创建安全配置文件组

如需在整个环境中应用一致的网络安全政策，您可以使用安全配置文件组来组合和应用威胁防护和网址过滤配置文件。 Google Cloud通过对这些配置文件进行分组，您可以通过单个防火墙政策规则对网络流量强制执行多项安全检查（例如威胁防护和网址过滤），从而确保政策执行的一致性并简化管理。 本文档介绍了如何使用 Google Cloud 控制台或 Google Cloud CLI 创建和配置组织级和 项目级安全配置文件组。

本文档面向配置网络安全和防火墙政策的网络管理员和安全工程师。

在开始之前，请查看 安全配置文件组概览中的概念。

如需检查本页面中列出的操作的进度， 请确保您的用户角色具有以下 Compute Network User （roles/compute.networkUser）权限：

  • networksecurity.operations.get
  • networksecurity.operations.list

准备工作

角色

如需获得创建 安全配置文件组所需的权限，请让您的管理员向您授予组织或项目的必要 IAM 角色。如需详细了解如何授予角色，请参阅 管理访问权限。

创建安全配置文件组

每个安全配置文件组最多可以包含以下每种类型的一个安全配置文件：

  • url-filtering
  • threat-prevention

组织级安全配置文件组

如需创建组织级安全配置文件组，请使用 Google Cloud 控制台或 gcloud CLI。

创建安全配置文件组时，您可以将安全配置文件组的名称指定为字符串或唯一网址标识符。如需为安全配置文件组构建唯一网址，请使用以下格式：

organizations/ORGANIZATION_ID/locations/global/securityProfileGroups/NAME

如果您为安全配置文件组名称使用唯一网址标识符，则安全配置文件组的组织和位置已包含在网址标识符中。但是，如果您只使用安全配置文件组名称，则必须单独指定组织和位置。 如需详细了解唯一网址标识符，请参阅 安全配置文件组规范。

控制台

  1. 在 Google Cloud 控制台中，前往 安全配置文件 页面。

    前往安全配置文件

  2. 在项目选择器菜单中，选择您的组织。

  3. 选择安全配置文件组标签页。

配置安全配置文件组：

  1. 点击创建配置文件组。
  2. 在名称字段中输入名称。
  3. 可选：在说明 字段中输入说明。
  4. 如需为 Cloud Next Generation Firewall 企业版创建安全配置文件组，请在用途 部分中选择 Cloud NGFW Enterprise 。
  5. 在威胁防护配置文件 列表或网址过滤配置文件 列表中，选择要添加到此安全配置文件组的安全配置文件。
  6. 点击创建 。

gcloud

如需创建安全配置文件组，请使用 gcloud network-security security-profile-groups create 命令：

gcloud network-security security-profile-groups create NAME \
    --organization ORGANIZATION_ID \
    --location LOCATION \
    --billing-project QUOTA_PROJECT_ID \
    --url-filtering-profile SECURITY_PROFILE_URL \
    --threat-prevention-profile SECURITY_PROFILE_URL \
    --description DESCRIPTION

替换以下内容：

  • NAME：安全配置文件组的名称；您可以将名称指定为字符串或唯一网址标识符。

  • ORGANIZATION_ID：创建安全配置文件组的组织。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --organization 标志。

  • LOCATION：安全配置文件组的位置。

    位置始终设置为 global。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --location 标志。

  • QUOTA_PROJECT_ID：一个可选项目 ID，用于对安全配置文件组设置配额和访问限制。

  • SECURITY_PROFILE_URL：url-filtering 或 threat-prevention 类型的安全配置文件的唯一网址标识符。您必须添加至少一个此类安全配置文件。

  • DESCRIPTION：安全配置文件组的可选说明。

项目级安全配置文件组

如需创建项目级安全配置文件组，请使用 gcloud CLI。

创建安全配置文件组时，您可以将安全配置文件组的名称指定为字符串或唯一网址标识符。如需为安全配置文件组构建唯一网址，请使用以下格式：

projects/PROJECT_ID/locations/global/securityProfileGroups/NAME

如果您为安全配置文件组名称使用唯一网址标识符，则安全配置文件组的项目和位置已包含在网址标识符中。但是，如果您只使用安全配置文件组名称，则必须单独指定项目和位置。 如需详细了解唯一网址标识符，请参阅 安全配置文件组规范。

gcloud

如需创建安全配置文件组，请使用 gcloud network-security security-profile-groups create 命令：

gcloud beta network-security security-profile-groups create NAME \
    --project PROJECT_ID \
    --location LOCATION \
    --url-filtering-profile SECURITY_PROFILE_URL \
    --threat-prevention-profile SECURITY_PROFILE_URL \
    --description DESCRIPTION

替换以下内容：

  • NAME：安全配置文件组的名称；您可以将名称指定为字符串或唯一网址标识符。

  • PROJECT_ID：创建安全配置文件组的项目。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --project 标志。

  • LOCATION：安全配置文件组的位置。

    位置始终设置为 global。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --location 标志。

  • SECURITY_PROFILE_URL：url-filtering 或 threat-prevention 类型的安全配置文件的唯一网址标识符。您必须添加至少一个此类安全配置文件。

  • DESCRIPTION：安全配置文件组的可选说明。

后续步骤