ファイアウォール エンドポイントを管理する

このページでは、ファイアウォール エンドポイントを管理し、 コンソールと Google Cloud CLI を使用して Google Cloud Virtual Private Cloud（VPC）ネットワークに関連付ける方法について説明します。詳細については、 ファイアウォール エンドポイントの概要をご覧ください。

ファイアウォール エンドポイントの作成方法については、 ファイアウォール エンドポイントを作成するをご覧ください。

このページに記載されているオペレーションの進行状況を確認するには、 ユーザー ロールに次の Compute ネットワーク ユーザー （roles/compute.networkUser）の権限が付与されていることを確認してください。

• networksecurity.operations.get
• networksecurity.operations.list

始める前に

• VPC ネットワーク と サブネットが必要です。

• プロジェクトで Compute Engine API を 有効にする必要があります。 Google Cloud

• 課金に使用するプロジェクトで Network Security API を 有効 にする必要があります。 Google Cloud

• プロジェクトで Certificate Authority Service API を有効にする必要があります。 Google Cloud

• このガイドの gcloud コマンドラインのサンプルを実行する場合は、gcloud CLI をインストールします。

ロール

ファイアウォール エンドポイントの作成、表示、更新、削除を行うために必要な権限を取得するには、組織またはプロジェクトに必要な IAM ロールの付与を管理者に依頼してください。ロールの付与の詳細については、 アクセス権の管理をご覧ください。

割り当て

ファイアウォール エンドポイントと関連付けの割り当てについては、割り当てと上限をご覧ください。

ファイアウォール エンドポイントを表示する

特定のファイアウォール エンドポイントの詳細を表示できます。

組織レベルのエンドポイント

組織レベルのファイアウォール エンドポイントの詳細を表示するには、 Google Cloud コンソールまたは gcloud CLI を使用します。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.firewallEndpoints.get

ロール

• Compute ネットワーク管理者（roles/compute.networkAdmin）
• Compute ネットワーク ユーザー（roles/compute.networkUser）
• Compute ネットワーク閲覧者（roles/compute.networkViewer）
• 組織レベルで付与されたファイアウォール エンドポイント管理者（roles/networksecurity.firewallEndpointAdmin）

コンソール

1. コンソールで、[**ファイアウォール エンドポイント**] ページに移動します。 Google Cloud

   [ファイアウォール エンドポイント] に移動

2. プロジェクト セレクタのメニューで、エンドポイントが有効になっている組織を選択します。

   [ファイアウォール エンドポイント] ページに、組織で構成されているすべてのファイアウォール エンドポイントが一覧表示されます。

3. ファイアウォール エンドポイントの名前をクリックして、詳細を表示します。

gcloud

ファイアウォール エンドポイントの詳細を表示するには、gcloud network-security firewall-endpoints describe commandを使用します。

gcloud network-security firewall-endpoints \
    describe NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE

次のように置き換えます。

• NAME: ファイアウォール エンドポイントの名前。

• ORGANIZATION_ID: エンドポイントが有効になっている組織。

• ZONE: エンドポイントがアクティブになっているゾーン。

プロジェクト レベルのエンドポイント

プレビュー

この機能は、サービス固有規約の「一般サービス規約」セクションの「一般提供前のサービス規約」の対象となります。pre-GA の機能は「現状のまま」で提供されるものであり、サポートが制限されることがあります。 詳細については、 リリース ステージの説明をご覧ください。

プロジェクト レベルのファイアウォール エンドポイントの詳細を表示するには、gcloud CLI を使用します。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.firewallEndpoints.get

ロール

• Compute ネットワーク管理者（roles/compute.networkAdmin）
• Compute ネットワーク ユーザー（roles/compute.networkUser）
• Compute ネットワーク閲覧者（roles/compute.networkViewer）
• プロジェクト レベルまたは組織レベルで付与されたファイアウォール エンドポイント管理者（roles/networksecurity.firewallEndpointAdmin）

gcloud

ファイアウォール エンドポイントの詳細を表示するには、gcloud beta network-security firewall-endpoints describe コマンドを使用します。

gcloud beta network-security firewall-endpoints \
    describe NAME \
    --project PROJECT_ID \
    --zone ZONE

次のように置き換えます。

• NAME: ファイアウォール エンドポイントの名前。

• PROJECT_ID: エンドポイントが有効になっているプロジェクト。

• ZONE: エンドポイントがアクティブになっているゾーン。

ファイアウォール エンドポイントを一覧表示する

組織またはプロジェクト内のすべてのファイアウォール エンドポイントを一覧表示できます。

組織レベルのエンドポイント

組織レベルのすべてのファイアウォール エンドポイントを一覧表示するには、 Google Cloud コンソールまたは gcloud CLI を使用します。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.firewallEndpoints.list

ロール

• Compute ネットワーク管理者（roles/compute.networkAdmin）
• Compute ネットワーク ユーザー（roles/compute.networkUser）
• Compute ネットワーク閲覧者（roles/compute.networkViewer）
• 組織レベルで付与されたファイアウォール エンドポイント管理者（roles/networksecurity.firewallEndpointAdmin）

コンソール

1. コンソールで、[**ファイアウォール エンドポイント**] ページに移動します。 Google Cloud

   [ファイアウォール エンドポイント] に移動

2. プロジェクト セレクタのメニューで、エンドポイントが有効になっている組織を選択します。

3. [ファイアウォール エンドポイント] ページに、構成されているすべてのファイアウォール エンドポイントが一覧表示されます。

gcloud

すべてのファイアウォール エンドポイントを一覧表示するには、gcloud network-security firewall-endpoints list commandを使用します。

gcloud network-security firewall-endpoints list \
    --organization ORGANIZATION_ID \
    --zone ZONE \
    --billing-project BILLING_PROJECT_ID

次のように置き換えます。

• ORGANIZATION_ID: エンドポイントが有効になっている組織。

• ZONE: エンドポイントがアクティブになっているゾーン。すべてのゾーンのエンドポイントを一覧表示するには、- を使用します。

• BILLING_PROJECT_ID: オペレーションの割り当てが課金対象となるプロジェクト ID（省略可）。Google Cloud これは、組織レベルのファイアウォール エンドポイントにのみ必要です。

プロジェクト レベルのエンドポイント

プレビュー

この機能は、サービス固有規約の「一般サービス規約」セクションの「一般提供前のサービス規約」の対象となります。pre-GA の機能は「現状のまま」で提供されるものであり、サポートが制限されることがあります。 詳細については、 リリース ステージの説明をご覧ください。

プロジェクト レベルのすべてのファイアウォール エンドポイントを一覧表示するには、gcloud CLI を使用します。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.firewallEndpoints.list

ロール

• Compute ネットワーク管理者（roles/compute.networkAdmin）
• Compute ネットワーク ユーザー（roles/compute.networkUser）
• Compute ネットワーク閲覧者（roles/compute.networkViewer）
• プロジェクト レベルまたは組織レベルで付与されたファイアウォール エンドポイント管理者（roles/networksecurity.firewallEndpointAdmin）

gcloud

すべてのファイアウォール エンドポイントを一覧表示するには、gcloud beta network-security firewall-endpoints list commandを使用します。

gcloud beta network-security firewall-endpoints list \
    --project PROJECT_ID \
    --zone ZONE

次のように置き換えます。

• PROJECT_ID: エンドポイントが有効になっているプロジェクト。

• ZONE: エンドポイントがアクティブになっているゾーン。すべてのゾーンのエンドポイントを一覧表示するには、- を使用します。

ファイアウォール エンドポイントを更新する

ファイアウォール エンドポイントのラベルを管理したり、説明を更新したりできます。

組織レベルのエンドポイント

組織レベルのファイアウォール エンドポイントを更新するには、 Google Cloud コンソールまたは gcloud CLI を使用します。組織内のファイアウォール エンドポイントの課金プロジェクトを更新することもできます。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.firewallEndpoints.get

ロール

• Compute ネットワーク管理者（roles/compute.networkAdmin）
• Compute ネットワーク ユーザー（roles/compute.networkUser）
• Compute ネットワーク閲覧者（roles/compute.networkViewer）
• 組織レベルで付与されたファイアウォール エンドポイント管理者（roles/networksecurity.firewallEndpointAdmin）

コンソール

1. コンソールで、[**ファイアウォール エンドポイント**] ページに移動します。 Google Cloud

   [ファイアウォール エンドポイント] に移動

2. プロジェクト セレクタのメニューで、エンドポイントが有効になっている組織を選択します。

   [ファイアウォール エンドポイント] ページに、構成されているすべてのファイアウォール エンドポイントが一覧表示されます。

3. ファイアウォール エンドポイントの名前をクリックして、詳細を表示します。

4. [編集] をクリックします。

5. [**課金プロジェクト**] リストで、ファイアウォール エンドポイントの課金に使用する Google Cloud プロジェクトを選択します。

6. [保存] をクリックします。

gcloud

ファイアウォール エンドポイントを更新するには、gcloud network-security firewall-endpoints update commandを使用します。

gcloud network-security firewall-endpoints \
    update NAME \
    --organization ORGANIZATION_ID \
    --zone ZONE \
    --billing-project BILLING_PROJECT_ID

次のように置き換えます。

• NAME: ファイアウォール エンドポイントの名前。

• ORGANIZATION_ID: エンドポイントが有効になっている組織。

• ZONE: エンドポイントがアクティブになっているゾーン。

• BILLING_PROJECT_ID: 課金用にこのファイアウォール エンドポイントに関連付ける Google Cloud プロジェクト ID 。これは、組織レベルのファイアウォール エンドポイントにのみ必要です。

注: 既存のエンドポイントを再構成して、ジャンボ フレームのサポートを追加または削除することはできません。ジャンボ フレームのサポートを追加または削除するには、エンドポイントを削除して再作成します。詳細については、ファイアウォール エンドポイントを削除する とファイアウォール エンドポイントを作成するをご覧ください。

ファイアウォール エンドポイントでサポートされているパケットサイズについては、 サポートされているパケットサイズをご覧ください。

プロジェクト レベルのエンドポイント

プレビュー

この機能は、サービス固有規約の「一般サービス規約」セクションの「一般提供前のサービス規約」の対象となります。pre-GA の機能は「現状のまま」で提供されるものであり、サポートが制限されることがあります。 詳細については、 リリース ステージの説明をご覧ください。

プロジェクト レベルのファイアウォール エンドポイントを更新するには、gcloud CLI を使用します。ファイアウォール エンドポイントのラベルを管理したり、説明を更新したりできます。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.firewallEndpoints.get

ロール

• Compute ネットワーク管理者（roles/compute.networkAdmin）
• Compute ネットワーク ユーザー（roles/compute.networkUser）
• Compute ネットワーク閲覧者（roles/compute.networkViewer）
• プロジェクト レベルまたは組織レベルで付与されたファイアウォール エンドポイント管理者（roles/networksecurity.firewallEndpointAdmin）

gcloud

ファイアウォール エンドポイントを更新するには、gcloud beta network-security firewall-endpoints update コマンドを使用します。

gcloud beta network-security firewall-endpoints \
    update NAME \
    --project PROJECT_ID \
    --zone ZONE

次のように置き換えます。

• NAME: ファイアウォール エンドポイントの名前。

• PROJECT_ID: エンドポイントが有効になっているプロジェクト。

• ZONE: エンドポイントがアクティブになっているゾーン。

注: 既存のエンドポイントを再構成して、ジャンボ フレームのサポートを追加または削除することはできません。ジャンボ フレームのサポートを追加または削除するには、エンドポイントを削除して再作成します。詳細については、ファイアウォール エンドポイントを削除する とファイアウォール エンドポイントを作成するをご覧ください。

ファイアウォール エンドポイントでサポートされているパケットサイズについては、 サポートされているパケットサイズをご覧ください。

ファイアウォール エンドポイントを削除する

名前、ゾーン、組織またはプロジェクトを指定して、ファイアウォール エンドポイントを削除できます。

**注:** ファイアウォール エンドポイントは、どの VPC ネットワークにも関連付けられていない場合にのみ削除できます。

組織レベルのエンドポイント

組織レベルのファイアウォール エンドポイントを削除するには、 Google Cloud コンソールまたは gcloud CLI を使用します。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.firewallEndpoints.delete

ロール

• Compute ネットワーク管理者（roles/compute.networkAdmin）
• 組織レベルで付与されたファイアウォール エンドポイント管理者（roles/networksecurity.firewallEndpointAdmin）

コンソール

1. コンソールで、[**ファイアウォール エンドポイント**] ページに移動します。 Google Cloud

   [ファイアウォール エンドポイント] に移動

2. プロジェクト セレクタのメニューで、エンドポイントが有効になっている組織を選択します。

3. ファイアウォール エンドポイントを選択し、[削除] をクリックします。

4. もう一度 [削除] をクリックして確定します。

gcloud

ファイアウォール エンドポイントを削除するには、gcloud network-security firewall-endpoints delete コマンドを使用します。

gcloud network-security firewall-endpoints delete NAME
    --organization ORGANIZATION_ID \
    --zone ZONE

次のように置き換えます。

• NAME: ファイアウォール エンドポイントの名前。

• ORGANIZATION_ID: エンドポイントが有効になっている組織。

• ZONE: エンドポイントがアクティブになっているゾーン。

プロジェクト レベルのエンドポイント

プレビュー

この機能は、サービス固有規約の「一般サービス規約」セクションの「一般提供前のサービス規約」の対象となります。pre-GA の機能は「現状のまま」で提供されるものであり、サポートが制限されることがあります。 詳細については、 リリース ステージの説明をご覧ください。

プロジェクト レベルのファイアウォール エンドポイントを削除するには、gcloud CLI を使用します。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.firewallEndpoints.delete

ロール

• Compute ネットワーク管理者（roles/compute.networkAdmin）
• プロジェクト レベルまたは組織レベルで付与されたファイアウォール エンドポイント管理者（roles/networksecurity.firewallEndpointAdmin）

gcloud

ファイアウォール エンドポイントを削除するには、gcloud network-security firewall-endpoints delete コマンドを使用します。

gcloud beta network-security firewall-endpoints delete NAME
    --project PROJECT_ID \
    --zone ZONE

次のように置き換えます。

• NAME: ファイアウォール エンドポイントの名前。

• PROJECT_ID: エンドポイントが有効になっているプロジェクト。

• ZONE: エンドポイントがアクティブになっているゾーン。

次のステップ

• ファイアウォール エンドポイントの関連付けを管理する
• 階層型ファイアウォール ポリシーとルールを使用する
• グローバル ネットワークのファイアウォール ポリシーとルールを使用する