      description: my-new-rule
      match:
        config:
          srcIpRanges:
          - '1.2.3.1'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 10
    - action: allow
      description: my-rule-2
      match:
        config:
          srcIpRanges:
          - '1.2.3.4'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 11
    - action: deny
      description: default rule
      kind: compute#securityPolicyRule
      match:
        config:
          srcIpRanges:
          - '*'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 2147483647
    selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/securityPolicies/my-policy

  3. Crie uma nova política de segurança do Cloud Armor e especifique o nome e o formato modificados do arquivo, conforme o exemplo a seguir:

    gcloud compute security-policies create new-policy \
    --file-name modified-policy \
    --file-format yaml

  4. Remova a política de segurança antiga do serviço de back-end relevante, conforme o exemplo a seguir:

    gcloud compute backend-services update my-backend \
    --security-policy ""

  5. Adicione a nova política de segurança ao serviço de back-end, conforme o exemplo a seguir:

    gcloud compute backend-services update my-backend \
    --security-policy new-policy

  6. Se a política antiga não for usada, exclua-a:

    gcloud compute security-policies delete my-policy

Excluir regras de uma política de segurança

Siga as etapas nesta seção para excluir regras de uma política de segurança do Cloud Armor.

Console

  1. No console do Google Cloud , acesse a página Políticas do Cloud Armor.

    Acessar as políticas do Cloud Armor

  2. Clique no nome da política de segurança para abrir a página Detalhes da política.

  3. Na guia Regras, marque a caixa de seleção ao lado da regra que você quer excluir.

  4. Clique em Excluir.

gcloud

Use o comando a seguir para remover uma regra. É possível modificar somente uma política de segurança por vez, mas excluir várias regras de uma só vez:

gcloud compute security-policies rules delete PRIORITY [...] [
    --security-policy POLICY_NAME \
  ]

Exemplo:

gcloud compute security-policies rules delete 1000 \
    --security-policy my-policy

A seguir