Créer des groupes d'adresses pour les stratégies de pare-feu

Pour créer des groupes d'adresses, vous devez d'abord identifier le champ d'application du groupe d'adresses pertinent pour vos besoins. Le champ d'application identifie le niveau auquel le groupe d'adresses s'applique dans la hiérarchie des ressources.

Si vous souhaitez utiliser un groupe d'adresses dans une règle de stratégie de pare-feu qui s'applique à un projet spécifique, utilisez un groupe d'adresses au niveau du projet.

Si vous souhaitez utiliser un groupe d'adresses dans une règle de stratégie de pare-feu applicable à l'ensemble de la hiérarchie sur toutes les ressources d'une organisation ou d'un réseau, utilisez un groupe d'adresses au niveau de l'organisation.

Groupes d'adresses au niveau du projet

Cette section fournit des informations détaillées sur la création de groupes d'adresses au niveau du projet.

Les groupes d'adresses au niveau du projet sont définis au niveau du projet et ne s'appliquent qu'au projet dans lequel ils sont créés. Pour utiliser un groupe d'adresses, vous devez l'associer à une règle de pare-feu dans une stratégie de pare-feu de réseau mondiale ou dans une stratégie de pare-feu de réseau régionale. L'emplacement du groupe d'adresses doit être identique à celui de la stratégie de pare-feu dans laquelle il est utilisé.

Créer un groupe d'adresses

Le type de conteneur du groupe d'adresses au niveau du projet est toujours défini sur projects.

Lorsque vous créez un groupe d'adresses, vous pouvez spécifier son nom sous forme de chaîne ou d'identifiant d'URL unique. L'URL unique d'un groupe d'adresses au niveau du projet peut être construite au format suivant :

projects/PROJECT_ID/locations/location/addressGroups/ADDRESS_GROUP_NAME

Si vous utilisez un identifiant d'URL unique pour le nom du groupe d'adresses, l'emplacement du groupe d'adresses est déjà inclus dans l'identifiant d'URL. Toutefois, si vous n'utilisez que le nom du groupe d'adresses, vous devez spécifier l'emplacement séparément. Pour en savoir plus sur les identifiants d'URL uniques, consultez la section Spécifications des groupes d'adresses.

Un groupe d'adresses peut avoir des types d'éléments IPv4 ou IPv6, mais pas les deux. Vous devez également spécifier la capacité maximale en éléments d'un groupe d'adresses. Une fois le groupe d'adresses créé, vous ne pouvez plus modifier son nom, son type d'élément ou sa capacité d'éléments.

Console

  1. Dans la console Google Cloud , accédez à la page Groupes d'adresses.

    Accéder à "Groupes d'adresses"

  2. Dans le menu de sélection du projet, sélectionnez votre projet.

  3. Cliquez sur Créer un groupe d'adresses.

  4. Dans le champ Nom, saisissez un nom.

  5. Facultatif : Dans le champ Description, saisissez une description.

  6. Pour Champ d'application, sélectionnez Global ou Régional.

    Si vous choisissez Régional, spécifiez la région dans laquelle le groupe d'adresses est créé.

  7. Dans le champ Type, sélectionnez IPv4 ou IPv6.

  8. Dans le champ Usage, sélectionnez Pare-feu.

    Si vous souhaitez utiliser le groupe d'adresses à la fois dans les stratégies de pare-feu Cloud Next Generation et dans les stratégies de sécurité Google Cloud Armor, sélectionnez Cloud NGFW et Cloud Armor.

    Pour en savoir plus sur ce champ, consultez spécification du groupe d'adresses.

  9. Dans le champ Capacité, saisissez la capacité du groupe d'adresses.

  10. Dans le champ Adresses IP, indiquez les adresses IP ou les plages d'adresses IP que vous souhaitez inclure dans le groupe d'adresses. Par exemple, 1.1.1.0/24,1.2.0.0.

  11. Cliquez sur Créer.

gcloud

Pour créer un groupe d'adresses, utilisez la commande gcloud network-security address-groups create :

gcloud network-security address-groups create NAME \
   --type TYPE \
   --capacity CAPACITY \
   --location LOCATION \
   --description DESCRIPTION

Remplacez les éléments suivants :

  • NAME : nom du groupe d'adresses. Vous pouvez spécifier le nom en tant que chaîne ou en tant qu'identifiant d'URL unique.

  • TYPE : type de groupe d'adresses (IPv4 ou IPv6).

  • CAPACITY : capacité du groupe d'adresses.

  • LOCATION : emplacement du groupe d'adresses.

    Vous pouvez définir cette valeur sur global ou sur un code de région (par exemple, europe-west). Si vous utilisez un identifiant d'URL unique pour le paramètre name, vous pouvez omettre le paramètre location.

  • DESCRIPTION : description facultative du groupe d'adresses.

Cloner des éléments d'un autre groupe d'adresses

Vous pouvez cloner des éléments d'un groupe d'adresses vers un autre.

Console

  1. Dans la console Google Cloud , accédez à la page Groupes d'adresses.

    Accéder à "Groupes d'adresses"

  2. Dans le menu de sélection du projet, sélectionnez votre projet.

  3. Les groupes d'adresses sont listés dans la section Groupes d'adresses.

  4. Cliquez sur le nom du groupe d'adresses que vous souhaitez cloner.

  5. Cliquez sur Clone (Cloner).

  6. Dans le volet Cloner le groupe d'adresses, saisissez un nom dans le champ Nom.

  7. Facultatif : Dans le champ Description, saisissez une description.

  8. Pour Champ d'application, sélectionnez Global ou Régional.

    Si vous choisissez Régional, spécifiez la région dans laquelle le groupe d'adresses est créé.

  9. Dans le champ Type, sélectionnez IPv4 ou IPv6.

  10. Dans le champ Usage, sélectionnez Pare-feu.

  11. Dans le champ Capacité, saisissez la capacité du groupe d'adresses.

  12. Dans le champ Adresses IP, mettez à jour les adresses IP ou les plages d'adresses IP clonées à partir du groupe d'adresses.

  13. Cliquez sur Cloner.

gcloud

Pour cloner un groupe d'adresses à l'aide de Google Cloud CLI, suivez ces consignes :

  • Les deux groupes d'adresses doivent être du même type.
  • Les deux groupes d'adresses doivent se trouver dans la même région.
  • Assurez-vous que le nouveau groupe d'adresses dispose d'une capacité suffisante pour accueillir les éléments du groupe d'adresses source à cloner.

  • Pour spécifier le groupe d'adresses source, utilisez le format d'identifiant d'URL unique suivant :

    projects/PROJECT_ID/locations/location/addressGroups/ADDRESS_GROUP_NAME

    Pour en savoir plus sur les identifiants d'URL uniques pour les groupes d'adresses, consultez la section Spécifications des groupes d'adresses.

Pour cloner des éléments d'un groupe d'adresses, utilisez la commande gcloud network-security address-groups clone-items :

gcloud network-security address-groups clone-items NAME \
    --source SOURCE_NAMED_LIST \
    --location LOCATION

Remplacez les éléments suivants :

  • NAME: nom du groupe d'adresses ; vous pouvez spécifier le nom en tant que chaîne ou en tant qu'identifiant d'URL unique.

  • SOURCE_NAMED_LIST : identifiant d'URL unique du groupe d'adresses source à partir duquel les éléments sont clonés.

  • LOCATION : emplacement du groupe d'adresses de destination.

    Vous pouvez définir cette valeur sur global ou sur un code de région (par exemple, europe-west). Si vous utilisez un identifiant d'URL unique pour le paramètre name, vous pouvez omettre le paramètre location.

Groupes d'adresses au niveau de l'organisation

Cette section explique en détail comment créer des groupes d'adresses au niveau de l'organisation.

Les groupes d'adresses au niveau de l'organisation sont définis au niveau de l'organisation et s'appliquent à toutes les ressources de l'organisation, comme spécifié dans la hiérarchie des ressources. Pour utiliser un groupe d'adresses, vous devez l'associer à une règle de pare-feu dans une stratégie de pare-feu hiérarchique, une stratégie de pare-feu réseau au niveau mondial ou une stratégie de pare-feu de réseau régionale.

Créer un groupe d'adresses

Le type de conteneur du groupe d'adresses au niveau de l'organisation est toujours défini sur organization.

Lorsque vous créez un groupe d'adresses, vous pouvez spécifier son nom sous forme de chaîne ou d'identifiant d'URL unique. L'URL unique d'un groupe d'adresses au niveau de l'organisation peut présenter le format suivant :

organizations/ORGANIZATION_ID/locations/LOCATION/addressGroups/ADDRESS_GROUP_NAME

Si vous utilisez un identifiant d'URL unique pour le nom du groupe d'adresses, l'ID d'organisation ou l'emplacement du groupe d'adresses est déjà inclus dans l'identifiant d'URL. Toutefois, si vous n'utilisez que le nom du groupe d'adresses, vous devez spécifier l'ID de l'organisation et l'emplacement où vous définissez le groupe d'adresses. Pour en savoir plus sur les identifiants d'URL uniques, consultez la section Spécifications des groupes d'adresses.

Un groupe d'adresses peut avoir des types d'éléments IPv4 ou IPv6, mais pas les deux. Vous devez également spécifier la capacité maximale en éléments pour un groupe d'adresses. Une fois le groupe d'adresses créé, vous ne pouvez plus modifier son nom, son type d'élément ni sa capacité d'éléments.

Console

  1. Dans la console Google Cloud , accédez à la page Groupes d'adresses.

    Accéder à "Groupes d'adresses"

  2. Dans le menu de sélection du projet, sélectionnez votre organisation.

  3. Cliquez sur Créer un groupe d'adresses.

  4. Dans le champ Nom, saisissez un nom.

  5. Facultatif : Dans le champ Description, saisissez une description.

  6. Pour Champ d'application, sélectionnez Global ou Régional.

    Si vous choisissez Régional, spécifiez la région dans laquelle le groupe d'adresses est créé.

  7. Dans le champ Type, sélectionnez IPv4 ou IPv6.

  8. Dans le champ Usage, sélectionnez Pare-feu.

  9. Dans le champ Capacité, saisissez la capacité du groupe d'adresses.

  10. Dans le champ Adresses IP, indiquez les adresses IP ou les plages d'adresses IP que vous souhaitez inclure dans le groupe d'adresses. Par exemple, 1.1.1.0/24,1.2.0.0.

  11. Cliquez sur Créer.

gcloud

Pour créer un groupe d'adresses au niveau de l'organisation, utilisez la commande gcloud network-security org-address-groups create :

gcloud network-security org-address-groups create NAME \
   --organization ORGANIZATION \
   --type TYPE \
   --capacity CAPACITY \
   --location LOCATION \
   --description DESCRIPTION

Remplacez les éléments suivants :

  • NAME: nom du groupe d'adresses ; vous pouvez spécifier le nom en tant que chaîne ou en tant qu'identifiant d'URL unique.

  • ORGANIZATION : ID de l'organisation dans laquelle le groupe d'adresses est créé.

    Si vous utilisez un identifiant d'URL unique pour le paramètre name, vous pouvez omettre le paramètre organization.

  • TYPE : type de groupe d'adresses (IPv4 ou IPv6).

  • CAPACITY : capacité du groupe d'adresses.

  • LOCATION : emplacement du groupe d'adresses.

    Vous pouvez définir cette valeur sur global ou sur un code de région (par exemple, europe-west). Si vous utilisez un identifiant d'URL unique pour le paramètre name, vous pouvez omettre le paramètre location.

  • DESCRIPTION : description facultative du groupe d'adresses.

Cloner des éléments d'un autre groupe d'adresses

Vous pouvez cloner des éléments d'un groupe d'adresses vers un autre.

Console

  1. Dans la console Google Cloud , accédez à la page Groupes d'adresses.

    Accéder à "Groupes d'adresses"

  2. Dans le menu de sélection du projet, sélectionnez votre organisation.

  3. Les groupes d'adresses sont listés dans la section Groupes d'adresses.

  4. Cliquez sur le nom du groupe d'adresses que vous souhaitez cloner.

  5. Cliquez sur Clone (Cloner).

  6. Dans le volet Cloner le groupe d'adresses, saisissez un nom dans le champ Nom.

  7. Facultatif : Dans le champ Description, saisissez une description.

  8. Pour Champ d'application, sélectionnez Global ou Régional.

    Si vous choisissez Régional, spécifiez la région dans laquelle le groupe d'adresses est créé.

  9. Dans le champ Type, sélectionnez IPv4 ou IPv6.

  10. Dans le champ Usage, sélectionnez Pare-feu.

  11. Dans le champ Capacité, saisissez la capacité du groupe d'adresses.

  12. Dans le champ Adresses IP, mettez à jour les adresses IP ou les plages d'adresses IP clonées à partir du groupe d'adresses.

  13. Cliquez sur Cloner.

gcloud

Pour cloner un groupe d'adresses à l'aide de gcloud CLI, suivez ces consignes :

  • Les deux groupes d'adresses doivent être du même type.
  • Les deux groupes d'adresses doivent se trouver au même emplacement.
  • Assurez-vous que le nouveau groupe d'adresses dispose d'une capacité suffisante pour accueillir les éléments du groupe d'adresses source à cloner.

  • Pour spécifier le groupe d'adresses source, vous devez utiliser l'identifiant d'URL unique suivant :

    organizations/ORGANIZATION_ID/locations/LOCATION/addressGroups/ADDRESS_GROUP_NAME

Pour en savoir plus sur les identifiants d'URL uniques pour les groupes d'adresses, consultez la section Spécifications des groupes d'adresses.

Pour cloner des éléments à partir d'un groupe d'adresses au niveau de l'organisation, utilisez la commande gcloud network-security org-address-groups clone-items :

gcloud network-security org-address-groups clone-items NAME \
    --organization ORGANIZATION \
    --source SOURCE_NAMED_LIST \
    --location LOCATION

Remplacez les éléments suivants :

  • NAME: nom du groupe d'adresses ; vous pouvez spécifier le nom en tant que chaîne ou en tant qu'identifiant d'URL unique.

  • ORGANIZATION : ID de l'organisation dans laquelle le groupe d'adresses est créé.

    Si vous utilisez un identifiant d'URL unique pour le paramètre name, vous pouvez omettre le paramètre organization.

  • SOURCE_NAMED_LIST : identifiant d'URL unique du groupe d'adresses source à partir duquel les éléments sont clonés.

  • LOCATION : emplacement du groupe d'adresses de destination.

    Vous pouvez définir cette valeur sur global ou sur un code de région (par exemple, europe-west). Si vous utilisez un identifiant d'URL unique pour le paramètre name, vous pouvez omettre le paramètre location.

Étapes suivantes