Gerenciar política de recursos de firewall usando restrições personalizadas

O Organization Policy Service oferece controle centralizado e programático sobre os recursos da sua organização. Um administrador de políticas da organização pode definir políticas da organização, ou seja, conjuntos de restrições que se aplicam aos recursos doGoogle Cloud e aos elementos que descendem dele na hierarquia de recursos doGoogle Cloud . É possível aplicar políticas da organização no nível da organização, de pastas ou de projetos.

A política da organização fornece restrições predefinidas para diversos serviços doGoogle Cloud . No entanto, se você desejar um controle mais detalhado e personalizável sobre os campos específicos restritos nas políticas da organização, é possível criar restrições personalizadas e aplicá-las em uma política da organização própria.

No Cloud Next Generation Firewall, é possível criar e aplicar restrições personalizadas nas seguintes políticas de firewall:

• Políticas de firewall hierárquicas
• Políticas globais de firewall de rede
• Políticas de firewall da rede regional

As restrições personalizadas se aplicam a todas as regras na política de firewall, incluindo regras predefinidas que são adicionadas quando uma é criada. Para mais informações sobre regras de política de firewall predefinidas, consulte Regras predefinidas para políticas de firewall.

Herança de políticas

Por padrão, as políticas da organização são herdadas pelos elementos que descendem dos recursos em que elas são aplicadas. Por exemplo, se você aplicar uma política a uma pasta, o Google Cloud vai aplicá-la a todos os projetos desta pasta. Para saber mais sobre esse comportamento e como fazer alterações, confira Regras para a avaliação da hierarquia.

Recursos compatíveis com o Cloud NGFW

Para políticas de firewall, é possível definir restrições personalizadas nos seguintes recursos e campos.

• Políticas de firewall: compute.googleapis.com/FirewallPolicy
  • Nome da regra: resource.rules[].ruleName
  • Descrição: resource.rules[].description
  • Prioridade: resource.rules[].priority
  • Ação: resource.rules[].action
  • Direção: resource.rules[].direction
  • A geração de registros está ativada: resource.rules[].enableLogging
  • Está ativado: resource.rules[].disabled
  • Grupo de perfis de segurança: resource.rules[].securityProfileGroup
  • A inspeção de TLS está ativada: resource.rules[].tlsInspect
  • Contas de serviço de destino: resource.rules[].targetServiceAccounts[]
  • Tags de destino seguras: resource.rules[].targetSecureTags[]
    • Nome: resource.rules[].targetSecureTags[].name
  • Recursos de destino: resource.rules[].targetResources
  • Intervalos de IPs de origem: resource.rules[].match.srcIpRanges[]
  • Intervalos de IP de destino: resource.rules[].match.destIpRanges[]
  • Layer4Config: resource.rules[].match.layer4Configs[]
    • Protocolo IP: match.layer4Configs[].ipProtocol
    • Portas: resource.rules[].match.layer4Configs[].ports[]
  • Tags de origem seguras: resource.rules[].match.srcSecureTags[]
    • Nome: resource.rules[].match.srcSecureTags[].name
  • Grupos de endereços de origem: resource.rules[].match.srcAddressGroups[]
  • Grupos de endereços de destino: resource.rules[].match.destAddressGroups[]
  • FQDNs de origem: resource.rules[].match.srcFqdns[]
  • FQDNs de destino: resource.rules[].match.destFqdns[]
  • Códigos de região de origem: resource.rules[].match.srcReigonCodes[]
  • Códigos de região de destino: resource.rules[].match.destReigonCodes[]
  • Listas de inteligência de ameaças a redes de origem: resource.rules[].match.srcThreatIntelligences[]
  • Listas do Network Threat Intelligence de destino: resource.rules[].match.destThreatIntelligences[]

Observação: para criar restrições personalizadas com base em protocolos ou portas, recomendamos usar a função CEL personalizada containsIpProtocolAndPort. Por exemplo, resource.rules.exists(rule, rule.priority < 100 && (rule.match.layer4Configs.containsIpProtocolAndPort('tcp', '22'))).

Antes de começar

• Configure a autenticação, caso ainda não tenha feito isso. Com isso, você confirma sua identidade para acesso a serviços e APIs do Google Cloud . Para executar códigos ou amostras de um ambiente de desenvolvimento local, autentique-se no Compute Engine selecionando uma das seguintes opções:

  Selecione a guia para como planeja usar as amostras nesta página:

  Console

  Quando você usa o console Google Cloud para acessar serviços Google Cloud e APIs, não é necessário configurar a autenticação.

  gcloud

  1. Instale a CLI do Google Cloud. Após a instalação, inicialize a Google Cloud CLI executando o seguinte comando:

     gcloud init

     Ao usar um provedor de identidade (IdP) externo, primeiro faça login na CLI gcloud com sua identidade federada.

     Observação:se você já instalou a CLI gcloud, execute o comando gcloud components update para verificar se tem a versão mais recente.
• Defina uma região e uma zona padrão.

REST

Para usar as amostras da API REST nesta página em um ambiente de desenvolvimento local, use as credenciais fornecidas para CLI gcloud.

Instale a CLI do Google Cloud.

Ao usar um provedor de identidade (IdP) externo, primeiro faça login na CLI gcloud com sua identidade federada.

Saiba mais em Autenticar para usar REST na documentação de autenticação do Google Cloud .

• Verifique qual é o ID da organização.

Funções exigidas

Para receber as permissões necessárias para gerenciar políticas da organização em recursos do Cloud NGFW, peça ao administrador para conceder a você os seguintes papéis do IAM:

• Administrador de políticas da organização (roles/orgpolicy.policyAdmin) no recurso da organização
• Para testar as restrições:
  • Administrador da rede do Compute (roles/compute.networkAdmin) no projeto
  • Usuário da conta de serviço (roles/iam.serviceAccountUser) no projeto

Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

Esses papéis predefinidos contêm as permissões necessárias para gerenciar as políticas da organização em recursos do Cloud NGFW. Para conferir as permissões exatas necessárias, expanda a seção Permissões necessárias:

Permissões necessárias

As permissões a seguir são necessárias para gerenciar políticas da organização em recursos do Cloud NGFW:

• orgpolicy.constraints.list
• orgpolicy.policies.create
• orgpolicy.policies.delete
• orgpolicy.policies.list
• orgpolicy.policies.update
• orgpolicy.policy.get
• orgpolicy.policy.set

Essas permissões também podem ser concedidas com funções personalizadas ou outros papéis predefinidos.

Configurar uma restrição personalizada

É possível criar uma restrição personalizada e configurá-la para uso nas políticas da organização usando o console do Google Cloud ou a CLI do Google Cloud.

Console

1. No console do Google Cloud , acesse a página Políticas da organização.

   Acessar a página Políticas da organização

2. Selecione o Seletor de projetos na parte de cima da página.

3. No seletor de projetos, selecione o projeto em que você quer definir a política da organização.

4. Clique em Restrição personalizada.

5. Na caixa Nome de exibição, digite um nome legível para a restrição. Esse campo pode ter no máximo 200 caracteres. Não use PII ou dados sensíveis nos nomes de restrições, porque eles podem ser expostos em mensagens de erro.

6. Na caixa ID da restrição, digite o nome que você quer para a nova restrição personalizada. A restrição personalizada precisa começar com custom. e só pode incluir letras maiúsculas, minúsculas ou números. Por exemplo, custom.createFirewallPolicy. O tamanho máximo desse campo é de 70 caracteres, sem contar o prefixo (por exemplo, organizations/123456789/customConstraints/custom.).

7. Na caixa Descrição, digite uma descrição legível a ser exibida como uma mensagem de erro quando a política for violada. Esse campo pode ter no máximo 2.000 caracteres.

8. Na caixa Tipo de recurso, selecione o nome do recurso REST do Google Cloudque contém o objeto e o campo que você quer restringir. Por exemplo, compute.googleapis.com/FirewallPolicy.

9. Em Método de restrição, selecione se a restrição será aplicada apenas ao método REST CREATE ou também aos métodos REST CREATE e UPDATE.

10. Para definir uma condição, clique em Editar condição.

    1. No painel Adicionar condição, crie uma condição CEL que se refira a um recurso de serviço compatível. Esse campo pode ter no máximo 1.000 caracteres.

    2. Clique em Salvar.

11. Em Ação, selecione se você quer permitir ou negar o método avaliado quando a condição acima é atendida.

12. Clique em Criar restrição.

Quando você digita um valor em cada campo, a configuração YAML equivalente à restrição personalizada é exibida à direita.

gcloud

Para criar uma restrição personalizada usando a CLI do Google Cloud, crie um arquivo YAML para essa restrição:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resource_types: compute.googleapis.com/RESOURCE_NAME
method_types:
– METHOD1
– METHOD2
condition: "CONDITION"
action_type: ACTION
display_name: DISPLAY_NAME
description: DESCRIPTION

Substitua:

• ORGANIZATION_ID: o ID da organização, como 123456789.

• CONSTRAINT_NAME: o nome da nova restrição personalizada. A restrição personalizada precisa começar com custom. e só pode incluir letras maiúsculas, minúsculas ou números. Por exemplo, custom.createFirewallPolicy. O tamanho máximo desse campo é de 70 caracteres, sem contar o prefixo (por exemplo, organizations/123456789/customConstraints/custom).

• RESOURCE_NAME: o nome (não o URI) do recurso REST da API Compute Engine que contém o objeto e o campo que você quer restringir. Por exemplo, FirewallPolicy.

• METHOD1,METHOD2,...: uma lista de métodos RESTful nos quais a restrição será aplicada. Pode ser CREATE ou CREATE e UPDATE.

• CONDITION: uma condição de CEL gravada com base na representação de um recurso de serviço compatível. Este campo pode ter, no máximo, 1.000 caracteres. Confira Recursos compatíveis para mais informações sobre os recursos disponíveis para a gravação de condições.

• ACTION: a ação a ser realizada ao atender a condition. Pode ser ALLOW ou DENY.

• DISPLAY_NAME: um nome legível para a restrição. Esse campo pode ter no máximo 200 caracteres.

• DESCRIPTION: uma descrição legível da restrição, a ser exibida como mensagem de erro quando a política é violada. Esse campo pode ter no máximo 2.000 caracteres.

Para saber como criar uma restrição personalizada, consulte Como definir restrições personalizadas.

Console

Para criar uma restrição personalizada, faça o seguinte:

1. No console do Google Cloud , acesse a página Políticas da organização.

   Acessar a página Políticas da organização

2. No seletor de projetos, selecione o projeto em que você quer definir a política da organização.
3. Clique em Restrição personalizada.
4. Na caixa Nome de exibição, insira um nome legível para a restrição. Esse nome é usado em mensagens de erro e pode ser usado para identificação e depuração. Não use informações de identificação pessoal (PII) ou dados sensíveis em nomes de exibição, porque eles podem ser expostos em mensagens de erro. Esse campo pode ter até 200 caracteres.
5. Na caixa ID da restrição, insira o ID que você quer para a nova restrição personalizada. Uma restrição personalizada só pode conter letras (maiúsculas e minúsculas) ou números, por exemplo, custom.createFirewallPolicy. Esse campo pode conter até 70 caracteres, sem contar o prefixo (custom.), por exemplo, organizations/123456789/customConstraints/custom. Não inclua PII ou dados sensíveis no ID da restrição, porque eles podem ser expostos em mensagens de erro.
6. Na caixa Descrição, insira uma descrição legível da restrição. Essa descrição é usada como uma mensagem de erro quando a política é violada. Inclua detalhes sobre o motivo da violação e como resolver o problema. Não inclua PII ou dados sensíveis na descrição, porque eles podem ser expostos em mensagens de erro. Esse campo pode conter até 2.000 caracteres.
7. Na caixa Tipo de recurso, selecione o nome do recurso REST do Google Cloud que contém o objeto e o campo que você quer restringir. Por exemplo, container.googleapis.com/NodePool. A maioria dos tipos de recursos aceita até 20 restrições personalizadas. Se você tentar criar mais restrições personalizadas, a operação vai falhar.
8. Essa restrição só pode ser aplicada no método REST CREATE.

Para ver os métodos compatíveis para cada serviço, encontre o serviço em Serviços que aceitam restrições personalizadas.

9. Para definir uma condição, clique em Editar condição.
1. No painel Adicionar condição, crie uma condição de CEL que se refira a um recurso de serviço compatível, por exemplo, resource.management.autoUpgrade == false. Esse campo pode conter até 1.000 caracteres. Para detalhes sobre o uso da CEL, consulte Common Expression Language. Para mais informações sobre os recursos de serviço que você pode usar nas restrições personalizadas, consulte Serviços compatíveis com restrição personalizada.
2. Clique em Salvar.
10. Em Ação, selecione se você quer permitir ou negar o método avaliado quando a condição é atendida.

A ação de negação significa que a operação para criar ou atualizar o recurso será bloqueada se a condição for avaliada como verdadeira.

A ação de permissão significa que a operação para criar ou atualizar o recurso só é permitida se a condição for avaliada como verdadeira. Todos os outros casos, exceto os listados explicitamente na condição, estão bloqueados.

11. Clique em Criar restrição.

Quando você digita um valor em cada campo, a configuração YAML equivalente à restrição personalizada aparece à direita.

gcloud

1. Para criar uma restrição personalizada, crie um arquivo YAML com o seguinte formato:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes: RESOURCE_NAME
methodTypes:
  - CREATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

Substitua:

• ORGANIZATION_ID: o ID da organização, como 123456789.
• CONSTRAINT_NAME: o nome da sua nova restrição personalizada. Uma restrição personalizada só pode conter letras (maiúsculas e minúsculas) ou números, por exemplo, custom.createFirewallPolicy. Esse campo pode conter até 70 caracteres, sem contar o prefixo (custom.), por exemplo, organizations/123456789/customConstraints/custom. Não inclua PII ou dados sensíveis no ID da restrição, porque eles podem ser expostos em mensagens de erro.
• RESOURCE_NAME: o nome totalmente qualificado do recurso Google Cloud que contém o objeto e o campo que você quer restringir. Por exemplo, compute.googleapis.com/FirewallPolicy. A maioria dos tipos de recursos aceita até 20 restrições personalizadas. Se você tentar criar mais restrições personalizadas, a operação vai falhar.
• methodTypes: os métodos REST em que a restrição é aplicada. Só pode ser CREATE.

Para ver os métodos compatíveis com cada serviço, encontre o serviço em Serviços que aceitam restrições personalizadas.

• CONDITION: uma condição de CEL gravada em uma representação de um recurso de serviço compatível. Esse campo pode conter até 1.000 caracteres. Por exemplo, "resource.rules.all(rule, rule.action == 'goto_next')".

Para mais informações sobre os recursos disponíveis para gravação de condições, consulte Recursos compatíveis.

• ACTION: a ação a ser realizada se o condition for atendido. Só pode ser ALLOW.

A ação "permitir" significa que, se a condição for avaliada como verdadeira, a operação para criar ou atualizar o recurso será permitida. Isso também significa que todos os outros casos, exceto o listado explicitamente na condição, estão bloqueados.

• DISPLAY_NAME: um nome legível para a restrição. Esse nome é usado em mensagens de erro e pode ser usado para identificação e depuração. Não use PII ou dados sensíveis em nomes de exibição, porque eles podem ser expostos em mensagens de erro. Esse campo pode ter até 200 caracteres.
• DESCRIPTION: uma descrição legível da restrição a ser exibida como uma mensagem de erro quando a política for violada. Esse campo pode conter até 2.000 caracteres.
2. Depois de criar o arquivo YAML para uma nova restrição personalizada, faça a configuração necessária para disponibilizá-la para as políticas da organização. Para configurar uma restrição personalizada, use o comando gcloud org-policies set-custom-constraint:

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

Substitua CONSTRAINT_PATH pelo caminho completo do arquivo de restrição personalizada. Por exemplo, /home/user/customconstraint.yaml.

Após a conclusão, as restrições personalizadas vão estar disponíveis como políticas da organização na lista de políticas da organização do Google Cloud .

3. Para verificar se a restrição personalizada existe, use o comando gcloud org-policies list-custom-constraints:

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

Substitua ORGANIZATION_ID pelo ID do recurso da organização.

Para mais informações, consulte Como visualizar políticas da organização.

Aplicar uma restrição personalizada

Para aplicar uma restrição, crie uma política da organização que faça referência a ela e aplique essa política a um recurso do Google Cloud .

Console

1. No console do Google Cloud , acesse a página Políticas da organização.

   Acessar a página Políticas da organização

2. No seletor de projetos, selecione o projeto em que você quer definir a política da organização.
3. Na lista da página Políticas da organização, selecione uma restrição para acessar a página Detalhes da política associada.
4. Para configurar a política da organização nesse recurso, clique em Gerenciar política.
5. Na página Editar política, selecione Substituir a política do recurso pai.
6. Clique em Adicionar uma regra.
7. Na seção Aplicação, selecione se essa política da organização é aplicada ou não.
8. Opcional: para tornar a política da organização condicional em uma tag, clique em Adicionar condição. Se você adicionar uma regra condicional a uma política da organização, inclua pelo menos uma regra não condicional para que a política seja salva. Para mais informações, consulte Definir o escopo das políticas da organização com tags.
9. Clique em Testar mudanças para simular o efeito da política da organização. Para mais informações, consulte Testar mudanças na política da organização com o Simulador de política.
10. Para aplicar a política da organização no modo de teste, clique em Definir política de simulação. Para mais informações, consulte Testar políticas da organização.
11. Depois de verificar se a política da organização no modo de simulação funciona como esperado, clique em Definir política para definir a política ativa.

gcloud

1. Para criar uma política da organização com regras booleanas, crie um arquivo YAML para a política que faça referência à restrição:

name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
spec:
  rules:
  - enforce: true

dryRunSpec:
  rules:
  - enforce: true

Substitua:

• PROJECT_ID: o projeto em que você quer aplicar a restrição.
• CONSTRAINT_NAME: o nome definido para a restrição personalizada. Por exemplo, custom.createFirewallPolicy.
2. Para aplicar a política da organização no modo de teste, execute o seguinte comando com a flag dryRunSpec:

gcloud org-policies set-policy POLICY_PATH --update-mask=dryRunSpec

Substitua POLICY_PATH pelo caminho completo para o arquivo YAML da política da organização. A política leva até 15 minutos para entrar em vigor.

3. Depois de verificar se a política da organização no modo de simulação funciona conforme o esperado, defina a política ativa com o comando org-policies set-policy e a flag spec:

gcloud org-policies set-policy POLICY_PATH --update-mask=spec

Substitua POLICY_PATH pelo caminho completo para o arquivo YAML da política da organização. A política leva até 15 minutos para entrar em vigor.

Exemplo: crie uma restrição que aplique todas as regras de firewall para que a geração de registros esteja ativada

A restrição descrita nesta seção impede a criação de regras de política de firewall sem o registro ativado. As regras da política de firewall com a ação goto_next foram excluídas porque não são compatíveis com a geração de registros.

gcloud

1. Crie um arquivo de restrição enforceLoggingEnabled.yaml com as seguintes informações.

   name: organizations/ORGANIZATION_ID/customConstraints/custom.enforceLoggingEnabled
   resource_types: compute.googleapis.com/FirewallPolicy
   condition: "resource.rules.exists(rule, rule.action != 'goto_next' && rule.enableLogging == false)"
   action_type: DENY
   method_types: [CREATE, UPDATE]
   display_name: Enforce that all rules have logging enabled
   description: Firewall policy rules with action other than goto_next can only be created when firewall rules logging is enabled.

   SubstituaORGANIZATION_ID pelo ID da organização.

2. Defina a restrição personalizada.

   gcloud org-policies set-custom-constraint enforceLoggingEnabled.yaml
   

3. Crie um arquivo de política enforceLoggingEnabled-policy.yaml com a fornecida no exemplo a seguir e aplicar essa restrição no nível do projeto. Também é possível definir isso na organização ou na pasta nível

   name: projects/PROJECT_ID/policies/custom.enforceLoggingEnabled
   spec:
    rules:
    – enforce: true

   Substitua PROJECT_ID pela ID do seu projeto.

4. Aplique a política.

   gcloud org-policies set-policy enforceLoggingEnabled-policy.yaml
   

5. Para testar a restrição, crie uma regra de política de firewall que permita tráfego TCP de entrada na porta 22 com a geração de registros desativada.

   Use o comando a seguir para criar uma política de firewall:

    gcloud compute network-firewall-policies create test-fw-policy --global
   

   Em seguida, crie uma regra na política que permita o tráfego TCP de entrada:

    gcloud compute network-firewall-policies rules create 1000 \
        --action ALLOW \
        --direction INGRESS \
        --firewall-policy test-fw-policy \
        --src-ip-ranges 0.0.0.0/0 \
        --layer4-configs tcp:22 \
        --no-enable-logging \
        --global-firewall-policy
   

   O resultado será o seguinte:

   ERROR: (gcloud.compute.network-firewall-policies.create) Could not fetch resource:
   - Operation denied by custom org policy: [customConstraints/custom.enforceLoggingEnabled] :Firewall policy rules with action other than goto_next can only be created when firewall rules logging is enabled.

6. Exclua a política de firewall criada na etapa anterior.

    gcloud compute network-firewall-policies delete test-fw-policy --global
   

Exemplo: criar uma restrição que aplique todas as regras de firewall SSH de entrada a um intervalo de origem específico

A restrição descrita nesta seção garante que as regras de política de firewall que permitem o tráfego SSH de entrada precisam ter intervalos de IP de origem que começam com o bloco 192.168..

gcloud

1. Crie um arquivo de restrição restrictFirewallPolicyRulesSshRanges.yaml com as seguintes informações.

   name: organizations/$ORGANIZATION_ID/customConstraints/custom.restrictFirewallPolicyRulesSshRanges
   resource_types: compute.googleapis.com/FirewallPolicy
   condition: "resource.rules.exists(rule,
   rule.priority < 2147483644 &&
   (rule.direction == 'INGRESS') &&
   !rule.match.srcIpRanges.all(ipRange, ipRange.startsWith('192.168.')) &&
   rule.match.layer4Configs.all(l4config, l4config.ipProtocol == 'tcp' && l4config.ports.all(port, port == '22'))
   )"
   action_type: DENY
   method_types: [CREATE, UPDATE]
   display_name: Limit firewall policy rules that allow ingress SSH traffic
   description: Firewall Policy rules that allow ingress SSH traffic can only be created with allowed source ranges.

   SubstituaORGANIZATION_ID pelo ID da organização.

2. Defina a restrição personalizada.

   gcloud org-policies set-custom-constraint restrictFirewallPolicyRulesSshRanges.yaml
   

3. Crie um arquivo de política restrictFirewallPolicyRulesSshRanges-policy.yaml com as informações fornecidas no exemplo abaixo e aplique a restrição no nível do projeto. Também é possível definir essa restrição no nível da organização ou da pasta.

   name: projects/PROJECT_ID/policies/custom.restrictFirewallPolicyRulesSshRanges
   spec:
   rules:
   – enforce: true

   Substitua PROJECT_ID pela ID do seu projeto.

4. Aplique a política.

   gcloud org-policies set-policy restrictFirewallPolicyRulesSshRanges-policy.yaml
   

5. Para testar a restrição, crie uma regra de política de firewall que permita Tráfego TCP de entrada SSH na porta 22 com o intervalo de IP de origem 10.0.0.0/0.

   Use o comando a seguir para criar uma política de firewall:

   gcloud compute network-firewall-policies create test-fw-policy --global
   

   Em seguida, crie uma regra na política que permita o tráfego de entrada SSH:

   gcloud compute network-firewall-policies rules create 1000 \
       --action ALLOW \
       --direction INGRESS \
       --firewall-policy test-fw-policy \
       --src-ip-ranges 10.0.0.0/8 \
       --layer4-configs tcp:22 \
       --global-firewall-policy
   

   O resultado será o seguinte:

   ERROR: (gcloud.compute.network-firewall-policies.create) Could not fetch resource:
   - Operation denied by custom org policy: [customConstraints/custom.restrictFirewallPolicyRulesSshRanges]: Firewall Policy rules that allow ingress SSH traffic can only be created with allowed source ranges.

6. Exclua a política de firewall criada na etapa anterior.

   gcloud compute network-firewall-policies delete test-fw-policy --global
   

Exemplo: criar uma restrição que aplique todas as regras de firewall SSH de entrada a grupos de endereços específicos

A restrição descrita nesta seção exige regras de política de firewall que permitam que o tráfego SSH de entrada use apenas os grupos de endereços especificados no escopo da organização. Para mais informações sobre grupos de endereços, consulte Grupos de endereços para políticas de firewall.

gcloud

1. Crie um arquivo de restrição restrictFirewallPolicyRulesSshAddressGroups.yaml com as seguintes informações.

   name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictFirewallPolicyRulesSshAddressGroups
   resource_types: compute.googleapis.com/FirewallPolicy
   condition: "!resource.rules.all(rule, rule.priority >= 2147483644 || rule.match.srcAddressGroups.exists(group, ['ADDRESS_GROUP_1','ADDRESS_GROUP_2', ... , 'ADDRESS_GROUP_N'].exists(value, value == group) ) )"
   action_type: DENY
   method_types: [CREATE, UPDATE]
   display_name: Limit firewall policy rules that allow ingress SSH traffic
   description: Firewall policy rules that allow ingress SSH traffic can only be created with allowed address groups.

   Substitua ORGANIZATION_ID pelo ID da organização.

   Substitua '<code><var>ADDRESS_GROUP_1</var></code>', '<code><var>ADDRESS_GROUP_2</var></code>', ... , '<code><var>ADDRESS_GROUP_N</var></code>' por identificadores exclusivos de URL dos grupos de endereços que você quer permitir. Por exemplo, 'organizations/my-org/locations/europe-west1/addressGroups/my-address-group'.

2. Defina a restrição personalizada.

   gcloud org-policies set-custom-constraint restrictFirewallPolicyRulesSshAddressGroups.yaml
   

3. Crie um arquivo de política restrictFirewallPolicyRulesSshAddressGroups-policy.yaml usando o exemplo a seguir. Em seguida, aplique a restrição no nível do projeto. Também é possível definir essa restrição no nível da organização ou da pasta.

   name: projects/PROJECT_ID/policies/custom.restrictFirewallPolicyRulesSshAddressGroups
   spec:
   rules:
   – enforce: true

   Substitua PROJECT_ID pela ID do seu projeto.

4. Aplique a política.

   gcloud org-policies set-policy restrictFirewallPolicyRulesSshAddressGroups-policy.yaml
   

5. Para testar a restrição, crie uma regra de política de firewall que permita Tráfego TCP de entrada SSH na porta 22 com o grupo de endereços de origem test-address-group.

   Use o comando a seguir para criar uma política de firewall:

   gcloud compute network-firewall-policies create test-fw-policy --global
   

   Em seguida, crie uma regra na política que permita o tráfego de entrada SSH:

   gcloud compute network-firewall-policies rules create 1000 \
       --action ALLOW \
       --direction INGRESS \
       --firewall-policy test-fw-policy \
       --src-address-groups organizations/my-org/locations/europe-west1/addressGroups/test-address-group \
       --layer4-configs tcp:22 \
       --global-firewall-policy
   

   O resultado será o seguinte:

   ERROR: (gcloud.compute.network-firewall-policies.create) Could not fetch resource:
   - Operation denied by custom org policy: [customConstraints/custom.restrictFirewallPolicyRulesSshAddressGroups]: Firewall policy rules that allow ingress SSH traffic can only be created with allowed address groups.

6. Exclua a política de firewall criada na etapa anterior.

   gcloud compute network-firewall-policies delete test-fw-policy --global
   

Da mesma forma, é possível aplicar todas as regras de firewall SSH de entrada para usar apenas grupos de endereços específicos com escopo de projeto.

A seguir

• Introdução ao Organization Policy Service.
• Criar e gerenciar políticas da organização
• Restrições das políticas da organização