Criar grupos de endereços para políticas de firewall

Para criar grupos de endereços, primeiro você precisa identificar o escopo do grupo de endereços relevante para seu requisito. O escopo identifica o nível em que o grupo de endereços é aplicável na hierarquia de recursos.

Se você quiser usar um grupo de endereços em uma regra de política de firewall que se aplique a um projeto individual, use um grupo de endereços com escopo de projeto.

Se você quiser usar um grupo de endereços em uma regra de política de firewall aplicável na hierarquia em todos os recursos de uma organização ou rede, use um grupo de endereços com escopo da organização.

Grupos de endereços com escopo do projeto

Esta seção fornece informações detalhadas sobre como criar grupos de endereços com escopo do projeto.

Os grupos de endereços com escopo no projeto são definidos no nível do projeto e se aplicam apenas ao projeto em que são criados. Para usar um grupo de endereços, você precisa associá-lo a uma regra de firewall em uma política de firewall de rede global ou política de firewall de rede regional. O local do grupo de endereços precisa ser o mesmo da política de firewall em que é usado.

Criar um grupo de endereços

O tipo de contêiner do grupo de endereços com escopo do projeto é sempre definido como projects.

Ao criar um grupo de endereços, você pode especificar o nome dele como uma string ou como um identificador de URL exclusivo. O URL exclusivo de um grupo de endereços no escopo do projeto pode ser construído no seguinte formato:

projects/PROJECT_ID/locations/location/addressGroups/ADDRESS_GROUP_NAME

Se você usar um identificador de URL exclusivo para o nome do grupo de endereços, o local do grupo de endereços já estará incluído no identificador de URL. No entanto, se você usar apenas o nome do grupo de endereços, precisará especificar o local separadamente. Para mais informações sobre identificadores de URL exclusivos, consulte Especificações do grupo de endereços.

Um grupo de endereços pode ter tipos de itens IPv4 ou IPv6, mas não ambos. Você também precisa especificar a capacidade máxima do item para um grupo de endereços. Após a criação do grupo de endereços, não é possível mudar o nome, o tipo ou a capacidade do item.

Permissões exigidas para a tarefa

Para executar esta tarefa, são necessárias as permissões ou um dos papéis de IAM a seguir.

Permissões

• compute.regions.list
• networksecurity.addressGroups.*
• networksecurity.operations.get

Papéis

• compute.securityAdmin
• compute.networkAdmin

Console

1. No console do Google Cloud , acesse a página Grupos de endereços.

   Acesse "Grupos de endereços"

2. No menu do seletor de projetos, escolha seu projeto.

3. Clique em Criar grupo de endereços.

4. Digite um nome no campo Nome.

5. Opcional: no campo Descrição, insira uma descrição.

6. Em Escopo, escolha Global ou Regional.

   Se você escolher Regional, especifique a região em que um grupo de endereços IP é criado.

7. Em Tipo, selecione IPv4 ou IPv6.

8. Em Finalidade, selecione Firewall.

   Se você quiser usar o grupo de endereços nas políticas do Cloud Next Generation Firewall e de segurança do Google Cloud Armor, escolha Cloud NGFW e Cloud Armor.

   Para mais informações sobre esse campo , consulte a especificação do grupo de endereços.

9. No campo Capacidade, insira a capacidade do grupo de endereços.

   Observação: depois de definida, a capacidade do grupo de endereços não pode ser alterada. Defina a capacidade com um valor apropriado com base no seu caso de uso.

10. No campo Endereços IP, liste os endereços IP ou intervalos de IP que você quer incluir no grupo de endereços. Por exemplo, 1.1.1.0/24,1.2.0.0.

    Observação: o número de endereços ou intervalos de IP não pode ultrapassar o à capacidade configurada.

11. Clique em Criar.

gcloud

Para criar um grupo de endereços, use o Comando gcloud network-security address-groups create:

gcloud network-security address-groups create NAME \
   --type TYPE \
   --capacity CAPACITY \
   --location LOCATION \
   --description DESCRIPTION

Substitua:

• NAME: o nome do grupo de endereços; você pode especificar o nome como uma string ou como um identificador de URL exclusivo

• TYPE: o tipo de grupo de endereços – IPv4 ou IPv6.

• CAPACITY: a capacidade do grupo de endereços.

• LOCATION: a localização do grupo de endereços.

  Isso pode ser definido como global ou um código de região (como europe-west). Se você usar um identificador de URL exclusivo para o parâmetro name, será possível omitir o parâmetro location.

• DESCRIPTION: uma descrição opcional para o grupo de endereços.

Clonar itens de outro grupo de endereços

Você pode clonar itens de um grupo de endereços para outro.

Permissões exigidas para a tarefa

Para executar esta tarefa, são necessárias as permissões ou um dos papéis de IAM a seguir.

Permissões

• compute.regions.list
• networksecurity.addressGroups.update
• networksecurity.addressGroups.get
• networksecurity.operations.get

Papéis

• compute.securityAdmin
• compute.networkAdmin

Console

1. No console do Google Cloud , acesse a página Grupos de endereços.

   Acesse "Grupos de endereços"

2. No menu do seletor de projetos, escolha seu projeto.

3. Os grupos de endereços são listados na seção Grupos de endereços.

4. Clique no nome do grupo de endereços que você quer clonar.

5. Clique em Clone.

6. No painel Clone address group, insira um nome em Name.

7. Opcional: no campo Descrição, insira uma descrição.

8. Em Escopo, selecione Global ou Regional.

   Se você escolher Regional, especifique a região em que um grupo de endereços IP é criado.

9. Em Tipo, selecione IPv4 ou IPv6.

10. Em Finalidade, selecione Firewall.

11. No campo Capacidade, insira a capacidade do grupo de endereços.

    Observação: depois que a capacidade do grupo de endereços for definida, não será possível alterá-la. Defina a capacidade com um valor apropriado com base no seu caso de uso.

12. No campo Endereços IP, atualize os endereços ou intervalos de IP que clonadas do grupo de endereços.

    Observação: o número de endereços ou intervalos de IP não pode ultrapassar o à capacidade configurada.

13. Clique em Clonar.

gcloud

Para clonar um grupo de endereços usando a CLI do Google Cloud, siga estas diretrizes:

• Os dois grupos de endereços precisam ser do mesmo tipo.
• Os dois grupos de endereços precisam estar na mesma região.
• Verifique se o novo grupo de endereços tem capacidade suficiente para acomodar os itens do grupo de endereços de origem que estão sendo clonados.

• Para especificar o grupo de endereços de origem, use o seguinte formato de identificador de URL exclusivo:

  projects/PROJECT_ID/locations/location/addressGroups/ADDRESS_GROUP_NAME
  

  Para mais informações sobre os identificadores de URL exclusivos para grupos de endereços, consulte Especificações do grupo de endereços.

Para clonar itens de um grupo de endereços, use o comando gcloud network-security address-groups clone-items:

gcloud network-security address-groups clone-items NAME \
    --source SOURCE_NAMED_LIST \
    --location LOCATION

Substitua:

• NAME: o nome do grupo de endereços; você pode especificar o nome como uma string ou como um identificador de URL exclusivo

• SOURCE_NAMED_LIST: um identificador de URL exclusivo do grupo de endereços de origem de onde os itens são clonados.

• LOCATION: o local do grupo de endereços de destino.

  Isso pode ser definido como global ou um código de região (como europe-west). Se você usar um identificador de URL exclusivo para o parâmetro name, será possível omitir o parâmetro location.

Grupos de endereços no escopo da organização

Esta seção fornece informações detalhadas sobre como criar grupos de endereços no escopo da organização.

Os grupos de endereços com escopo da organização são definidos no nível da organização e se aplicam a todos os recursos da organização, conforme especificado na hierarquia de recursos. Para usar um grupo de endereços, você precisa associá-lo a uma regra de firewall em uma política hierárquica de firewall, uma política de firewall da rede global ou uma política de firewall de rede regional.

Criar um grupo de endereços

O tipo de contêiner do grupo de endereços com escopo da organização sempre é definido como organization.

Ao criar um grupo de endereços, você pode especificar o nome dele como uma string ou como um identificador de URL exclusivo. O URL exclusivo de um grupo de endereços no escopo da organização pode ser construído no seguinte formato:

organizations/ORGANIZATION_ID/locations/LOCATION/addressGroups/ADDRESS_GROUP_NAME

Se você usar um identificador de URL exclusivo para o nome do grupo de endereços, o ID ou o local da organização para o grupo de endereços já estará incluído no identificador do URL. No entanto, se você usar apenas o nome do grupo de endereços, precisará especificar o ID da organização e o local onde está definindo o grupo de endereços. Para mais informações sobre identificadores de URL exclusivos, consulte Especificações do grupo de endereços.

Um grupo de endereços pode ter tipos de itens IPv4 ou IPv6, mas não ambos. Você também precisa especificar a capacidade máxima do item para um grupo de endereços. Após a criação do grupo de endereços, não é possível mudar o nome, o tipo ou a capacidade do item.

Permissões exigidas para a tarefa

Para executar esta tarefa, são necessárias as permissões ou um dos papéis de IAM a seguir.

Permissões

• networksecurity.addressGroups.*
• networksecurity.locations.list
• networksecurity.operations.get

Papéis

• compute.securityAdmin
• compute.networkAdmin

Console

1. No console do Google Cloud , acesse a página Grupos de endereços.

   Acesse "Grupos de endereços"

2. No menu do seletor de projetos, selecione sua organização.

3. Clique em Criar grupo de endereços.

4. Digite um nome no campo Nome.

5. Opcional: no campo Descrição, insira uma descrição.

6. Em Escopo, selecione Global ou Regional.

   Se você escolher Regional, especifique a região em que um grupo de endereços IP é criado.

7. Em Tipo, selecione IPv4 ou IPv6.

8. Em Finalidade, selecione Firewall.

9. No campo Capacidade, insira a capacidade do grupo de endereços.

   Observação: depois de definida, a capacidade do grupo de endereços não pode ser alterada. Defina a capacidade com um valor apropriado com base no seu caso de uso.

10. No campo Endereços IP, liste os endereços IP ou intervalos de IP que você quer incluir no grupo de endereços. Por exemplo, 1.1.1.0/24,1.2.0.0.

    Observação: o número de endereços ou intervalos de IP não pode ultrapassar o à capacidade configurada.

11. Clique em Criar.

gcloud

Para criar um grupo de endereços no escopo da organização, use o Comando gcloud network-security org-address-groups create:

gcloud network-security org-address-groups create NAME \
   --organization ORGANIZATION \
   --type TYPE \
   --capacity CAPACITY \
   --location LOCATION \
   --description DESCRIPTION

Substitua:

• NAME: o nome do grupo de endereços; você pode especificar o nome como uma string ou um identificador de URL exclusivo

• ORGANIZATION: o ID da organização em que o grupo de endereços é criado

  Se você usar um identificador de URL exclusivo para o parâmetro name, será possível omitir o parâmetro organization.

• TYPE: o tipo de grupo de endereços – IPv4 ou IPv6.

• CAPACITY: a capacidade do grupo de endereços.

• LOCATION: a localização do grupo de endereços.

  Isso pode ser definido como global ou um código de região (como europe-west). Se você usar um identificador de URL exclusivo para o parâmetro name, será possível omitir o parâmetro location.

• DESCRIPTION: uma descrição opcional para o grupo de endereços.

Clonar itens de outro grupo de endereços

Você pode clonar itens de um grupo de endereços para outro.

Permissões exigidas para a tarefa

Para executar esta tarefa, são necessárias as permissões ou um dos papéis de IAM a seguir.

Permissões

• networksecurity.addressGroups.update
• networksecurity.addressGroups.get
• networksecurity.locations.list
• networksecurity.operations.get

Papéis

• compute.securityAdmin
• compute.networkAdmin

Console

1. No console do Google Cloud , acesse a página Grupos de endereços.

   Acesse "Grupos de endereços"

2. No menu do seletor de projetos, selecione sua organização.

3. Os grupos de endereços são listados na seção Grupos de endereços.

4. Clique no nome do grupo de endereços que você quer clonar.

5. Clique em Clone.

6. No painel Clone address group, insira um nome em Name.

7. Opcional: no campo Descrição, insira uma descrição.

8. Em Escopo, selecione Global ou Regional.

   Se você escolher Regional, especifique a região em que um grupo de endereços IP é criado.

9. Em Tipo, selecione IPv4 ou IPv6.

10. Em Finalidade, selecione Firewall.

11. No campo Capacidade, insira a capacidade do grupo de endereços.

    Observação: depois que a capacidade do grupo de endereços for definida, não será possível alterá-la. Defina a capacidade com um valor apropriado com base no seu caso de uso.

12. No campo Endereços IP, atualize os endereços ou intervalos de IP que clonadas do grupo de endereços.

    Observação: o número de endereços ou intervalos de IP não pode ultrapassar o à capacidade configurada.

13. Clique em Clonar.

gcloud

Para clonar um grupo de endereços usando a CLI gcloud, siga estas diretrizes:

• Os dois grupos de endereços precisam ser do mesmo tipo.
• Os dois grupos de endereços precisam estar no mesmo local.
• Verifique se o novo grupo de endereços tem capacidade suficiente para acomodar os itens do grupo de endereços de origem que estão sendo clonados.

• Para especificar o grupo de endereços de origem, use o seguinte identificador de URL exclusivo:

  organizations/ORGANIZATION_ID/locations/LOCATION/addressGroups/ADDRESS_GROUP_NAME
  

Para mais informações sobre identificadores de URL exclusivos para grupos de endereços, consulte Especificações do grupo de endereços.

Para clonar itens de um grupo de endereços no escopo da organização, use o comando gcloud network-security org-address-groups clone-items:

gcloud network-security org-address-groups clone-items NAME \
    --organization ORGANIZATION \
    --source SOURCE_NAMED_LIST \
    --location LOCATION

Substitua:

• NAME: o nome do grupo de endereços; você pode especificar o nome como uma string ou um identificador de URL exclusivo

• ORGANIZATION: o ID da organização em que o grupo de endereços é criado

  Se você usar um identificador de URL exclusivo para o parâmetro name, será possível omitir o parâmetro organization.

• SOURCE_NAMED_LIST: um identificador de URL exclusivo do grupo de endereços de origem de onde os itens são clonados.

• LOCATION: o local do grupo de endereços de destino.

  Isso pode ser definido como global ou um código de região (como europe-west). Se você usar um identificador de URL exclusivo para o parâmetro name, será possível omitir o parâmetro location.

A seguir

• Use políticas hierárquicas de firewall
• Usar políticas globais do firewall de rede
• Usar políticas de firewall de rede regional