创建和管理威胁防护安全配置文件

本页面介绍了如何使用 Google Cloud 控制台或 Google Cloud CLI 创建和管理类型为 threat-prevention 的安全配置文件。

注意：如需检查本页面中列出的操作的进度，请确保您的用户角色具有以下 Compute Network User 角色 (roles/compute.networkUser) 权限：

• networksecurity.operations.get
• networksecurity.operations.list

准备工作

• 您必须在项目中启用 Network Security API。
• 如果您要运行本指南中的 gcloud 命令行示例，请安装 gcloud CLI。

角色

如需获得创建、查看、更新或删除安全配置文件所需的权限，请让您的管理员向您授予组织的必要 IAM 角色。如需详细了解如何授予角色，请参阅管理访问权限。

创建威胁防护安全配置文件

创建类型为 threat-prevention 的安全配置文件，并将安全配置文件的名称指定为字符串或唯一网址标识符。

组织级安全配置文件

如需创建组织级威胁防范安全配置文件，请使用Google Cloud 控制台或 gcloud CLI。

如需构建安全配置文件的唯一网址，请使用以下格式：

organizations/ORGANIZATION_ID/locations/global/securityProfiles/SECURITY_PROFILE_NAME

如果您为安全配置文件名称使用唯一网址标识符，则安全配置文件的组织和位置已包含在网址标识符中。但是，如果您只使用安全配置文件名称，则必须单独指定组织和位置。如需详细了解唯一网址标识符，请参阅安全配置文件规范。

执行此任务所需的权限

如需执行此任务，您必须已被授予组织的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.create

角色

• 组织级安全配置文件的组织级 Security Profile Admin (roles/networksecurity.securityProfileAdmin)，以及项目级安全配置文件的项目级或组织级 Security Profile Admin (roles/networksecurity.securityProfileAdmin)

控制台

1. 在 Google Cloud 控制台中，前往安全配置文件页面。

   前往“安全配置文件”

2. 在项目选择器菜单中，选择要创建安全配置的组织。

3. 选择安全配置文件标签页。

4. 点击创建配置文件。

5. 在名称字段中输入名称。

   请勿在安全配置文件名称中包含敏感信息，例如个人身份信息或安全数据。

6. 可选：在说明字段中输入说明。

7. 如需创建 Cloud Next Generation Firewall Enterprise 安全配置文件，请在用途部分中选择 Cloud NGFW Enterprise。

8. 如需创建威胁防护安全配置文件，请在类型部分中选择威胁防护。

9. 点击继续。

（可选）添加严重级别和威胁替换项：

1. 在严重级别替换项下，点击要替换的严重级别旁边的修改。
2. 在替换操作列表中，为严重级别选择适当的操作。
3. 如需添加威胁签名替换项，请点击按 ID 添加签名。
4. 在签名 ID 字段中，输入要替换的威胁 ID。您可以在威胁信息中心中查看威胁 ID。
5. 在替换操作列表中，为威胁 ID 选择适当的操作。
6. 点击创建。

gcloud

如需创建威胁防护安全配置文件，请使用 gcloud network-security security-profiles threat-prevention create 命令：

gcloud network-security security-profiles threat-prevention create NAME \
    --location LOCATION \
    --organization ORGANIZATION_ID \
    --billing-project QUOTA_PROJECT_ID \
    --description DESCRIPTION

替换以下内容：

• NAME：威胁防护安全配置文件的名称；您可以将名称指定为字符串或唯一网址标识符。

  请勿在安全配置文件名称中包含敏感信息，例如个人身份信息或安全数据。

  如果您为 NAME 变量使用唯一网址标识符，则可以省略 --organization 和 --location 标志。

• LOCATION：威胁防护安全配置文件的位置。

  位置始终设置为 global。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --location 标志。

• ORGANIZATION_ID：创建威胁防护安全配置文件的组织。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --organization 标志。

• QUOTA_PROJECT_ID：用于威胁防御安全配置文件的配额和访问权限限制的可选项目 ID。

• DESCRIPTION：威胁防范安全配置文件的可选说明。

注意： 如需使用 Google Cloud CLI 添加严重级别或威胁替换项，请参阅在威胁防范安全配置文件中添加替换操作。

项目级安全配置文件

预览

此功能受服务专用条款的“通用服务条款”部分中的“非正式版产品条款”的约束。 非正式版功能“按原样”提供，可能只能获得有限的支持。 如需了解详情，请参阅发布阶段说明。

如需创建项目级威胁防护安全配置文件，请使用 gcloud CLI。

安全配置文件的唯一网址可以按以下格式构建：

projects/PROJECT_ID/locations/global/securityProfiles/SECURITY_PROFILE_NAME

如果您为安全配置文件名称使用唯一网址标识符，则安全配置文件的项目和位置已包含在网址标识符中。但是，如果您只使用安全配置文件名称，则必须单独指定项目和位置。如需详细了解唯一网址标识符，请参阅安全配置文件规范。

执行此任务所需的权限

如需执行此任务，您必须已被授予项目的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.create

角色

• 项目级或组织级 Security Profile Admin (roles/networksecurity.securityProfileAdmin)

gcloud

如需创建威胁防护安全配置文件，请使用 gcloud beta network-security security-profiles threat-prevention create 命令：

gcloud beta network-security security-profiles threat-prevention create NAME \
    --location LOCATION \
    --project PROJECT_ID \
    --description DESCRIPTION

替换以下内容：

• NAME：威胁防护安全配置文件的名称；您可以将名称指定为字符串或唯一网址标识符。

  请勿在安全配置文件名称中包含敏感信息，例如个人身份信息或安全数据。

  如果您为 NAME 变量使用唯一网址标识符，则可以省略 --project 和 --location 标志。

• LOCATION：威胁防御安全配置文件的位置。

  位置始终设置为 global。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --location 标志。

• PROJECT_ID：创建威胁防范安全配置文件的项目。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --project 标志。

• DESCRIPTION：威胁防范安全配置文件的可选说明。

注意： 如需使用 Google Cloud CLI 添加严重级别或威胁替换项，请参阅在威胁防范安全配置文件中添加替换操作。

查看威胁防护安全配置文件

您可以查看组织或项目中特定威胁防护安全配置文件的详细信息。

组织级安全配置文件

如需查看组织级威胁防范安全配置文件，请使用Google Cloud 控制台或 gcloud CLI。

执行此任务所需的权限

如需执行此任务，您必须已被授予组织的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.describe

角色

• 组织级安全配置文件的组织级 Security Profile Admin (roles/networksecurity.securityProfileAdmin)，以及项目级安全配置文件的项目级或组织级 Security Profile Admin (roles/networksecurity.securityProfileAdmin)

控制台

1. 在 Google Cloud 控制台中，前往安全配置文件页面。

   前往“安全配置文件”

2. 在项目选择器菜单中，选择您的组织。

3. 选择安全配置文件标签页。该标签页会显示已配置的安全配置文件的列表。

4. 点击类型为威胁防护的安全配置文件，即可查看该配置文件的详细信息。

gcloud

如需查看威胁防护安全配置文件的详细信息，请使用 gcloud beta network-security security-profiles describe 命令：

  gcloud beta network-security security-profiles describe NAME \
      --location LOCATION \
      --organization ORGANIZATION_ID

替换以下内容：

• NAME：您要描述的类型为 threat-prevention 的安全配置文件的名称；您可以将名称指定为字符串或唯一网址标识符。

  如果您为 NAME 变量使用唯一网址标识符，则可以省略 --organization 和 --location 标志。

• LOCATION：威胁防护安全配置文件的位置。位置始终设置为 global。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --location 标志。

• ORGANIZATION_ID：威胁防范安全配置文件所在的组织。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --organization 标志。

项目级安全配置文件

预览

此功能受服务专用条款的“通用服务条款”部分中的“非正式版产品条款”的约束。 非正式版功能“按原样”提供，可能只能获得有限的支持。 如需了解详情，请参阅发布阶段说明。

如需查看项目级威胁防范安全配置文件，请使用Google Cloud 控制台或 gcloud CLI。

执行此任务所需的权限

如需执行此任务，您必须已被授予项目的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.describe

角色

• 项目级或组织级 Security Profile Admin (roles/networksecurity.securityProfileAdmin)

控制台

1. 在 Google Cloud 控制台中，前往安全配置文件页面。

   前往“安全配置文件”

2. 在项目选择器菜单中，选择您的项目。

3. 选择安全配置文件标签页。该标签页会显示已配置的安全配置文件的列表。

4. 点击类型为威胁防护的安全配置文件，即可查看该配置文件的详细信息。

gcloud

如需查看威胁防护安全配置文件的详细信息，请使用 gcloud beta network-security security-profiles describe 命令：

  gcloud beta network-security security-profiles describe NAME \
      --location LOCATION \
      --project PROJECT_ID

替换以下内容：

• NAME：您要描述的类型为 threat-prevention 的安全配置文件的名称；您可以将名称指定为字符串或唯一网址标识符。

  如果您为 NAME 变量使用唯一网址标识符，则可以省略 --location 和 --project 标志。

• LOCATION：威胁防护安全配置文件的位置。位置始终设置为 global。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --location 标志。

• PROJECT_ID：威胁防护安全配置文件所在的项目。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --project 标志。

列出威胁防护安全配置文件

您可以列出组织或项目中的所有威胁防护安全配置文件。

组织级安全配置文件

如需列出所有组织级威胁防护安全配置文件，请使用Google Cloud 控制台或 gcloud CLI。

执行此任务所需的权限

如需执行此任务，您必须已被授予组织的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.list

角色

• 组织级安全配置文件的组织级 Security Profile Admin (roles/networksecurity.securityProfileAdmin)，以及项目级安全配置文件的项目级或组织级 Security Profile Admin (roles/networksecurity.securityProfileAdmin)

控制台

1. 在 Google Cloud 控制台中，前往安全配置文件页面。

   前往“安全配置文件”

2. 在项目选择器菜单中，选择您的组织。

3. 选择安全配置文件标签页。该标签页会显示已配置的安全配置文件的列表。

gcloud

如需列出所有威胁防护安全配置文件，请使用 gcloud network-security security-profiles threat-prevention list 命令：

gcloud network-security security-profiles threat-prevention list \
    --location LOCATION \
    --billing-project QUOTA_PROJECT_ID \
    --organization ORGANIZATION_ID

替换以下内容：

• LOCATION：威胁防护安全配置文件的位置。 位置始终设置为 global。

• ORGANIZATION_ID：威胁防护安全配置文件所在的组织。

• QUOTA_PROJECT_ID：用于威胁防御安全配置文件的配额和访问权限限制的可选项目 ID。

项目级安全配置文件

预览

此功能受服务专用条款的“通用服务条款”部分中的“非正式版产品条款”的约束。 非正式版功能“按原样”提供，可能只能获得有限的支持。 如需了解详情，请参阅发布阶段说明。

如需列出所有项目级威胁防护安全配置文件，请使用Google Cloud 控制台或 gcloud CLI。

执行此任务所需的权限

如需执行此任务，您必须已被授予项目的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.list

角色

• 项目级或组织级 Security Profile Admin (roles/networksecurity.securityProfileAdmin)

控制台

1. 在 Google Cloud 控制台中，前往安全配置文件页面。

   前往“安全配置文件”

2. 在项目选择器菜单中，选择您的项目。

3. 选择安全配置文件标签页。该标签页会显示已配置的安全配置文件的列表。

gcloud

如需列出所有威胁防护安全配置文件，请使用 gcloud beta network-security security-profiles threat-prevention list 命令：

gcloud beta network-security security-profiles threat-prevention list \
    --location LOCATION \
    --project PROJECT_ID

替换以下内容：

• LOCATION：威胁防护安全配置文件的位置。 位置始终设置为 global。

• PROJECT_ID：威胁防护安全配置文件所在的项目。

删除威胁防护安全配置文件

您可以通过指定威胁防护安全配置文件的名称、位置和组织或项目来删除它。但是，如果安全配置文件组引用了安全配置文件，则无法删除该安全配置文件。

组织级安全配置文件

如需删除组织级威胁防护安全配置文件，请使用Google Cloud 控制台或 gcloud CLI。

执行此任务所需的权限

如需执行此任务，您必须已被授予组织的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.delete

角色

• 组织级 Security Profile Admin (roles/networksecurity.securityProfileAdmin)

控制台

1. 在 Google Cloud 控制台中，前往安全配置文件页面。

   前往“安全配置文件”

2. 选择安全配置文件标签页。该标签页会显示已配置的安全配置文件的列表。

3. 选择要删除的威胁防护安全配置文件，然后点击删除。

4. 再次点击删除进行确认。

gcloud

如需删除威胁防护安全配置文件，请使用 gcloud network-security security-profiles threat-prevention delete 命令：

gcloud network-security security-profiles threat-prevention delete NAME \
    --location LOCATION \
    --billing-project QUOTA_PROJECT_ID
    --organization ORGANIZATION_ID

替换以下内容：

• NAME：您要删除的威胁防护安全配置文件的名称；您可以将名称指定为字符串或唯一网址标识符。

• LOCATION：威胁防护安全配置文件的位置。

  位置始终设置为 global。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --location 标志。

• QUOTA_PROJECT_ID：用于威胁防御安全配置文件的配额和访问权限限制的可选项目 ID。

• ORGANIZATION_ID：威胁防护安全配置文件所在的组织。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --organization 标志。

项目级安全配置文件

预览

此功能受服务专用条款的“通用服务条款”部分中的“非正式版产品条款”的约束。 非正式版功能“按原样”提供，可能只能获得有限的支持。 如需了解详情，请参阅发布阶段说明。

如需删除项目级威胁防护安全配置文件，请使用 gcloud CLI。

执行此任务所需的权限

如需执行此任务，您必须已被授予项目的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.delete

角色

• 项目级或组织级 Security Profile Admin (roles/networksecurity.securityProfileAdmin)

gcloud

如需删除威胁防护安全配置文件，请使用 gcloud beta network-security security-profiles threat-prevention delete 命令：

gcloud beta network-security security-profiles threat-prevention delete NAME \
    --location LOCATION \
    --project PROJECT_ID

替换以下内容：

• NAME：您要删除的威胁防护安全配置文件的名称；您可以将名称指定为字符串或唯一网址标识符。

• LOCATION：威胁防护安全配置文件的位置。

  位置始终设置为 global。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --location 标志。

• PROJECT_ID：威胁防范安全配置文件所在的项目。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --project 标志。

导入威胁防护安全配置文件

您可以从 YAML 文件导入威胁防护安全配置文件（无论是自定义创建的还是之前导出的）。导入威胁防护安全配置文件时，如果已存在同名配置文件，Cloud NGFW 会更新现有配置文件。

组织级安全配置文件

如需导入组织级威胁防护安全配置文件，请使用 gcloud CLI。

执行此任务所需的权限

如需执行此任务，您必须已被授予组织的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.create
• networksecurity.securityProfiles.update（仅当已存在同名配置文件时才需要）

角色

• 组织级安全配置文件的组织级 Security Profile Admin (roles/networksecurity.securityProfileAdmin)，以及项目级安全配置文件的项目级或组织级 Security Profile Admin (roles/networksecurity.securityProfileAdmin)

gcloud

如需从 YAML 文件导入威胁防护安全配置文件，请使用 gcloud beta network-security security-profiles import 命令：

gcloud beta network-security security-profiles import NAME \
    --location LOCATION \
    --organization ORGANIZATION_ID \
    --source FILE_NAME

替换以下内容：

• NAME：您要导入的类型为 threat-prevention 的安全配置文件的名称；您可以将名称指定为字符串或唯一网址标识符。

  如果您为 NAME 变量使用唯一网址标识符，则可以省略 --organization 和 --location 标志。

• LOCATION：威胁防护安全配置文件的位置。位置始终设置为 global。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --location 标志。

• ORGANIZATION_ID：威胁防范安全配置文件所在的组织。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --organization 标志。

• FILE_NAME：包含威胁防护安全配置文件的配置导出数据的 YAML 文件的路径。例如 threat-prevention-sp.yaml。

  YAML 文件不得包含任何仅输出字段。或者，您也可以省略 source 标志，以便从标准输入中读取数据。

项目级安全配置文件

预览

此功能受服务专用条款的“通用服务条款”部分中的“非正式版产品条款”的约束。 非正式版功能“按原样”提供，可能只能获得有限的支持。 如需了解详情，请参阅发布阶段说明。

如需导入项目级威胁防护安全配置文件，请使用 gcloud CLI。

执行此任务所需的权限

如需执行此任务，您必须已被授予项目的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.create
• networksecurity.securityProfiles.update（仅当已存在同名配置文件时才需要）

角色

• 项目级或组织级 Security Profile Admin (roles/networksecurity.securityProfileAdmin)

gcloud

如需从 YAML 文件导入威胁防护安全配置文件，请使用 gcloud beta network-security security-profiles import 命令：

gcloud beta network-security security-profiles import NAME \
    --location LOCATION \
    --project PROJECT_ID \
    --source FILE_NAME

替换以下内容：

• NAME：您要导入的类型为 threat-prevention 的安全配置文件的名称；您可以将名称指定为字符串或唯一网址标识符。

  如果您为 NAME 变量使用唯一网址标识符，则可以省略 --project 和 --location 标志。

• LOCATION：威胁防护安全配置文件的位置。位置始终设置为 global。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --location 标志。

• PROJECT_ID：威胁防护安全配置文件所在的项目。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --project 标志。

• FILE_NAME：包含威胁防护安全配置文件的配置导出数据的 YAML 文件的路径。例如 threat-prevention-sp.yaml。

  YAML 文件不得包含任何仅输出字段。或者，您也可以省略 source 标志，以便从标准输入中读取数据。

导出威胁防护安全配置文件

您可以将威胁防护安全配置文件导出到 YAML 文件。例如，您可以使用此功能导出安全配置文件，快速修改该文件，然后将其重新导入，而无需使用界面来修改大型安全配置文件。

组织级安全配置文件

如需导出组织级威胁防护安全配置文件，请使用 gcloud CLI。

执行此任务所需的权限

如需执行此任务，您必须已被授予组织的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.describe

角色

• 组织级 Security Profile Admin (roles/networksecurity.securityProfileAdmin)

gcloud

如需将威胁防护安全配置文件导出到 YAML 文件，请使用 gcloud beta network-security security-profiles export 命令：

gcloud beta network-security security-profiles export NAME \
    --location LOCATION \
    --organization ORGANIZATION_ID \
    --billing-project BILLING_PROJECT_ID \
    --destination FILE_NAME

替换以下内容：

• NAME：您要导出的类型为 threat-prevention 的安全配置文件的名称；您可以将名称指定为字符串或唯一网址标识符。

  如果您为 NAME 变量使用唯一网址标识符，则可以省略 --organization 和 --location 标志。

• LOCATION：威胁防护安全配置文件的位置。位置始终设置为 global。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --location 标志。

• ORGANIZATION_ID：威胁防范安全配置文件所在的组织。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --organization 标志。

• BILLING_PROJECT_ID：用于威胁防御安全配置文件的配额和访问权限限制的可选项目 ID。

• FILE_NAME：Cloud NGFW 将威胁防护安全配置导出到的 YAML 文件的路径。例如 threat-prevention-sp.yaml。

  导出的配置数据不包含任何仅输出字段。或者，您也可以省略 destination 标志，以写入标准输出。

项目级安全配置文件

预览

此功能受服务专用条款的“通用服务条款”部分中的“非正式版产品条款”的约束。 非正式版功能“按原样”提供，可能只能获得有限的支持。 如需了解详情，请参阅发布阶段说明。

如需导出项目级威胁防护安全配置文件，请使用 gcloud CLI。

执行此任务所需的权限

如需执行此任务，您必须已被授予项目的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.describe

角色

• 项目级或组织级 Security Profile Admin (roles/networksecurity.securityProfileAdmin)

gcloud

如需将威胁防护安全配置文件导出到 YAML 文件，请使用 gcloud beta network-security security-profiles export 命令：

gcloud beta network-security security-profiles export NAME \
    --location LOCATION \
    --project PROJECT_ID \
    --destination FILE_NAME

替换以下内容：

• NAME：您要导出的类型为 threat-prevention 的安全配置文件的名称；您可以将名称指定为字符串或唯一网址标识符。

  如果您为 NAME 变量使用唯一网址标识符，则可以省略 --project 和 --location 标志。

• LOCATION：威胁防护安全配置文件的位置。位置始终设置为 global。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --location 标志。

• PROJECT_ID：威胁防护安全配置文件所在的项目。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --project 标志。

• FILE_NAME：Cloud NGFW 将威胁防护安全配置导出到的 YAML 文件的路径。例如 threat-prevention-sp.yaml。

  导出的配置数据不包含任何仅输出字段。或者，您也可以省略 destination 标志，以写入标准输出。

在威胁防护安全配置文件中添加替换操作

您可以替换现有威胁防护安全配置文件中的特定威胁签名或严重级别关联的操作。

组织级安全配置文件

如需向组织级威胁防护安全配置文件添加替换项，请使用 Google Cloud 控制台或 gcloud CLI。

执行此任务所需的权限

如需执行此任务，您必须已被授予组织的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.update

角色

• 组织级 Security Profile Admin (roles/networksecurity.securityProfileAdmin)

控制台

1. 在 Google Cloud 控制台中，前往安全配置文件页面。

   前往“安全配置文件”

2. 选择安全配置文件标签页。该标签页会显示已配置的安全配置文件的列表。

3. 选择要替换操作的安全配置文件，然后点击修改。

4. 在严重级别替换项下，点击要替换的严重级别旁边的修改。

5. 在替换操作列表中，为严重级别选择适当的操作。

6. 点击确认。

7. 点击保存。

gcloud

如需向威胁防护安全配置文件添加替换项，请使用 gcloud network-security security-profiles threat-prevention add-override 命令：

gcloud network-security security-profiles threat-prevention add-override NAME \
    --location LOCATION \
    --billing-project QUOTA_PROJECT_ID \
    --organization ORGANIZATION_ID \
    [--severities SEVERITIES | --threat-ids THREAT_IDS | --antivirus PROTOCOLS] \
    --action ACTION

注意： 您可以在单个命令中为 --severities 标志、--threat-ids 标志或 --antivirus 标志指定操作替换项。如需使用两个或更多替换标志指定操作替换项，请运行单独的命令。

替换以下内容：

• NAME：安全配置文件的名称；您可以将名称指定为字符串或唯一网址标识符。

• LOCATION：安全配置文件的位置。

  位置始终设置为 global。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --location 标志。

• QUOTA_PROJECT_ID：用于威胁防御安全配置文件的配额和访问权限限制的可选项目 ID。

• ORGANIZATION_ID：安全配置文件所在的组织。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --organization 标志。

• SEVERITIES：要替换操作的严重级别的逗号分隔列表。防火墙端点会将配置的 --action 标志应用于指定严重级别的所有威胁。严重级别可以是以下之一：

  • INFORMATIONAL
  • LOW
  • MEDIUM
  • HIGH
  • CRITICAL

• THREAT_IDS：要替换操作的威胁签名 ID 的逗号分隔列表。防火墙端点会将配置的 --action 标志应用于指定威胁 ID 的所有威胁。

• PROTOCOLS：要监控的逗号分隔列表网络协议，以检测防病毒威胁。如需了解详情，请参阅支持的协议。

• ACTION：指定的威胁 ID 或严重程度对应的操作。如需了解详情，请参阅支持的操作。

  注意： 对于特定的威胁类型，某些操作是不允许的。

项目级安全配置文件

预览

此功能受服务专用条款的“通用服务条款”部分中的“非正式版产品条款”的约束。 非正式版功能“按原样”提供，可能只能获得有限的支持。 如需了解详情，请参阅发布阶段说明。

如需向项目级威胁防护安全配置文件添加替换项，请使用 gcloud CLI。

执行此任务所需的权限

如需执行此任务，您必须已被授予项目的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.update

角色

• 项目级或组织级 Security Profile Admin (roles/networksecurity.securityProfileAdmin)

gcloud

如需向威胁防护安全配置文件添加替换项，请使用 gcloud beta network-security security-profiles threat-prevention add-override 命令：

gcloud beta network-security security-profiles threat-prevention add-override NAME \
  --location LOCATION \
  --project PROJECT_ID \
  [--severities SEVERITIES | --threat-ids THREAT_IDS | --antivirus PROTOCOLS] \
  --action ACTION

注意： 您可以在单个命令中为 --severities 标志、--threat-ids 标志或 --antivirus 标志指定操作替换项。如需使用两个或更多替换标志指定操作替换项，请运行单独的命令。

替换以下内容：

• NAME：安全配置文件的名称；您可以将名称指定为字符串或唯一网址标识符。

• LOCATION：安全配置文件的位置。

  位置始终设置为 global。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --location 标志。

• PROJECT_ID：安全配置文件所在的项目。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --project 标志。

• SEVERITIES：要替换操作的严重级别的逗号分隔列表。防火墙端点会将配置的 --action 标志应用于指定严重级别的所有威胁。严重级别可以是以下之一：

  • INFORMATIONAL
  • LOW
  • MEDIUM
  • HIGH
  • CRITICAL

• THREAT_IDS：要替换操作的威胁签名 ID 的逗号分隔列表。防火墙端点会将配置的 --action 标志应用于指定威胁 ID 的所有威胁。

• PROTOCOLS：要监控的逗号分隔列表网络协议，以检测防病毒威胁。如需了解详情，请参阅支持的协议。

• ACTION：指定的威胁 ID 或严重程度对应的操作。如需了解详情，请参阅支持的操作。

  注意： 对于特定的威胁类型，某些操作是不允许的。

列出威胁防护安全配置文件中的替换操作

您可以列出威胁防护安全配置文件中的所有替换操作。

组织级安全配置文件

如需列出组织级威胁防护安全配置文件中的所有替换操作，请使用 Google Cloud 控制台或 gcloud CLI。

执行此任务所需的权限

如需执行此任务，您必须已被授予组织的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.list

角色

• 组织级 Security Profile Admin (roles/networksecurity.securityProfileAdmin)

控制台

1. 在 Google Cloud 控制台中，前往安全配置文件页面。

   前往“安全配置文件”

2. 选择安全配置文件标签页。该标签页会显示已配置的安全配置文件的列表。

3. 选择安全配置文件以查看配置的严重级别替换操作和威胁签名替换操作。

gcloud

如需列出威胁防护安全配置文件中的所有替换操作，请使用 gcloud network-security security-profiles threat-prevention list-overrides 命令：

gcloud network-security security-profiles threat-prevention list-overrides NAME \
  --location LOCATION \
  --organization ORGANIZATION_ID

替换以下内容：

• NAME：安全配置文件的名称；您可以将名称指定为字符串或唯一网址标识符。

• LOCATION：安全配置文件的位置。

  位置始终设置为 global。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --location 标志。

• ORGANIZATION_ID：安全配置文件所在的组织。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --organization 标志。

项目级安全配置文件

预览

此功能受服务专用条款的“通用服务条款”部分中的“非正式版产品条款”的约束。 非正式版功能“按原样”提供，可能只能获得有限的支持。 如需了解详情，请参阅发布阶段说明。

如需列出项目级威胁防护安全配置文件中的所有替换操作，请使用 gcloud CLI。

执行此任务所需的权限

如需执行此任务，您必须已被授予项目的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.list

角色

• 项目级或组织级 Security Profile Admin (roles/networksecurity.securityProfileAdmin)

gcloud

如需列出威胁防护安全配置文件中的所有替换操作，请使用 gcloud beta network-security security-profiles threat-prevention list-overrides 命令：

gcloud beta network-security security-profiles threat-prevention list-overrides NAME \
  --location LOCATION \
  --project PROJECT_ID

替换以下内容：

• NAME：安全配置文件的名称；您可以将名称指定为字符串或唯一网址标识符。

• LOCATION：安全配置文件的位置。

  位置始终设置为 global。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --location 标志。

• PROJECT_ID：创建安全配置文件的项目。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --project 标志。

更新威胁防护安全配置文件中的替换操作

您可以更新威胁防护安全配置文件中严重级别或威胁签名的现有替换操作。

组织级安全配置文件

如需更新组织级威胁防护安全配置文件中的替换操作，请使用 Google Cloud 控制台或 gcloud CLI。

执行此任务所需的权限

如需执行此任务，您必须已被授予组织的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.update

角色

• 组织级 Security Profile Admin (roles/networksecurity.securityProfileAdmin)

控制台

1. 在 Google Cloud 控制台中，前往安全配置文件页面。

   前往“安全配置文件”

2. 选择安全配置文件标签页。该标签页会显示已配置的安全配置文件的列表。

3. 选择安全配置文件，然后点击修改。

4. 在严重级别替换项下，点击要更新替换操作的严重级别旁边的修改。

5. 在替换操作列表中，为严重级别选择适当的操作。

6. 点击确认。

7. 点击保存。

gcloud

如需更新威胁防护安全配置文件中的替换操作，请使用 gcloud network-security security-profiles threat-prevention update-override 命令：

gcloud network-security security-profiles threat-prevention update-override NAME \
    --location LOCATION \
    --billing-project QUOTA_PROJECT_ID \
    --organization ORGANIZATION_ID \
    [--severities SEVERITIES | --threat-ids THREAT_IDS | --antivirus PROTOCOLS] \
    --action ACTION

注意： 您可以在单个命令中为 --severities 标志、--threat-ids 标志或 --antivirus 标志指定操作替换项。如需使用两个或更多替换标志指定操作替换项，请运行单独的命令。

替换以下内容：

• NAME：安全配置文件的名称；您可以将名称指定为字符串或唯一网址标识符。

• LOCATION：安全配置文件的位置。

  位置始终设置为 global。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --location 标志。

• QUOTA_PROJECT_ID：用于威胁防御安全配置文件的配额和访问权限限制的可选项目 ID。

• ORGANIZATION_ID：安全配置文件所在的组织。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --organization 标志。

• SEVERITIES：要更新替换项的严重级别的逗号分隔列表。严重级别可以是以下之一：

  • INFORMATIONAL
  • LOW
  • MEDIUM
  • HIGH
  • CRITICAL

• THREAT_IDS：要更新替换项的威胁签名 ID 的逗号分隔列表。

• PROTOCOLS：要监控的逗号分隔列表网络协议，以检测防病毒威胁。支持以下协议：

  • SMTP
  • SMB
  • POP3
  • IMAP
  • HTTP2
  • HTTP
  • FTP

• ACTION：指定的威胁 ID 或严重级别的默认操作。操作可以是以下之一：

  • DEFAULT
  • ALLOW
  • DENY
  • ALERT
  注意：对于特定的威胁类型，某些操作是不允许的。

项目级安全配置文件

预览

此功能受服务专用条款的“通用服务条款”部分中的“非正式版产品条款”的约束。 非正式版功能“按原样”提供，可能只能获得有限的支持。 如需了解详情，请参阅发布阶段说明。

如需更新项目级威胁防护安全配置文件中的替换操作，请使用 gcloud CLI。

执行此任务所需的权限

如需执行此任务，您必须已被授予项目的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.update

角色

• 项目级或组织级 Security Profile Admin (roles/networksecurity.securityProfileAdmin)

gcloud

如需更新威胁防护安全配置文件中的替换操作，请使用 gcloud beta network-security security-profiles threat-prevention update-override 命令：

gcloud beta network-security security-profiles threat-prevention update-override NAME \
    --location LOCATION \
    --project PROJECT_ID \
    [--severities SEVERITIES | --threat-ids THREAT_IDS | --antivirus PROTOCOLS] \
    --action ACTION

注意： 您可以在单个命令中为 --severities 标志、--threat-ids 标志或 --antivirus 标志指定操作替换项。如需使用两个或更多替换标志指定操作替换项，请运行单独的命令。

替换以下内容：

• NAME：安全配置文件的名称；您可以将名称指定为字符串或唯一网址标识符。

• LOCATION：安全配置文件的位置。

  位置始终设置为 global。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --location 标志。

• PROJECT_ID：创建安全配置文件的项目。如果您为 NAME 标志使用唯一网址标识符，则可以省略 --project 标志。

• SEVERITIES：要更新替换项的严重级别的逗号分隔列表。严重级别可以是以下之一：

  • INFORMATIONAL
  • LOW
  • MEDIUM
  • HIGH
  • CRITICAL

• THREAT_IDS：要更新替换项的威胁签名 ID 的逗号分隔列表。

• PROTOCOLS：要监控的逗号分隔列表网络协议，以检测防病毒威胁。支持以下协议：

  • SMTP
  • SMB
  • POP3
  • IMAP
  • HTTP2
  • HTTP
  • FTP

• ACTION：指定的威胁 ID 或严重级别的默认操作。操作可以是以下之一：

  • DEFAULT
  • ALLOW
  • DENY
  • ALERT
  注意：对于特定的威胁类型，某些操作是不允许的。

从威胁防护安全配置文件中删除替换操作

您可以从威胁防护安全配置文件中删除严重级别或威胁签名的现有替换操作。

组织级安全配置文件

如需从组织级威胁防护安全配置文件中删除替换操作，请使用 Google Cloud 控制台或 gcloud CLI。

执行此任务所需的权限

如需执行此任务，您必须已被授予组织的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.delete

角色

• 组织级安全配置文件的组织级 Security Profile Admin (roles/networksecurity.securityProfileAdmin)，以及项目级安全配置文件的项目级或组织级 Security Profile Admin (roles/networksecurity.securityProfileAdmin)

控制台

1. 在 Google Cloud 控制台中，前往安全配置文件页面。

   前往“安全配置文件”

2. 选择安全配置文件标签页。该标签页会显示已配置的安全配置文件的列表。

3. 选择安全配置文件，然后点击修改。

4. 在严重级别替换项下，点击要删除替换操作的严重级别旁边的修改。

5. 在替换操作列表中，选择禁止替换。

6. 点击确认。

7. 在签名替换项下，选择要删除的威胁 ID。

8. 点击删除。

9. 点击保存。

gcloud

如需从威胁防护安全配置文件中删除替换操作，请使用 gcloud network-security security-profiles threat-prevention delete-override 命令：

gcloud network-security security-profiles threat-prevention delete-override NAME \
    --location LOCATION \
    --organization ORGANIZATION_ID \
    --billing-project QUOTA_PROJECT_ID \
    [--severities SEVERITIES | --threat-ids THREAT_IDS | --antivirus PROTOCOLS]

注意： 您可以在单个命令中为 --severities 标志、--threat-ids 标志或 --antivirus 标志指定操作替换项。如需使用两个或更多替换标志指定操作替换项，请运行单独的命令。

替换以下内容：

• NAME：安全配置文件的名称；您可以将名称指定为字符串或唯一网址标识符。

• LOCATION：安全配置文件的位置。

  位置始终设置为 global。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --location 标志。

• ORGANIZATION_ID：安全配置文件所在的组织。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --organization 标志。

• QUOTA_PROJECT_ID：用于威胁防御安全配置文件的配额和访问权限限制的可选项目 ID。

• SEVERITIES：要删除替换项的严重级别的逗号分隔列表。严重级别可以是以下之一：

  • INFORMATIONAL
  • LOW
  • MEDIUM
  • HIGH
  • CRITICAL

• THREAT_IDS：要删除替换项的威胁签名 ID 的逗号分隔列表。

• PROTOCOLS：要监控的逗号分隔列表网络协议，以检测防病毒威胁。支持以下协议：

  • SMTP
  • SMB
  • POP3
  • IMAP
  • HTTP2
  • HTTP
  • FTP

项目级安全配置文件

预览

此功能受服务专用条款的“通用服务条款”部分中的“非正式版产品条款”的约束。 非正式版功能“按原样”提供，可能只能获得有限的支持。 如需了解详情，请参阅发布阶段说明。

如需从项目级威胁防护安全配置文件中删除替换操作，请使用 gcloud CLI。

执行此任务所需的权限

如需执行此任务，您必须已被授予项目的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.delete

角色

• 项目级或组织级 Security Profile Admin (roles/networksecurity.securityProfileAdmin)

gcloud

如需从威胁防护安全配置文件中删除替换操作，请使用 gcloud beta network-security security-profiles threat-prevention delete-override 命令：

gcloud beta network-security security-profiles threat-prevention delete-override NAME \
    --location LOCATION \
    --project PROJECT_ID \
    [--severities SEVERITIES | --threat-ids THREAT_IDS | --antivirus PROTOCOLS]

注意： 您可以在单个命令中为 --severities 标志、--threat-ids 标志或 --antivirus 标志指定操作替换项。如需使用两个或更多替换标志指定操作替换项，请运行单独的命令。

替换以下内容：

• NAME：安全配置文件的名称；您可以将名称指定为字符串或唯一网址标识符。

• LOCATION：安全配置文件的位置。

  位置始终设置为 global。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --location 标志。

• PROJECT_ID：创建安全配置文件的项目。如果您为 NAME 变量使用唯一网址标识符，则可以省略 --project 标志。

• SEVERITIES：要删除替换项的严重级别的逗号分隔列表。严重级别可以是以下之一：

  • INFORMATIONAL
  • LOW
  • MEDIUM
  • HIGH
  • CRITICAL

• THREAT_IDS：要删除替换项的威胁签名 ID 的逗号分隔列表。

• PROTOCOLS：要监控的逗号分隔列表网络协议，以检测防病毒威胁。支持以下协议：

  • SMTP
  • SMB
  • POP3
  • IMAP
  • HTTP2
  • HTTP
  • FTP

后续步骤

• 创建和管理安全配置文件组
• 创建和管理防火墙端点