URL フィルタリングサービスを構成する

URL フィルタリングサービスを使用すると、特定のウェブドメインへのアクセスをブロックまたは許可することで制御できます。ネットワークで URL フィルタリングサービスを有効にするには、ファイアウォールエンドポイント、セキュリティプロファイル、セキュリティプロファイルグループなど、複数の Cloud Next Generation Firewall コンポーネントを設定する必要があります。このドキュメントでは、これらのコンポーネントを構成して URL フィルタリングサービスを有効にする方法について、おおまかなワークフローを示して説明します。

URL フィルタリングサービスの詳細については、URL フィルタリングサービスの概要をご覧ください。

必要なロール

Identity and Access Management（IAM）ロールは、URL フィルタリングサービスの設定と有効化に関連するアクションを管理します。次の表に、各ステップに必要となるロールを示します。

機能	必要なロール
Virtual Private Cloud（VPC）ネットワークのファイアウォールエンドポイントとファイアウォールエンドポイントの関連付けを作成する	次のいずれかのロール: Compute ネットワーク管理者のロール（`roles/compute.networkAdmin`）ファイアウォールエンドポイント管理者のロール（`roles/networksecurity.firewallEndpointAdmin`）これらのロールには、ファイアウォールエンドポイントを作成するための次の権限が含まれています。 `networksecurity.firewallEndpoints.create` また、これらのロールには、ファイアウォールエンドポイントの関連付けを作成するための次の権限が含まれています。 `networksecurity.firewallEndpointAssociations.create` ファイアウォールエンドポイントが作成される組織に対する `networksecurity.firewallEndpoints.use`
URL フィルタリングセキュリティプロファイル、脅威防止セキュリティプロファイル、セキュリティプロファイルグループを作成する	セキュリティプロファイル管理者のロール（`roles/networksecurity.securityProfileAdmin`）このロールには、次の必要な権限が含まれています。セキュリティプロファイルグループを作成する `networksecurity.securityProfileGroups.create` URL フィルタリングセキュリティプロファイルまたは脅威防止セキュリティプロファイルを作成する `networksecurity.securityProfiles.create`
階層型ファイアウォールポリシーとそのルールを作成する	Compute 組織ファイアウォールポリシー管理者のロール（`roles/compute.orgFirewallPolicyAdmin`）階層型ファイアウォールポリシーを作成するには、このロールが必要です。ポリシーを作成するリソースにロールを付与する必要があります。また、階層型ファイアウォールポリシーでルールを作成する場合にも、このロールが必要です。ポリシーを含むリソースまたはポリシー自体にロールを付与する必要があります。このロールには、次の必要な権限が含まれています。階層型ファイアウォールポリシーを作成する `compute.firewallPolicies.create` 階層型ファイアウォールポリシールールを作成する `compute.firewallPolicies.update`
階層型ファイアウォールポリシーを組織またはフォルダに関連付ける	次のいずれかのロールセット: ターゲットリソースに対する Compute 組織リソース管理者ロール（`roles/compute.orgSecurityResourceAdmin`）と、ポリシーリソースまたはポリシー自体に対する Compute 組織ファイアウォールポリシーユーザーロール（`roles/compute.orgFirewallPolicyUser`）またはターゲットリソースに対する Compute 組織リソース管理者ロール（`roles/compute.orgSecurityResourceAdmin`）と、ポリシーリソースまたはポリシー自体に対する Compute 組織ファイアウォールポリシー管理者ロール（`roles/compute.orgFirewallPolicyAdmin`）これらのロールには、次の必要な権限が含まれています。ファイアウォールポリシーに対する `compute.firewallPolicies.addAssociation` ターゲットリソースに対する `compute.organizations.setFirewallPolicy`
グローバルネットワークファイアウォールポリシーとそのルールを作成する	Compute セキュリティ管理者のロール（`roles/compute.securityAdmin`）グローバルネットワークファイアウォールポリシーを作成するには、このロールが必要です。ポリシーを作成するプロジェクトでロールを付与する必要があります。また、グローバルネットワークファイアウォールポリシーでルールを作成するには、このロールが必要です。ポリシーを含むプロジェクトまたはポリシー自体にロールを付与する必要があります。このロールには、次の必要な権限が含まれています。 `compute.firewallPolicies.create`: グローバルネットワークファイアウォールポリシーを作成する `compute.firewallPolicies.update`: グローバルネットワークファイアウォールポリシールールを作成する
グローバルネットワークファイアウォールポリシーを VPC ネットワークに関連付ける	Compute ネットワーク管理者ロール（`roles/compute.networkAdmin`）このロールには、次の必要な権限が含まれています。 `compute.firewallPolicies.use` `compute.networks.setFirewallPolicy`
CA プールを作成する	CA Service オペレーションマネージャーロール（`roles/privateca.caManager`） Transport Layer Security（TLS）インスペクションを使用している場合は、CA プールを作成するためにこのロールが必要です。
TLS インスペクションポリシーを作成する	Compute ネットワーク管理者のロール（`roles/compute.networkAdmin`） Compute セキュリティ管理者のロール（`roles/compute.securityAdmin`） TLS インスペクションを使用している場合は、TLS インスペクションポリシーを作成するために、上記のいずれかのロールが必要です。これらのロールには、次の必要な権限が含まれています。 `certificatemanager.trustconfigs.list` `certificatemanager.trustconfigs.use` `networksecurity.operations.get` `networksecurity.tlsInspectionPolicies.create` `networksecurity.tlsInspectionPolicies.list` `privateca.caPools.list` `privateca.caPools.use` `privateca.certificateAuthorities.list`

ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

カスタムロールや他の事前定義ロールを使用して、指定された権限を取得することもできます。

TLS インスペクションなしで URL フィルタリングサービスを構成する

ネットワークで URL フィルタリングサービスを構成するには、次の操作を行います。

ファイアウォールエンドポイントを作成します。

ファイアウォールエンドポイントは、URL フィルタリングサービスで保護するワークロードと同じゾーンに作成する必要があるゾーンリソースです。

ジャンボフレームのサポートの有無にかかわらず、ファイアウォールエンドポイントを作成できます。

詳細については、ファイアウォールエンドポイントを作成するをご覧ください。
ファイアウォールエンドポイントを VPC ネットワークに関連付けます。

URL フィルタリングサービスを有効にするには、ファイアウォールエンドポイントを VPC ネットワークに関連付けます。ワークロードがファイアウォールエンドポイントと同じゾーンで実行されていることを確認してください。

ジャンボフレームをサポートするファイアウォールエンドポイントは、最大 8,500 バイトのパケットのみを受け入れることができます。ジャンボフレームをサポートしていないファイアウォールエンドポイントは、最大 1,460 バイトのパケットのみを受け入れることができます。URL フィルタリングサービスが必要な場合は、関連する VPC ネットワークで 8,500 バイトと 1,460 バイトの最大伝送単位（MTU）の上限を使用するように構成することをおすすめします。詳細については、サポートされているパケットサイズをご覧ください。

注意: ネットワークがファイアウォールエンドポイントの制限を超える MTU で構成されている場合、ファイアウォールエンドポイントは VPC ネットワークの URL フィルタリングサービスを実行しません。

ファイアウォールエンドポイントの関連付けの作成の詳細については、ファイアウォールエンドポイントの関連付けを作成するをご覧ください。
URL フィルタリングのセキュリティプロファイルを作成します。

特定のドメインへのアクセスを許可または拒否するには、タイプ url-filtering のセキュリティプロファイルを作成し、URL リストを使用してマッチャー文字列を指定します。

詳細については、URL フィルタリングセキュリティプロファイルを作成するをご覧ください。
必要に応じて、セキュリティプロファイルを作成してトラフィックをスキャンし、脅威を検出できます。

トラフィックをスキャンしてセキュリティ上の脅威を検出するには、タイプ threat-prevention の別のセキュリティプロファイルを作成します。脅威シグネチャのリストを確認し、デフォルトのレスポンスを評価して、選択したシグネチャのアクションを要件に応じてカスタマイズします。

詳細については、脅威防止セキュリティプロファイルを作成するをご覧ください。侵入検知および防止サービスの詳細については、侵入検知および防止サービスの概要をご覧ください。
セキュリティプロファイルグループを作成します。

セキュリティプロファイルグループは、セキュリティプロファイルのコンテナとして機能します。前の手順で作成したセキュリティプロファイルを含めるセキュリティプロファイルグループを作成します。

詳細については、セキュリティプロファイルグループを作成するをご覧ください。
URL フィルタリングサービスを構成して、ネットワークトラフィックに適用します。

URL フィルタリングサービスを構成するには、レイヤ 7 検査を含むグローバルネットワークファイアウォールポリシーまたは階層型ファイアウォールポリシーを作成します。
- 新しいグローバルファイアウォールポリシーを作成するか、既存のグローバルファイアウォールポリシーを使用する場合は、apply_security_profile_group アクションを使用してファイアウォールポリシールールを追加し、前に作成したセキュリティプロファイルグループの名前を指定します。ファイアウォールポリシーが、検査を必要とするワークロードと同じ VPC ネットワークに関連付けられていることを確認します。
  
  詳細については、グローバルネットワークファイアウォールポリシーを作成するとルールを作成するをご覧ください。
- 新しい階層型ファイアウォールポリシーを作成するか、既存のポリシーを使用する場合は、apply_security_profile_group アクションを含むファイアウォールポリシールールを追加します。ファイアウォールポリシーが、検査を必要とするワークロードと同じ VPC ネットワークに関連付けられていることを確認します。
  
  詳細については、ルールを作成するをご覧ください。

TLS インスペクションを使用して URL フィルタリングサービスを構成する

ネットワークで TLS インスペクションのある URL フィルタリングサービスを構成するには、次の操作を行います。

ファイアウォールエンドポイントを作成します。

ジャンボフレームのサポートの有無にかかわらず、ファイアウォールエンドポイントを作成できます。

ファイアウォールエンドポイントは、URL フィルタリングサービスで保護するワークロードと同じゾーンに作成する必要があるゾーンリソースです。

詳細については、ファイアウォールエンドポイントを作成するをご覧ください。
ファイアウォールエンドポイントを VPC ネットワークに関連付けます。

URL フィルタリングサービスを有効にするには、ファイアウォールエンドポイントを VPC ネットワークに関連付けます。ワークロードがファイアウォールエンドポイントと同じゾーンで実行されていることを確認してください。

ジャンボフレームをサポートするファイアウォールエンドポイントは、最大 8,500 バイトのパケットのみを受け入れることができます。ジャンボフレームをサポートしていないファイアウォールエンドポイントは、最大 1,460 バイトのパケットのみを受け入れることができます。URL フィルタリングサービスが必要な場合は、関連する VPC ネットワークで 8,500 バイトと 1,460 バイトの最大伝送単位（MTU）の上限を使用するように構成することをおすすめします。詳細については、サポートされているパケットサイズをご覧ください。

注意: ネットワークがファイアウォールエンドポイントの制限を超える MTU で構成されている場合、ファイアウォールエンドポイントは VPC ネットワークの URL フィルタリングサービスを実行しません。

ファイアウォールエンドポイントの関連付けの作成の詳細については、ファイアウォールエンドポイントの関連付けを作成するをご覧ください。
URL フィルタリングのセキュリティプロファイルを作成します。

特定のドメインへのアクセスを許可または拒否するには、タイプ url-filtering のセキュリティプロファイルを作成し、URL リストを使用してマッチャー文字列を指定します。

詳細については、URL フィルタリングセキュリティプロファイルを作成するをご覧ください。
必要に応じて、セキュリティプロファイルを作成してトラフィックをスキャンし、脅威を検出できます。

セキュリティ上の脅威を検出するためにトラフィックをスキャンするには、タイプ threat-prevention の別のセキュリティプロファイルを作成します。脅威シグネチャのリストを確認し、デフォルトのレスポンスを評価して、選択したシグネチャのアクションを要件に応じてカスタマイズします。

詳細については、脅威防止セキュリティプロファイルを作成するをご覧ください。侵入検知および防止サービスの詳細については、侵入検知および防止サービスの概要をご覧ください。
セキュリティプロファイルグループを作成します。

セキュリティプロファイルグループは、セキュリティプロファイルのコンテナとして機能します。前の手順で作成したセキュリティプロファイルを含めるセキュリティプロファイルグループを作成します。

詳細については、セキュリティプロファイルグループを作成するをご覧ください。
暗号化されたトラフィックを検査するリソースを作成して構成します。
1. 認証局（CA）プールを作成します。
  
  CA プールは、共通の証明書発行ポリシーと IAM ポリシーを持つ CA の集合です。TLS インスペクションを構成するには、リージョン CA プールが存在している必要があります。
  
  詳細については、CA プールを作成するをご覧ください。
2. ルート CA を作成します。
  
  TLS インスペクションを使用するには、少なくとも 1 つのルート CA が必要です。ルート CA が中間 CA に署名し、中間 CA がクライアントのすべてのリーフ証明書に署名します。詳細については、gcloud privateca roots create コマンドのリファレンスドキュメントをご覧ください。
3. Network Security サービスエージェント（P4SA）に必要な権限を付与します。
  
  Cloud NGFW では、TLS インスペクション用の中間 CA を生成するために P4SA が必要です。サービスエージェントには、CA プールの証明書をリクエストするために必要な権限が必要です。
  
  詳細については、サービスアカウントを作成するをご覧ください。
リージョン TLS インスペクションポリシーを作成します。

TLS インスペクションポリシーは、暗号化されたトラフィックを傍受する方法を指定します。リージョン TLS インスペクションポリシーには、TLS インスペクションの構成を保持できます。

詳細については、TLS インスペクションポリシーを作成するをご覧ください。
ファイアウォールエンドポイントを TLS インスペクションポリシーに関連付けます。
URL フィルタリングサービスを構成して、ネットワークトラフィックに適用します。

URL フィルタリングサービスを構成するには、レイヤ 7 検査を含むグローバルネットワークファイアウォールポリシーまたは階層型ファイアウォールポリシーを作成します。
- 新しいグローバルファイアウォールポリシーを作成するか、既存のグローバルファイアウォールポリシーを使用する場合は、apply_security_profile_group アクションを使用してファイアウォールポリシールールを追加し、前に作成したセキュリティプロファイルグループの名前を指定します。ファイアウォールポリシーが、検査を必要とするワークロードと同じ VPC ネットワークに関連付けられていることを確認します。
  
  詳細については、グローバルネットワークファイアウォールポリシーを作成するとルールを作成するをご覧ください。
- 新しい階層型ファイアウォールポリシーを作成するか、既存のポリシーを使用する場合は、apply_security_profile_group アクションが構成されたファイアウォールポリシールールを追加します。ファイアウォールポリシーが、検査を必要とするワークロードと同じ VPC ネットワークに関連付けられていることを確認します。
  
  詳細については、ルールを作成するをご覧ください。

デプロイモデルの例

次の図は、同じリージョンの 2 つの異なるゾーンで 2 つの VPC ネットワークに構成された複数のファイアウォールエンドポイントを使用した URL フィルタリングサービスのデプロイ例を示しています。

リージョンに URL フィルタリングサービスをデプロイします。 — URL フィルタリングサービスをリージョンにデプロイする（クリックして拡大）。

この例のデプロイには、次の構成が含まれています。

2 つのセキュリティプロファイルグループ:
1. セキュリティプロファイル Security profile 1 を持つ Security profile group 1。
2. セキュリティプロファイル Security profile 2 を持つ Security profile group 2。
ユーザーの VPC 1（VPC 1）には、セキュリティプロファイルグループが Security profile group 1 に設定されたファイアウォールポリシーがあります。
ユーザー VPC 2（VPC 2）には、セキュリティプロファイルグループが Security profile group 2 に設定されたファイアウォールポリシーがあります。
ファイアウォールエンドポイント Firewall endpoint 1 は、ゾーン us-west1-a の VPC 1 と VPC 2 で実行されているワークロードに対して URL フィルタリングを行います。
ファイアウォールエンドポイント Firewall endpoint 2 は、ゾーン us-west1-b の VPC 1 と VPC 2 で実行されているワークロードに対して TLS インスペクションを有効にして、URL フィルタリングを行います。

URL フィルタリング サービスを構成する コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

必要なロール

TLS インスペクションなしで URL フィルタリング サービスを構成する

TLS インスペクションを使用して URL フィルタリング サービスを構成する

デプロイモデルの例

次のステップ

URL フィルタリングサービスを構成する

TLS インスペクションなしで URL フィルタリングサービスを構成する

TLS インスペクションを使用して URL フィルタリングサービスを構成する