マネージドルールを設定する

このページでは、Google Cloud Armor マネージドルールの更新を有効化、構成、管理する方法について説明します。

デプロイと更新の戦略

Cloud Armor マネージドルールを構成するときに、組織のリスク許容度に応じて次のいずれかのバージョン戦略を選択します。

  • stable（本番環境で検証済み、推奨）: Google がルールを自動的に更新します（または、ゼロデイ ルールの更新を迅速に行います）。これは、本番環境のトラフィックに推奨される安全なベースラインです。
  • canary（早期アクセス）: Google は、早期公開シグネチャを使用してルールを自動的に更新します。安定版の前にプレビュー モードで実行することをおすすめします。

構成のユースケース

このセクションでは、マネージドルールを設定する一般的なユースケースについて説明します。

カテゴリ別にマネージドルールを設定する

マネージドルールを使用するには、セキュリティ ポリシーを作成し、マネージドルール カテゴリをポリシーに追加して、ポリシーをバックエンド サービスに接続します。

  1. セキュリティ ポリシーを作成します。

    gcloud compute security-policies create POLICY_NAME \
    --global

  2. 安定版の SQL インジェクション（sqli）マネージドルールを拒否アクションでポリシーに追加します。

    gcloud compute security-policies rules create 100 \
    --security-policy POLICY_NAME \
    --action deny-403 \
    --expression "evaluateManagedRules('sqli:stable')"

  3. セキュリティ ポリシーをバックエンド サービスに接続します。

    gcloud compute backend-services update BACKEND_SERVICE \
    --global \
    --security-policy POLICY_NAME

    Cloud Armor セキュリティ ポリシーは、バックエンド サービスに接続するまで有効になりません。ポリシーを適用すると、Cloud Armor はそのバックエンド サービスに送信される受信トラフィックを検査して保護できます。

    次のように置き換えます。

    • POLICY_NAME: セキュリティ ポリシーの名前
    • BACKEND_SERVICE: 保護するバックエンド サービスの名前

カナリア プレビュー モードで新しいルールを評価する

stable バージョンを自動適用モードで実行しながら、canary バージョンをプレビュー モードでデプロイすると、新しいルールがライブ トラフィックのブロックを開始する前に、ログで新しいルールを評価できます。

  1. 優先度を高くして（優先度 100）、プレビュー モードでマネージドルールのカナリア版を追加します。

    gcloud compute security-policies rules create 100 \
    --security-policy POLICY_NAME \
    --action deny-403 \
    --expression "evaluateManagedRules('xss:canary')" \
    --preview

  2. 優先度を低くして（優先度 200）、安定版のマネージドルールを自動適用モードで追加します。

    gcloud compute security-policies rules create 200 \
    --security-policy POLICY_NAME \
    --action deny-403 \
    --expression "evaluateManagedRules('xss:stable')"

次のステップ