セキュリティ プロファイル グループを管理する

セキュリティ プロファイル グループを使用すると、デプロイ全体でネットワーク セキュリティ ポリシーを適用して制御できます。各セキュリティ プロファイル グループには、次のタイプのセキュリティ プロファイルをそれぞれ 1 つずつ含めることができます。

脅威防止プロファイルと URL フィルタリング プロファイルをグループ化すると、単一のファイアウォール ポリシールールを介してネットワーク トラフィックに複数のセキュリティ チェックを適用できるため、ポリシーの適用の一貫性を確保し、管理を簡素化できます。このドキュメントは、ネットワーク管理者とセキュリティ エンジニアが組織レベルとプロジェクト レベルのセキュリティ プロファイル グループを構成して管理するのに役立ちます。

始める前に、セキュリティ プロファイル グループの概要のコンセプトを確認してください。

始める前に

ロール

セキュリティ プロファイル グループの表示、更新、削除に必要な権限を取得するには、組織またはプロジェクトに必要な Identity and Access Management（IAM）ロールを付与するよう管理者に依頼してください。ロールの付与の詳細については、アクセス権の管理をご覧ください。

セキュリティ プロファイル グループの一覧表示と詳細の表示

すべてのセキュリティ プロファイル グループを一覧表示するには、 Google Cloud コンソールまたは gcloud CLI を使用します。

セキュリティ プロファイル グループの次の主な詳細を表示できます。

  • 説明
  • 型
  • 名前は
  • スコープ（組織レベルまたはプロジェクト レベル）

コンソール

  1. Google Cloud コンソールで、[セキュリティ プロファイル] ページに移動します。

    [セキュリティ プロファイル] に移動

  2. プロジェクト選択ツールから、組織またはプロジェクトを選択します。

  3. [セキュリティ プロファイル グループ] タブを選択します。このタブには、構成済みのセキュリティ プロファイル グループのリストが表示されます。

  4. セキュリティ プロファイル グループを選択して、詳細を表示します。

gcloud

セキュリティ プロファイル グループを一覧表示するには、gcloud network-security security-profile-groups list コマンドを使用します。

gcloud network-security security-profile-groups list \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --location global

セキュリティ プロファイル グループの詳細を表示するには、gcloud network-security security-profile-groups describe コマンドを使用します。

gcloud network-security security-profile-groups describe NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --location global

次のように置き換えます。

  • NAME: セキュリティ プロファイル グループの名前。

    名前に一意の URL 識別子形式を使用しない場合は、組織またはプロジェクトの名前とロケーションを指定する必要があります。

  • ORGANIZATION_ID: セキュリティ プロファイル グループが存在する組織 ID。このフラグは、組織レベルのセキュリティ プロファイル グループに使用します。

  • PROJECT_ID: セキュリティ プロファイル グループが存在するプロジェクト ID。このフラグは、プロジェクト レベルのセキュリティ プロファイル グループに使用します。

  • QUOTA_PROJECT_ID: 割り当てプロジェクト ID。このフラグは、組織レベルのセキュリティ プロファイル グループにのみ使用します。

セキュリティ プロファイル グループを更新する

セキュリティ プロファイル グループを更新するには、 Google Cloud コンソールまたは gcloud CLI を使用します。

セキュリティ プロファイル グループの次のキーの詳細を更新できます。

  • 請求プロジェクト（組織レベルのセキュリティ プロファイル グループでのみ使用可能）
  • セキュリティ プロファイルを変更または削除する
  • ラベル
  • 説明

次の詳細は変更できません。

  • セキュリティ プロファイル グループ名
  • セキュリティ プロファイル グループ ゾーン
  • セキュリティ プロファイル グループの組織またはプロジェクト

これらの詳細を変更するには、セキュリティ プロファイル グループを削除して新しいグループを作成します。

コンソール

  1. Google Cloud コンソールで、[セキュリティ プロファイル] ページに移動します。

    [セキュリティ プロファイル] に移動

  2. プロジェクト選択ツールから、組織またはプロジェクトを選択します。

  3. [セキュリティ プロファイル グループ] タブを選択します。このタブには、構成済みのセキュリティ プロファイル グループのリストが表示されます。

  4. セキュリティ プロファイル グループを選択して、[編集] をクリックします。

  5. 必須フィールドを更新して、[保存] をクリックします。

gcloud

セキュリティ プロファイル グループを更新するには、gcloud network-security security-profile-groups update コマンドを使用します。

gcloud network-security security-profile-groups update NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    --clear-threat-prevention-profile | --threat-prevention-profile THREAT_SECURITY_PROFILE_URL \
    --clear-url-filtering-profile | --url-filtering-profile URL_SECURITY_PROFILE_URL \
    [--billing-project QUOTA_PROJECT_ID] \
    --description DESCRIPTION \
    --location global

次のように置き換えます。

  • NAME: セキュリティ プロファイル グループの名前。

    名前に一意の URL 識別子形式を使用しない場合は、組織またはプロジェクトの名前とロケーションを指定する必要があります。

  • ORGANIZATION_ID: 組織 ID。このフラグは、組織レベルのセキュリティ プロファイル グループに使用します。

  • PROJECT_ID: プロジェクト ID。このフラグは、プロジェクト レベルのセキュリティ プロファイル グループに使用します。

  • THREAT_SECURITY_PROFILE_URL: THREAT_PREVENTION タイプのセキュリティ プロファイルの一意の URL 識別子。

    脅威防止セキュリティ プロファイルを削除するには、--clear-threat-prevention-profile フラグを使用します。脅威防止セキュリティ プロファイルを変更するには、--threat-prevention-profile フラグを使用します。

  • URL_SECURITY_PROFILE_URL: URL_FILTERING タイプのセキュリティ プロファイルの一意の URL 識別子。

    URL フィルタリング セキュリティ プロファイルを削除するには、--clear-url-filtering-profile フラグを使用します。URL フィルタリング セキュリティ プロファイルを変更するには、--url-filtering-profile フラグを使用します。

  • QUOTA_PROJECT_ID: 割り当てプロジェクト ID。このフラグは、組織レベルのセキュリティ プロファイル グループにのみ使用します。

  • DESCRIPTION: セキュリティ プロファイル グループの説明（省略可）。

WildFire 分析のセキュリティ プロファイル グループを更新するには、gcloud beta network-security security-profile-groups update コマンド（プレビュー）を使用します。

gcloud beta network-security security-profile-groups update NAME \
    --organization ORGANIZATION_ID \
    --location LOCATION \
    --clear-threat-prevention-profile | --threat-prevention-profile THREAT_SECURITY_PROFILE_URL \
    --clear-wildfire-analysis-profile | --wildfire-analysis-profile WILDFIRE_SECURITY_PROFILE_URL \
    --clear-url-filtering-profile | --url-filtering-profile URL_SECURITY_PROFILE_URL \
    --billing-project QUOTA_PROJECT_ID

WILDFIRE_SECURITY_PROFILE_URL は、WILDFIRE_ANALYSIS タイプのセキュリティ プロファイルの一意の URL 識別子に置き換えます。

次のフラグのうち、最大 1 つを指定します。

  • clear-wildfire-analysis-profile: 野火分析プロファイル フィールドをクリアします。
  • wildfire-analysis-profile: WILDFIRE_ANALYSIS タイプのセキュリティ プロファイルの一意の URL 識別子で、ワイルドファイア分析プロファイル フィールドを更新します。
  • clear-url-filtering-profile: [URL フィルタリング プロファイル] フィールドをクリアします。
  • url-filtering-profile: URL_FILTERING タイプのセキュリティ プロファイルの一意の URL 識別子で URL フィルタリング プロファイル フィールドを更新します。

セキュリティ プロファイル グループを削除する

ファイアウォール ポリシー ルールで参照されているセキュリティ プロファイル グループは削除できません。

セキュリティ プロファイル グループを削除するには、 Google Cloud コンソールまたは gcloud CLI を使用します。

コンソール

  1. Google Cloud コンソールで、[セキュリティ プロファイル] ページに移動します。

    [セキュリティ プロファイル] に移動

  2. プロジェクト セレクタのメニューで、組織またはプロジェクトを選択します。

  3. [セキュリティ プロファイル グループ] タブを選択します。このタブには、構成済みのセキュリティ プロファイル グループのリストが表示されます。

  4. セキュリティ プロファイル グループを選択し、[削除] をクリックします。

  5. もう一度 [削除] をクリックして確定します。

gcloud

セキュリティ プロファイル グループを削除するには、gcloud network-security security-profile-groups delete コマンドを使用します。

gcloud network-security security-profile-groups delete NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --location global

次のように置き換えます。

  • NAME: セキュリティ プロファイル グループの名前。

    名前に一意の URL 識別子形式を使用しない場合は、組織またはプロジェクトの名前とロケーションを指定する必要があります。

  • ORGANIZATION_ID: 組織 ID。組織レベルのセキュリティ プロファイル グループには、このフラグを使用します。

  • PROJECT_ID: プロジェクト ID。このフラグは、プロジェクト レベルのセキュリティ プロファイル グループに使用します。

  • QUOTA_PROJECT_ID: 割り当てプロジェクト ID。このフラグは、組織レベルのセキュリティ プロファイル グループにのみ使用します。

次のステップ