Sicherheitsprofilgruppen erstellen

Wenn Sie einheitliche Netzwerksicherheitsrichtlinien in Ihrer Google Cloud Umgebung anwenden möchten, können Sie Sicherheitsprofilgruppen verwenden, um Profile für den Schutz vor Bedrohungen und die URL-Filterung zu kombinieren und anzuwenden. Durch das Gruppieren dieser Profile können Sie mehrere Sicherheitsprüfungen wie den Schutz vor Bedrohungen und die URL-Filterung für den Netzwerkverkehr über eine einzige Firewallrichtlinienregel erzwingen. So sorgen Sie für eine konsistente Richtlinienanwendung und eine vereinfachte Verwaltung. In diesem Dokument wird beschrieben, wie Sie Sicherheitsprofilgruppen auf Organisations- und Projektebene mit der Google Cloud Console oder der Google Cloud CLI erstellen und konfigurieren.

Dieses Dokument richtet sich an Netzwerkadministratoren und Sicherheitsexperten, die Netzwerksicherheits- und Firewallrichtlinien konfigurieren.

Lesen Sie vor Beginn die Konzepte in der Übersicht zu Sicherheitsprofilgruppen.

Um den Fortschritt der auf dieser Seite aufgeführten Vorgänge zu prüfen, muss Ihre Nutzerrolle die folgenden Berechtigungen der Nutzerrolle „Compute Network“ (roles/compute.networkUser) haben:

  • networksecurity.operations.get
  • networksecurity.operations.list

Hinweis

Rollen

Bitten Sie Ihren Administrator, Ihnen die erforderlichen IAM-Rollen in Ihrer Organisation oder Ihrem Projekt zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Erstellen von Sicherheitsprofilgruppen benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff verwalten.

Sicherheitsprofilgruppe erstellen

Jede Sicherheitsprofilgruppe kann maximal ein Sicherheitsprofil der folgenden Typen enthalten:

  • url-filtering
  • threat-prevention

Sicherheitsprofilgruppen auf Organisationsebene

Verwenden Sie die Google Cloud Console oder die gcloud CLI, um eine Sicherheitsprofilgruppe auf Organisationsebene zu erstellen.

Wenn Sie eine Sicherheitsprofilgruppe erstellen, können Sie den Namen der Sicherheitsprofilgruppe als String oder als eindeutige URL-ID angeben. Verwenden Sie das folgende Format, um die eindeutige URL für eine Sicherheitsprofilgruppe zu erstellen:

organizations/ORGANIZATION_ID/locations/global/securityProfileGroups/NAME

Wenn Sie für den Namen der Sicherheitsprofilgruppe eine eindeutige URL-ID verwenden, sind die Organisation und der Standort der Sicherheitsprofilgruppe bereits in der URL-ID enthalten. Wenn Sie jedoch nur den Namen der Sicherheitsprofilgruppe verwenden, müssen Sie die Organisation und den Standort separat angeben. Weitere Informationen zu eindeutigen URL-Kennungen finden Sie unter Spezifikationen für Sicherheitsgruppengruppen.

Console

  1. Rufen Sie in der Google Cloud Console die Sicherheitsprofile Seite auf.

    Zu „Sicherheitsprofile“

  2. Wählen Sie im Menü „Projektauswahl“ Ihre Organisation aus.

  3. Wählen Sie den Tab Sicherheitsprofilgruppen aus.

Konfigurieren Sie eine Sicherheitsprofilgruppe:

  1. Klicken Sie auf Profilgruppe erstellen.
  2. Geben Sie in das Feld Name einen Namen ein.
  3. Optional: Geben Sie im Feld Beschreibung eine Beschreibung ein.
  4. Wenn Sie eine Sicherheitsprofilgruppe für die Cloud Next Generation Firewall Enterprise erstellen möchten, wählen Sie im Abschnitt Zweck die Option Cloud NGFW Enterprise aus.
  5. Wählen Sie in der Liste Profil zum Schutz vor Bedrohungen oder Profil für die URL-Filterung das Sicherheitsprofil aus, das Sie dieser Sicherheitsprofilgruppe hinzufügen möchten.
  6. Klicken Sie auf Erstellen.

gcloud

Verwenden Sie den gcloud network-security security-profile-groups create Befehl, um eine Sicherheitsprofilgruppe zu erstellen:

gcloud network-security security-profile-groups create NAME \
    --organization ORGANIZATION_ID \
    --location LOCATION \
    --billing-project QUOTA_PROJECT_ID \
    --url-filtering-profile SECURITY_PROFILE_URL \
    --threat-prevention-profile SECURITY_PROFILE_URL \
    --description DESCRIPTION

Ersetzen Sie Folgendes:

  • NAME: der Name der Sicherheitsprofilgruppe. Sie können den Namen als String oder als eindeutige URL-ID angeben.

  • ORGANIZATION_ID: die Organisation, in der die Sicherheitsprofilgruppe erstellt wird. Wenn Sie eine eindeutige URL-ID für die Variable NAME verwenden, können Sie das Flag --organization weglassen.

  • LOCATION: der Standort der Sicherheitsprofilgruppe.

    Der Standort ist immer auf global festgelegt. Wenn Sie eine eindeutige URL-ID für die Variable NAME verwenden, können Sie das Flag --location weglassen.

  • QUOTA_PROJECT_ID: eine optionale Projekt-ID, die für Kontingente und Zugriffsbeschränkungen für die Sicherheitsprofilgruppe verwendet werden soll.

  • SECURITY_PROFILE_URL: eine eindeutige URL-ID für ein Sicherheitsprofil vom Typ url-filtering oder threat-prevention. Sie müssen mindestens eines dieser Sicherheitsprofile hinzufügen.

  • DESCRIPTION: eine optionale Beschreibung für die Sicherheitsprofilgruppe.

Sicherheitsprofilgruppen auf Projektebene

Verwenden Sie die gcloud CLI, um eine Sicherheitsprofilgruppe auf Projektebene zu erstellen.

Wenn Sie eine Sicherheitsprofilgruppe erstellen, können Sie den Namen der Sicherheitsprofilgruppe als String oder als eindeutige URL-ID angeben. Verwenden Sie das folgende Format , um die eindeutige URL für eine Sicherheitsprofilgruppe zu erstellen:

projects/PROJECT_ID/locations/global/securityProfileGroups/NAME

Wenn Sie für den Namen der Sicherheitsprofilgruppe eine eindeutige URL-ID verwenden, sind das Projekt und der Standort der Sicherheitsprofilgruppe bereits in der URL-ID enthalten. Wenn Sie jedoch nur den Namen der Sicherheitsprofilgruppe verwenden, müssen Sie das Projekt und den Standort separat angeben. Weitere Informationen zu eindeutigen URL-Kennungen finden Sie unter Spezifikationen für Sicherheitsgruppengruppen.

gcloud

Verwenden Sie den gcloud network-security security-profile-groups create Befehl, um eine Sicherheitsprofilgruppe zu erstellen:

gcloud beta network-security security-profile-groups create NAME \
    --project PROJECT_ID \
    --location LOCATION \
    --url-filtering-profile SECURITY_PROFILE_URL \
    --threat-prevention-profile SECURITY_PROFILE_URL \
    --description DESCRIPTION

Ersetzen Sie Folgendes:

  • NAME: der Name der Sicherheitsprofilgruppe. Sie können den Namen als String oder als eindeutige URL-ID angeben.

  • PROJECT_ID: das Projekt, in dem die Sicherheitsprofilgruppe erstellt wird. Wenn Sie eine eindeutige URL-ID für die Variable NAME verwenden, können Sie das Flag --project weglassen.

  • LOCATION: der Standort der Sicherheitsprofilgruppe.

    Der Standort ist immer auf global festgelegt. Wenn Sie eine eindeutige URL-ID für die Variable NAME verwenden, können Sie das Flag --location weglassen.

  • SECURITY_PROFILE_URL: eine eindeutige URL-ID für ein Sicherheitsprofil vom Typ url-filtering oder threat-prevention. Sie müssen mindestens eines dieser Sicherheitsprofile hinzufügen.

  • DESCRIPTION: eine optionale Beschreibung für die Sicherheitsprofilgruppe.

Nächste Schritte