管理安全性設定檔群組

安全性設定檔群組可讓您在部署項目中套用及控管網路安全政策。每個安全性設定檔群組最多可包含下列各類型的安全性設定檔：

  • THREAT_PREVENTION
  • URL_FILTERING

將威脅防範和網址篩選設定檔分組後，您就能透過單一防火牆政策規則，對網路流量強制執行多項安全檢查，確保政策執行一致性並簡化管理作業。這份文件可協助網路管理員和安全工程師，設定及管理機構層級和專案層級的安全設定檔群組。

開始之前，請先查看「安全性設定檔群組總覽」中的概念。

事前準備

角色

如要取得查看、更新或刪除安全設定檔群組的權限，請要求管理員在您的機構或專案中，授予您必要的身分與存取權管理 (IAM) 角色。如要進一步瞭解如何授予角色，請參閱「管理存取權」。

如要查看本頁列出的作業進度，請確認您的使用者角色具備下列 Compute 網路使用者 (roles/compute.networkUser) 權限：

  • networksecurity.operations.get
  • networksecurity.operations.list

列出並查看安全性設定檔群組的詳細資料

如要列出所有安全性設定檔群組，請使用 Google Cloud 控制台或 gcloud CLI。

您可以查看安全性設定檔群組的下列重要詳細資料：

  • 說明
  • 類型
  • 名稱
  • 範圍 (機構層級或專案層級)

控制台

  1. 前往 Google Cloud 控制台的「Security profiles」(安全性設定檔) 頁面。

    前往「安全性設定檔」

  2. 在專案挑選器中，選取機構或專案。

  3. 選取「安全性設定檔群組」分頁標籤。這個分頁會顯示已設定的安全性設定檔群組清單。

  4. 選取安全性設定檔群組，即可查看詳細資料。

gcloud

如要列出安全性設定檔群組，請使用 gcloud network-security security-profile-groups list 指令：

gcloud network-security security-profile-groups list \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --location global

如要查看安全性設定檔群組的詳細資料，請使用 gcloud network-security security-profile-groups describe 指令：

gcloud network-security security-profile-groups describe NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --location global

更改下列內容：

  • NAME：安全性設定檔群組的名稱。

    如果名稱不是採用專屬網址 ID 格式，則必須指定機構或專案名稱和位置。

  • ORGANIZATION_ID：安全設定檔群組所在的機構 ID。這個標記適用於機構層級的安全性設定檔群組。

  • PROJECT_ID：安全設定檔群組所在的專案 ID。針對專案層級的安全性設定檔群組使用這個旗標。

  • QUOTA_PROJECT_ID：配額專案 ID。這個標記僅適用於機構層級的安全性設定檔群組。

更新安全性設定檔群組

如要更新安全性設定檔群組，請使用 Google Cloud 控制台或 gcloud CLI。

您可以更新安全性設定檔群組的下列重要詳細資料：

  • 帳單專案 (僅適用於機構層級的安全性設定檔群組)
  • 變更或移除安全性設定檔
  • 標籤
  • 說明

你無法變更下列任何詳細資料：

  • 安全性設定檔群組名稱
  • 安全性設定檔群組區域
  • 安全性設定檔群組的機構或專案

如要變更這些詳細資料，請刪除安全性設定檔群組並建立新的群組。

控制台

  1. 前往 Google Cloud 控制台的「Security profiles」(安全性設定檔) 頁面。

    前往「安全性設定檔」

  2. 在專案挑選器中，選取機構或專案。

  3. 選取「安全性設定檔群組」分頁標籤。這個分頁會顯示已設定的安全性設定檔群組清單。

  4. 選取安全性設定檔群組，然後按一下「編輯」。

  5. 更新必填欄位，然後按一下「儲存」。

gcloud

如要更新安全性設定檔群組，請使用 gcloud network-security security-profile-groups update 指令：

gcloud network-security security-profile-groups update NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    --clear-threat-prevention-profile | --threat-prevention-profile THREAT_SECURITY_PROFILE_URL \
    --clear-url-filtering-profile | --url-filtering-profile URL_SECURITY_PROFILE_URL \
    [--billing-project QUOTA_PROJECT_ID] \
    --description DESCRIPTION \
    --location global

更改下列內容：

  • NAME：安全性設定檔群組的名稱。

    如果名稱不是採用專屬網址 ID 格式，則必須指定機構或專案名稱和位置。

  • ORGANIZATION_ID：組織 ID。這個標記適用於機構層級的安全性設定檔群組。

  • PROJECT_ID：專案 ID。針對專案層級的安全性設定檔群組使用這個旗標。

  • THREAT_SECURITY_PROFILE_URL：THREAT_PREVENTION 類型安全設定檔的專屬網址 ID。

    如要移除威脅防護安全性設定檔，請使用 --clear-threat-prevention-profile 旗標。如要變更威脅防護安全設定檔，請使用 --threat-prevention-profile 旗標。

  • URL_SECURITY_PROFILE_URL：URL_FILTERING 類型安全設定檔的專屬網址 ID。

    如要移除網址篩選安全性設定檔，請使用 --clear-url-filtering-profile 旗標。如要變更網址篩選安全性設定檔，請使用 --url-filtering-profile 標記。

  • QUOTA_PROJECT_ID：配額專案 ID。 這個標記僅適用於機構層級的安全性設定檔群組。

  • DESCRIPTION：安全性設定檔群組的選用說明。

刪除安全性設定檔群組

如果防火牆政策規則參照安全性設定檔群組，您就無法刪除該群組。

如要刪除安全性設定檔群組，請使用 Google Cloud 控制台或 gcloud CLI。

控制台

  1. 前往 Google Cloud 控制台的「Security profiles」(安全性設定檔) 頁面。

    前往「安全性設定檔」

  2. 在專案選取器選單中，選取您的機構或專案。

  3. 選取「安全性設定檔群組」分頁標籤。這個分頁會顯示已設定的安全性設定檔群組清單。

  4. 選取安全性設定檔群組，然後按一下「刪除」。

  5. 再按一下 [刪除] 加以確認。

gcloud

如要刪除安全性設定檔群組，請使用 gcloud network-security security-profile-groups delete 指令：

gcloud network-security security-profile-groups delete NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --location global

更改下列內容：

  • NAME：安全性設定檔群組的名稱。

    如果名稱不是採用專屬網址 ID 格式，則必須指定機構或專案名稱和位置。

  • ORGANIZATION_ID：組織 ID。這個標記適用於機構層級的安全性設定檔群組。

  • PROJECT_ID：專案 ID。這個標記適用於專案層級的安全設定檔群組。

  • QUOTA_PROJECT_ID：配額專案 ID。這個標記僅適用於機構層級的安全性設定檔群組。

後續步驟