ファイアウォール エンドポイントの作成と管理

このページでは、Google Cloud コンソールと Google Cloud CLI を使用してファイアウォール エンドポイントを構成および管理し、Virtual Private Cloud（VPC）ネットワークに関連付ける方法について説明します。

ゾーンレベルでファイアウォール エンドポイントを作成し、同じゾーン内の 1 つ以上の VPC ネットワークに関連付けます。VPC ネットワークに関連付けられたファイアウォール ポリシーでレイヤ 7 インスペクションを有効にしている場合、一致したトラフィックは透過的にインターセプトされ、ファイアウォール エンドポイントに転送されます。

ジャンボ フレームのサポートの有無にかかわらず、ファイアウォール エンドポイントを作成できます。ファイアウォール エンドポイントでサポートされているパケットサイズについては、サポートされているパケットサイズをご覧ください。

注: このページに記載されているオペレーションの進行状況を確認するには、ユーザー ロールに次の Compute ネットワーク ユーザー ロール（roles/compute.networkUser）の権限が付与されていることを確認してください。

• networksecurity.operations.get
• networksecurity.operations.list

始める前に

• VPC ネットワークとサブネットが必要です。

• Google Cloud プロジェクトで Compute Engine API を有効にする必要があります。

• 課金に使用する Google Cloud プロジェクトで Network Security API を有効にする必要があります。

• Google Cloud プロジェクトで Certificate Authority Service API を有効にする必要があります。

• このガイドの gcloud コマンドラインのサンプルを実行する場合は、gcloud CLI をインストールします。

ロール

ファイアウォール エンドポイントの作成、表示、更新、削除を行うために必要な権限を取得するには、組織またはプロジェクトに必要な IAM ロールの付与を管理者に依頼してください。ロールの付与の詳細については、アクセス権の管理をご覧ください。

割り当て

ファイアウォール エンドポイントと関連付けの割り当てについては、割り当てと上限をご覧ください。

ファイアウォール エンドポイントを作成する

特定のゾーンにファイアウォール エンドポイントを作成します。

注: Cloud NGFW では、ファイアウォール エンドポイントの作成に最大 20 分、ファイアウォール エンドポイントの関連付けの作成にさらに 15 分ほどかかる場合があります。

組織レベルのエンドポイント

ファイアウォール エンドポイントは組織レベルで作成できます。これらのエンドポイントは、組織レベルのセキュリティ プロファイル グループのみをサポートします。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.firewallEndpoints.create

ロール

• Compute ネットワーク管理者（roles/compute.networkAdmin）
• 組織レベルで付与されたファイアウォール エンドポイント管理者（roles/networksecurity.firewallEndpointAdmin）

コンソール

1. Google Cloud コンソールで、[ファイアウォール エンドポイント] ページに移動します。

   [ファイアウォール エンドポイント] に移動

2. プロジェクト セレクタのメニューで、組織を選択します。

3. [作成] をクリックします。

4. [リージョン] リストで、ファイアウォール エンドポイントを作成するリージョンを選択します。

5. [ゾーン] リストで、ファイアウォール エンドポイントを作成するゾーンを選択します。

6. 必要に応じて、[名前] フィールドに名前を入力します。

   ファイアウォール エンドポイント名に、個人を特定できる情報やセキュリティ データなどの機密情報を含めないでください。

7. [課金プロジェクト] リストで、ファイアウォール エンドポイントの課金に使用する Google Cloud プロジェクトを選択します。

8. [続行] をクリックします。

9. エンドポイントでジャンボ フレームをサポートする場合は、[ジャンボ フレームのサポートを有効にする] チェックボックスをオンにします。それ以外の場合は、このチェックボックスをオフにします。

10. [続行] をクリックします。

11. ファイアウォール エンドポイントの関連付けを追加する場合は、[エンドポイントの関連付けを追加] をクリックします。それ以外の場合は、この手順をスキップします。

    1. [プロジェクト] リストで、ファイアウォール エンドポイントの関連付けを作成する Google Cloud プロジェクトを選択します。
    2. Google Cloud プロジェクトで Compute Engine API または Network Security API が有効になっていない場合は、[有効にする] をクリックします。
    3. [ネットワーク] リストで、ファイアウォール エンドポイントに関連付けるネットワークを選択します。
    4. [TLS インスペクション ポリシー] リストで、この関連付けに追加する TLS インスペクション ポリシーを選択します。
    5. 別の関連付けを追加するには、[エンドポイントの関連付けを追加] をクリックします。

12. [作成] をクリックします。

gcloud

ファイアウォール エンドポイントを作成するには、gcloud network-security firewall-endpoints create コマンドを使用します。

gcloud network-security firewall-endpoints create NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE \
    --enable-jumbo-frames \
    --billing-project BILLING_PROJECT_ID

次のように置き換えます。

• NAME: ファイアウォール エンドポイントの名前。

  ファイアウォール エンドポイント名に、個人を特定できる情報やセキュリティ データなどの機密情報を含めないでください。

• ORGANIZATION_ID: エンドポイントが有効になっている組織。

• ZONE: エンドポイントがアクティブになっているゾーン。

• BILLING_PROJECT_ID: ファイアウォール エンドポイントの課金に使用される Google Cloud プロジェクト ID。

サイズが最大 8,500 バイトのジャンボ フレームをサポートするファイアウォール エンドポイントを作成するには、オプションの --enable-jumbo-frames フラグを使用します。このフラグをスキップすると、ジャンボ フレームをサポートしないエンドポイントが作成されます。ファイアウォール エンドポイントでサポートされているパケットサイズについては、サポートされているパケットサイズをご覧ください。

ファイアウォール エンドポイントを VPC ネットワークに関連付けるには、ファイアウォール エンドポイントの関連付けを作成するをご覧ください。

Terraform

google_network_security_firewall_endpoint Terraform リソースを使用します。

resource "google_network_security_firewall_endpoint" "default" {
  name               = "my-firewall-endpoint"
  parent             = "organizations/123456789"
  location           = "us-central1-a"
  billing_project_id = "my-project-name"
  enable_jumbo_frames = true
}

サイズが最大 8,500 バイトのジャンボ フレームをサポートするファイアウォール エンドポイントを作成するには、enable_jumbo_frames フィールドを True に設定します。ジャンボ フレームをサポートしないファイアウォール エンドポイントを作成するには、このフィールドを False に設定します。ファイアウォール エンドポイントでサポートされているパケットサイズについては、サポートされているパケットサイズをご覧ください。

Terraform 構成を適用または削除する方法については、基本的な Terraform コマンドをご覧ください。

プロジェクト レベルのエンドポイント

プレビュー

この機能は、サービス固有規約の「一般サービス規約」セクションの「一般提供前のサービス規約」の対象となります。pre-GA の機能は「現状のまま」で提供されるものであり、サポートが制限されることがあります。 詳細については、リリース ステージの説明をご覧ください。

ファイアウォール エンドポイントはプロジェクト レベルで作成できます。これらのエンドポイントは、組織レベルとプロジェクト レベルの両方のセキュリティ プロファイル グループをサポートしています。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.firewallEndpoints.create

ロール

• Compute ネットワーク管理者（roles/compute.networkAdmin）
• プロジェクト レベルまたは組織レベルで付与されたファイアウォール エンドポイント管理者（roles/networksecurity.firewallEndpointAdmin）

gcloud

ファイアウォール エンドポイントを作成するには、gcloud beta network-security firewall-endpoints create コマンドを使用します。

gcloud beta network-security firewall-endpoints create NAME \
    --project PROJECT_ID \
    --zone ZONE \
    --enable-jumbo-frames

次のように置き換えます。

• NAME: ファイアウォール エンドポイントの名前。

  ファイアウォール エンドポイント名に、個人を特定できる情報やセキュリティ データなどの機密情報を含めないでください。

• PROJECT_ID: エンドポイントが有効になっているプロジェクト。

• ZONE: エンドポイントがアクティブになっているゾーン。

サイズが最大 8,500 バイトのジャンボ フレームをサポートするファイアウォール エンドポイントを作成するには、オプションの --enable-jumbo-frames フラグを使用します。このフラグをスキップすると、ジャンボ フレームをサポートしないエンドポイントが作成されます。ファイアウォール エンドポイントでサポートされているパケットサイズについては、サポートされているパケットサイズをご覧ください。

ファイアウォール エンドポイントを VPC ネットワークに関連付けるには、ファイアウォール エンドポイントの関連付けを作成するをご覧ください。

ファイアウォール エンドポイントを表示する

特定のファイアウォール エンドポイントの詳細を表示できます。

組織レベルのエンドポイント

組織レベルのファイアウォール エンドポイントの詳細を表示するには、Google Cloud コンソールまたは gcloud CLI を使用します。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.firewallEndpoints.get

ロール

• Compute ネットワーク管理者（roles/compute.networkAdmin）
• Compute ネットワーク ユーザー（roles/compute.networkUser）
• Compute ネットワーク閲覧者（roles/compute.networkViewer）
• 組織レベルで付与されたファイアウォール エンドポイント管理者（roles/networksecurity.firewallEndpointAdmin）

コンソール

1. Google Cloud コンソールで、[ファイアウォール エンドポイント] ページに移動します。

   [ファイアウォール エンドポイント] に移動

2. プロジェクト セレクタ メニューで、エンドポイントが有効になった組織を選択します。

   [ファイアウォール エンドポイント] ページに、組織で構成されているすべてのファイアウォール エンドポイントが一覧表示されます。

3. ファイアウォール エンドポイントの名前をクリックして、詳細を表示します。

gcloud

ファイアウォール エンドポイントの詳細を表示するには、gcloud network-security firewall-endpoints describe コマンドを使用します。

gcloud network-security firewall-endpoints \
    describe NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE

次のように置き換えます。

• NAME: ファイアウォール エンドポイントの名前。

• ORGANIZATION_ID: エンドポイントが有効になっている組織。

• ZONE: エンドポイントがアクティブになっているゾーン。

プロジェクト レベルのエンドポイント

プレビュー

この機能は、サービス固有規約の「一般サービス規約」セクションの「一般提供前のサービス規約」の対象となります。pre-GA の機能は「現状のまま」で提供されるものであり、サポートが制限されることがあります。 詳細については、リリース ステージの説明をご覧ください。

プロジェクト レベルのファイアウォール エンドポイントの詳細を表示するには、gcloud CLI を使用します。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.firewallEndpoints.get

ロール

• Compute ネットワーク管理者（roles/compute.networkAdmin）
• Compute ネットワーク ユーザー（roles/compute.networkUser）
• Compute ネットワーク閲覧者（roles/compute.networkViewer）
• プロジェクト レベルまたは組織レベルで付与されたファイアウォール エンドポイント管理者（roles/networksecurity.firewallEndpointAdmin）

gcloud

ファイアウォール エンドポイントの詳細を表示するには、gcloud beta network-security firewall-endpoints describe コマンドを使用します。

gcloud beta network-security firewall-endpoints \
    describe NAME \
    --project PROJECT_ID \
    --zone ZONE

次のように置き換えます。

• NAME: ファイアウォール エンドポイントの名前。

• PROJECT_ID: エンドポイントが有効になっているプロジェクト。

• ZONE: エンドポイントがアクティブになっているゾーン。

ファイアウォール エンドポイントを一覧表示する

組織またはプロジェクト内のすべてのファイアウォール エンドポイントを一覧表示できます。

組織レベルのエンドポイント

組織レベルのすべてのファイアウォール エンドポイントを一覧表示するには、Google Cloud コンソールまたは gcloud CLI を使用します。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.firewallEndpoints.list

ロール

• Compute ネットワーク管理者（roles/compute.networkAdmin）
• Compute ネットワーク ユーザー（roles/compute.networkUser）
• Compute ネットワーク閲覧者（roles/compute.networkViewer）
• 組織レベルで付与されたファイアウォール エンドポイント管理者（roles/networksecurity.firewallEndpointAdmin）

コンソール

1. Google Cloud コンソールで、[ファイアウォール エンドポイント] ページに移動します。

   [ファイアウォール エンドポイント] に移動

2. プロジェクト セレクタ メニューで、エンドポイントが有効になった組織を選択します。

3. [ファイアウォール エンドポイント] ページに、構成されているすべてのファイアウォール エンドポイントが一覧表示されます。

gcloud

すべてのファイアウォール エンドポイントを一覧表示するには、gcloud network-security firewall-endpoints list コマンドを使用します。

gcloud network-security firewall-endpoints list \
    --organization ORGANIZATION_ID \
    --zone ZONE \
    --billing-project BILLING_PROJECT_ID

次のように置き換えます。

• ORGANIZATION_ID: エンドポイントが有効になっている組織。

• ZONE: エンドポイントがアクティブになっているゾーン。すべてのゾーンのエンドポイントを一覧表示するには、- を使用します。

• BILLING_PROJECT_ID: オペレーションの割り当てが課金対象となるGoogle Cloud プロジェクト ID（省略可）。これは、組織レベルのファイアウォール エンドポイントでのみ必要です。

プロジェクト レベルのエンドポイント

プレビュー

この機能は、サービス固有規約の「一般サービス規約」セクションの「一般提供前のサービス規約」の対象となります。pre-GA の機能は「現状のまま」で提供されるものであり、サポートが制限されることがあります。 詳細については、リリース ステージの説明をご覧ください。

プロジェクト レベルのすべてのファイアウォール エンドポイントを一覧表示するには、gcloud CLI を使用します。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.firewallEndpoints.list

ロール

• Compute ネットワーク管理者（roles/compute.networkAdmin）
• Compute ネットワーク ユーザー（roles/compute.networkUser）
• Compute ネットワーク閲覧者（roles/compute.networkViewer）
• プロジェクト レベルまたは組織レベルで付与されたファイアウォール エンドポイント管理者（roles/networksecurity.firewallEndpointAdmin）

gcloud

すべてのファイアウォール エンドポイントを一覧表示するには、gcloud beta network-security firewall-endpoints list コマンドを使用します。

gcloud beta network-security firewall-endpoints list \
    --project PROJECT_ID \
    --zone ZONE

次のように置き換えます。

• PROJECT_ID: エンドポイントが有効になっているプロジェクト。

• ZONE: エンドポイントがアクティブになっているゾーン。すべてのゾーンのエンドポイントを一覧表示するには、- を使用します。

ファイアウォール エンドポイントを更新する

ファイアウォール エンドポイントのラベルを管理したり、説明を更新したりできます。

組織レベルのエンドポイント

組織レベルのファイアウォール エンドポイントを更新するには、Google Cloud コンソールまたは gcloud CLI を使用します。組織内のファイアウォール エンドポイントの課金プロジェクトを更新することもできます。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.firewallEndpoints.get

ロール

• Compute ネットワーク管理者（roles/compute.networkAdmin）
• Compute ネットワーク ユーザー（roles/compute.networkUser）
• Compute ネットワーク閲覧者（roles/compute.networkViewer）
• 組織レベルで付与されたファイアウォール エンドポイント管理者（roles/networksecurity.firewallEndpointAdmin）

コンソール

1. Google Cloud コンソールで、[ファイアウォール エンドポイント] ページに移動します。

   [ファイアウォール エンドポイント] に移動

2. プロジェクト セレクタ メニューで、エンドポイントが有効になった組織を選択します。

   [ファイアウォール エンドポイント] ページに、構成されているすべてのファイアウォール エンドポイントが一覧表示されます。

3. ファイアウォール エンドポイントの名前をクリックして、詳細を表示します。

4. [編集] をクリックします。

5. [課金プロジェクト] リストで、ファイアウォール エンドポイントの課金に使用する Google Cloud プロジェクトを選択します。

6. [保存] をクリックします。

gcloud

ファイアウォール エンドポイントを更新するには、gcloud network-security firewall-endpoints update コマンドを使用します。

gcloud network-security firewall-endpoints \
    update NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE \
    --billing-project BILLING_PROJECT_ID

次のように置き換えます。

• NAME: ファイアウォール エンドポイントの名前。

• ORGANIZATION_ID: エンドポイントが有効になっている組織。

• ZONE: エンドポイントがアクティブになっているゾーン。

• BILLING_PROJECT_ID: 課金用にこのファイアウォール エンドポイントに関連付ける Google Cloud プロジェクト ID。これは、組織レベルのファイアウォール エンドポイントでのみ必要です。

注: 既存のエンドポイントを再構成して、ジャンボ フレームのサポートを追加または削除することはできません。ジャンボ フレームのサポートを追加または削除するには、エンドポイントを削除して再作成します。詳細については、ファイアウォール エンドポイントを削除するとファイアウォール エンドポイントを作成するをご覧ください。

ファイアウォール エンドポイントでサポートされているパケットサイズについては、サポートされているパケットサイズをご覧ください。

プロジェクト レベルのエンドポイント

プレビュー

この機能は、サービス固有規約の「一般サービス規約」セクションの「一般提供前のサービス規約」の対象となります。pre-GA の機能は「現状のまま」で提供されるものであり、サポートが制限されることがあります。 詳細については、リリース ステージの説明をご覧ください。

プロジェクト レベルのファイアウォール エンドポイントを更新するには、gcloud CLI を使用します。ファイアウォール エンドポイントのラベルを管理したり、説明を更新したりできます。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.firewallEndpoints.get

ロール

• Compute ネットワーク管理者（roles/compute.networkAdmin）
• Compute ネットワーク ユーザー（roles/compute.networkUser）
• Compute ネットワーク閲覧者（roles/compute.networkViewer）
• プロジェクト レベルまたは組織レベルで付与されたファイアウォール エンドポイント管理者（roles/networksecurity.firewallEndpointAdmin）

gcloud

ファイアウォール エンドポイントを更新するには、gcloud beta network-security firewall-endpoints update コマンドを使用します。

gcloud beta network-security firewall-endpoints \
    update NAME \
    --project PROJECT_ID \
    --zone ZONE

次のように置き換えます。

• NAME: ファイアウォール エンドポイントの名前。

• PROJECT_ID: エンドポイントが有効になっているプロジェクト。

• ZONE: エンドポイントがアクティブになっているゾーン。

注: 既存のエンドポイントを再構成して、ジャンボ フレームのサポートを追加または削除することはできません。ジャンボ フレームのサポートを追加または削除するには、エンドポイントを削除して再作成します。詳細については、ファイアウォール エンドポイントを削除するとファイアウォール エンドポイントを作成するをご覧ください。

ファイアウォール エンドポイントでサポートされているパケットサイズについては、サポートされているパケットサイズをご覧ください。

ファイアウォール エンドポイントを削除する

名前、ゾーン、組織またはプロジェクトを指定して、ファイアウォール エンドポイントを削除できます。

注: ファイアウォール エンドポイントは、どの VPC ネットワークにも関連付けられていない場合にのみ削除できます。

組織レベルのエンドポイント

組織レベルのファイアウォール エンドポイントを削除するには、Google Cloud コンソールまたは gcloud CLI を使用します。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.firewallEndpoints.delete

ロール

• Compute ネットワーク管理者（roles/compute.networkAdmin）
• 組織レベルで付与されたファイアウォール エンドポイント管理者（roles/networksecurity.firewallEndpointAdmin）

コンソール

1. Google Cloud コンソールで、[ファイアウォール エンドポイント] ページに移動します。

   [ファイアウォール エンドポイント] に移動

2. プロジェクト セレクタ メニューで、エンドポイントが有効になった組織を選択します。

3. ファイアウォール エンドポイントを選択し、[削除] をクリックします。

4. もう一度 [削除] をクリックして確定します。

gcloud

ファイアウォール エンドポイントを削除するには、gcloud network-security firewall-endpoints delete コマンドを使用します。

gcloud network-security firewall-endpoints delete NAME
    --organization ORGANIZATION_ID \
    --zone ZONE

次のように置き換えます。

• NAME: ファイアウォール エンドポイントの名前。

• ORGANIZATION_ID: エンドポイントが有効になっている組織。

• ZONE: エンドポイントがアクティブになっているゾーン。

プロジェクト レベルのエンドポイント

プレビュー

この機能は、サービス固有規約の「一般サービス規約」セクションの「一般提供前のサービス規約」の対象となります。pre-GA の機能は「現状のまま」で提供されるものであり、サポートが制限されることがあります。 詳細については、リリース ステージの説明をご覧ください。

プロジェクト レベルのファイアウォール エンドポイントを削除するには、gcloud CLI を使用します。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.firewallEndpoints.delete

ロール

• Compute ネットワーク管理者（roles/compute.networkAdmin）
• プロジェクト レベルまたは組織レベルで付与されたファイアウォール エンドポイント管理者（roles/networksecurity.firewallEndpointAdmin）

gcloud

ファイアウォール エンドポイントを削除するには、gcloud network-security firewall-endpoints delete コマンドを使用します。

gcloud beta network-security firewall-endpoints delete NAME
    --project PROJECT_ID \
    --zone ZONE

次のように置き換えます。

• NAME: ファイアウォール エンドポイントの名前。

• PROJECT_ID: エンドポイントが有効になっているプロジェクト。

• ZONE: エンドポイントがアクティブになっているゾーン。

次のステップ

• ファイアウォール エンドポイントの関連付けの作成と管理
• 階層型ファイアウォール ポリシーとルールを使用する
• グローバル ネットワークのファイアウォール ポリシーとルールを使用する