このページは Cloud Translation API によって翻訳されました。

Google Cloud Armor

このドキュメントでは、Google Cloud Armor を Google Security Operations と構成して統合する際に役立つガイダンスを提供します。

前提条件

統合を構成する前に、前提条件の手順をすべて完了してください。

IAM ロールを作成して構成する

Google Cloud コンソールで、[IAM ロール] ページに移動します。

IAM ロールに移動
[ロールを作成] をクリックして、統合に必要な権限を持つカスタムロールを作成します。
新しいカスタムロールの場合は、タイトル、説明、一意の ID を指定します。
[ロールのリリース段階] を [一般提供] に設定します。
作成したロールに次の権限を付与します。
- compute.backendBuckets.setSecurityPolicy
- compute.backendServices.setSecurityPolicy
- compute.regionBackendServices.setSecurityPolicy
- compute.regionSecurityPolicies.create
- compute.regionSecurityPolicies.get
- compute.regionSecurityPolicies.list
- compute.regionSecurityPolicies.update
- compute.securityPolicies.create
- compute.securityPolicies.get
- compute.securityPolicies.list
- compute.securityPolicies.update
[作成] をクリックします。

サービスアカウントを作成する

サービスアカウントを作成するには、サービスアカウントの作成の手順に沿って操作します。

重要: [このサービスアカウントにプロジェクトへのアクセス権を付与する] で、カスタム IAM ロールをサービスアカウントに付与してください。
サービスアカウントを作成したら、JSON ファイルとしてダウンロードします。統合パラメータを構成するときに、ダウンロードした JSON ファイルの内容を指定する必要があります。

サービスアカウントの JSON ファイルの内容ではなく、Workload Identity Federation for GKE のメールアドレスを使用するには、統合で使用するサービスアカウントに Service Account Token Creator ロールを割り当てます。

Cloud Armor を Google SecOps と統合する

統合を構成するには、次のパラメータを使用します。

パラメータ
`API Root`	必須 Cloud Armor サービスの API ルート。デフォルト値は `https://compute.googleapis.com/compute/v1/` です。
`Project ID`	Optional Cloud Armor の統合に使用するプロジェクト ID。値が指定されていない場合、プロジェクト ID は [User Service Account] パラメータで指定された JSON ファイルのコンテンツから抽出されます。
`Workload Identity Email`	Optional サービスアカウントのクライアントメールアドレス。このパラメータまたはユーザーサービスアカウントパラメータのいずれかを構成できます。 Workload Identity Federation for GKE のメールアドレスでサービスアカウントの権限を借用するには、サービスアカウントに「サービスアカウントトークン作成者」ロールを付与します。ワークロード ID とその使用方法の詳細については、ワークロードの ID をご覧ください。
`User Service Account`	Optional Cloud Armor サービスに使用するサービスアカウントの JSON ファイルの内容。サービスアカウントの JSON ファイルの内容をすべて提供します。このパラメータまたは Workload Identity メールパラメータのいずれかを構成できます。
`Verify SSL`	Optional 選択すると、Cloud Armor サービスへの接続用の SSL 証明書が有効かどうかが検証されます。デフォルトで選択されています。

操作

一部のアクションでは入力パラメータは必要ありません。

セキュリティポリシーにルールを追加する

Cloud Armor サービスのセキュリティポリシーに新しいルールを追加します。

エンティティ

このアクションはエンティティでは実行されません。

アクション入力

アクションを構成するには、次のパラメータを使用します。

パラメータ

パラメータ
`Policy Name`	必須新しいルールを追加するセキュリティポリシーの名前。
`Region`	Optional ルールを追加するポリシーのリージョン。値が指定されていない場合、ルールはグローバルレベルのセキュリティポリシーに追加されます。
`Rule JSON`	必須追加するルールの JSON 定義。ポリシーにルールを追加する方法の詳細については、メソッド: securityPolicies.addRule をご覧ください。

Policy Name

必須

新しいルールを追加するセキュリティポリシーの名前。

Region

Optional

ルールを追加するポリシーのリージョン。

値が指定されていない場合、ルールはグローバルレベルのセキュリティポリシーに追加されます。

Rule JSON

必須

追加するルールの JSON 定義。

ポリシーにルールを追加する方法の詳細については、メソッド: securityPolicies.addRule をご覧ください。

アクションの出力

アクションの出力タイプ
ケースウォールのアタッチメント	なし
ケースのウォールのリンク	なし
ケースウォールテーブル	なし
拡充テーブル	なし
JSON の結果	利用可能
スクリプトの結果	利用可能

スクリプトの結果

スクリプトの結果名	値
is_success	正誤問題

JSON の結果

{
   "kind": "compute#securityPolicy",
   "id": "ID",
   "creationTimestamp": "2024-04-14T05:39:05.798-07:00",
   "name": "example",
   "description": "Test for integration",
   "rules": [
       {
           "kind": "compute#securityPolicyRule",
           "description": "test",
           "priority": 100,
           "match": {
               "versionedExpr": "SRC_IPS_V1",
               "config": {
                   "srcIpRanges": [
                       "*"
                   ]
               }
           },
           "action": "allow",
           "preview": false
       },
       {
           "kind": "compute#securityPolicyRule",
           "description": "Default rule, higher priority overrides it",
           "priority": 2147483647,
           "match": {
               "versionedExpr": "SRC_IPS_V1",
               "config": {
                   "srcIpRanges": [
                       "*"
                   ]
               }
           },
           "action": "allow",
           "preview": false
       }
   ],
   "fingerprint": "A3hq2ZQYxj8=",
   "selfLink": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/northamerica-northeast1/securityPolicies/example",
   "type": "CLOUD_ARMOR",
   "labelFingerprint": "42WmSpB8rSM=",
   "region": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/northamerica-northeast1"
}

ケースウォール

このアクションでは、次の出力メッセージが表示されます。

出力メッセージメッセージの説明

Successfully added a new rule to the security policy! アクションが成功しました。

出力メッセージ	メッセージの説明
`Successfully added a new rule to the security policy!`	アクションが成功しました。
`Error executing action "Add a Rule to a Security Policy". Reason: ERROR_REASON`	操作を実行できませんでした。サーバーへの接続、入力パラメータ、認証情報、リージョン名、JSON ファイルの内容、またはポリシー名を確認します。

Error executing action "Add a Rule to a Security Policy".
      Reason: ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、認証情報、リージョン名、JSON ファイルの内容、またはポリシー名を確認します。

セキュリティポリシーを作成する

Cloud Armor サービスでセキュリティポリシーを作成します。

エンティティ

このアクションはエンティティでは実行されません。

アクション入力

アクションを構成するには、次のパラメータを使用します。

パラメータ

パラメータ
`Region`	Optional ポリシーを作成するリージョン。値が指定されていない場合、グローバルレベルのセキュリティポリシーが作成されます。
`Policy JSON`	必須作成するポリシーの JSON 定義。ポリシーの詳細については、REST リソース: securityPolicies をご覧ください。

Region

Optional

ポリシーを作成するリージョン。

値が指定されていない場合、グローバルレベルのセキュリティポリシーが作成されます。

Policy JSON

必須

作成するポリシーの JSON 定義。

ポリシーの詳細については、REST リソース: securityPolicies をご覧ください。

アクションの出力

アクションの出力タイプ
ケースウォールのアタッチメント	なし
ケースのウォールのリンク	なし
ケースウォールテーブル	なし
拡充テーブル	なし
JSON の結果	利用可能
スクリプトの結果	利用可能

スクリプトの結果

スクリプトの結果名	値
is_success	正誤問題

JSON の結果

{
   "kind": "compute#securityPolicy",
   "id": "ID",
   "creationTimestamp": "2024-04-14T05:39:05.798-07:00",
   "name": "example",
   "description": "Test for integration",
   "rules": [
       {
           "kind": "compute#securityPolicyRule",
           "description": "test",
           "priority": 100,
           "match": {
               "versionedExpr": "SRC_IPS_V1",
               "config": {
                   "srcIpRanges": [
                       "*"
                   ]
               }
           },
           "action": "allow",
           "preview": false
       },
       {
           "kind": "compute#securityPolicyRule",
           "description": "Default rule, higher priority overrides it",
           "priority": 2147483647,
           "match": {
               "versionedExpr": "SRC_IPS_V1",
               "config": {
                   "srcIpRanges": [
                       "*"
                   ]
               }
           },
           "action": "allow",
           "preview": false
       }
   ],
   "fingerprint": "A3hq2ZQYxj8=",
   "selfLink": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/northamerica-northeast1/securityPolicies/example",
   "type": "CLOUD_ARMOR",
   "labelFingerprint": "42WmSpB8rSM=",
   "region": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/northamerica-northeast1"
}

ケースウォール

このアクションでは、次の出力メッセージが表示されます。

出力メッセージメッセージの説明

Successfully created a new security policy! アクションが成功しました。

出力メッセージ	メッセージの説明
`Successfully created a new security policy!`	アクションが成功しました。
`Error executing action "Create a Security Policy". Reason: ERROR_REASON`	操作を実行できませんでした。サーバーへの接続、入力パラメータ、認証情報、リージョン名、JSON ファイルの内容を確認します。

Error executing action "Create a Security Policy". Reason:
      ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、認証情報、リージョン名、JSON ファイルの内容を確認します。

Ping

統合構成ページで提供されるパラメータを使用して、Cloud Armor サービスへの接続性をテストします。

エンティティ

このアクションはエンティティでは実行されません。

アクション入力

なし

アクションの出力

アクションの出力タイプ
ケースウォールのアタッチメント	なし
ケースのウォールのリンク	なし
ケースウォールテーブル	なし
拡充テーブル	なし
JSON の結果	なし
スクリプトの結果	利用可能

スクリプトの結果

スクリプトの結果名	値
is_success	正誤問題

ケースウォール

このアクションでは、次の出力メッセージが表示されます。

出力メッセージメッセージの説明

Successfully connected to the Google Cloud Armor service with the provided connection parameters! アクションが成功しました。

出力メッセージ	メッセージの説明
`Successfully connected to the Google Cloud Armor service with the provided connection parameters!`	アクションが成功しました。
`Failed to connect to the Google Cloud Armor service! Error is ERROR_REASON`	操作を実行できませんでした。サーバーへの接続、入力パラメータ、または認証情報を確認してください。

Failed to connect to the Google Cloud Armor service! Error is
      ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。

セキュリティポリシーを更新する

Cloud Armor サービスで既存のセキュリティポリシーを更新します。

この操作では、ポリシーのルールを更新できません。関連するポリシーにルールを追加するには、[セキュリティポリシーにルールを追加する] アクションを使用します。

エンティティ

このアクションはエンティティでは実行されません。

アクション入力

アクションを構成するには、次のパラメータを使用します。

パラメータ

パラメータ
`Policy Name`	必須新しいルールを追加するセキュリティポリシーの名前。
`Region`	Optional 更新されたポリシーのリージョン。値が指定されていない場合は、グローバルレベルのセキュリティポリシーが作成されます。
`Rule JSON`	必須更新するポリシーの JSON 定義。ポリシーの更新の詳細については、メソッド: securityPolicies.patch をご覧ください。この操作ではルールを更新できません。ポリシーにルールを追加するには、[セキュリティポリシーにルールを追加する] アクションを使用します。

Policy Name

必須

新しいルールを追加するセキュリティポリシーの名前。

Region

Optional

更新されたポリシーのリージョン。

値が指定されていない場合は、グローバルレベルのセキュリティポリシーが作成されます。

Rule JSON

必須

更新するポリシーの JSON 定義。

ポリシーの更新の詳細については、メソッド: securityPolicies.patch をご覧ください。

この操作ではルールを更新できません。ポリシーにルールを追加するには、[セキュリティポリシーにルールを追加する] アクションを使用します。

アクションの出力

アクションの出力タイプ
ケースウォールのアタッチメント	なし
ケースのウォールのリンク	なし
ケースウォールテーブル	なし
拡充テーブル	なし
JSON の結果	利用可能
スクリプトの結果	利用可能

スクリプトの結果

スクリプトの結果名	値
is_success	正誤問題

JSON の結果

{
   "kind": "compute#securityPolicy",
   "id": "ID",
   "creationTimestamp": "2024-04-14T05:39:05.798-07:00",
   "name": "example",
   "description": "Test for integration",
   "rules": [
       {
           "kind": "compute#securityPolicyRule",
           "description": "test",
           "priority": 100,
           "match": {
               "versionedExpr": "SRC_IPS_V1",
               "config": {
                   "srcIpRanges": [
                       "*"
                   ]
               }
           },
           "action": "allow",
           "preview": false
       },
       {
           "kind": "compute#securityPolicyRule",
           "description": "Default rule, higher priority overrides it",
           "priority": 2147483647,
           "match": {
               "versionedExpr": "SRC_IPS_V1",
               "config": {
                   "srcIpRanges": [
                       "*"
                   ]
               }
           },
           "action": "allow",
           "preview": false
       }
   ],
   "fingerprint": "A3hq2ZQYxj8=",
   "selfLink": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/northamerica-northeast1/securityPolicies/example",
   "type": "CLOUD_ARMOR",
   "labelFingerprint": "42WmSpB8rSM=",
   "region": "https://www.googleapis.com/compute/v1/projects/PROJECT_NAME/regions/northamerica-northeast1"
}

ケースウォール

このアクションでは、次の出力メッセージが表示されます。

出力メッセージメッセージの説明

Successfully added comment to the identity protection detection with ID DETECTION_ID in CrowdStrike アクションが成功しました。

出力メッセージ	メッセージの説明
`Successfully added comment to the identity protection detection with ID DETECTION_ID in CrowdStrike`	アクションが成功しました。
`Error executing action "Update a Security Policy". Reason: ERROR_REASON`	操作を実行できませんでした。サーバーへの接続、入力パラメータ、または認証情報を確認してください。

Error executing action "Update a Security Policy". Reason:
      ERROR_REASON

操作を実行できませんでした。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。

Google Cloud Armor

前提条件

IAM ロールを作成して構成する

サービス アカウントを作成する

Cloud Armor を Google SecOps と統合する

操作

セキュリティ ポリシーにルールを追加する

エンティティ

アクション入力

アクションの出力

スクリプトの結果

JSON の結果

ケースウォール

セキュリティ ポリシーを作成する

エンティティ

アクション入力

アクションの出力

スクリプトの結果

JSON の結果

ケースウォール

Ping

エンティティ

アクション入力

アクションの出力

スクリプトの結果

ケースウォール

セキュリティ ポリシーを更新する

エンティティ

アクション入力

アクションの出力

スクリプトの結果

JSON の結果

ケースウォール

サービスアカウントを作成する

セキュリティポリシーにルールを追加する

セキュリティポリシーを作成する

セキュリティポリシーを更新する