セキュリティ プロファイル グループを使用すると、デプロイ全体にネットワーク セキュリティ ポリシーを適用して制御できます。各セキュリティ プロファイル グループには、次の各タイプのセキュリティ プロファイルを 1 つずつ含めることができます。
THREAT_PREVENTIONURL_FILTERING
脅威防止プロファイルと URL フィルタリング プロファイルをグループ化することで、単一のファイアウォール ポリシー ルールを介してネットワーク トラフィックに複数のセキュリティ チェックを適用し、一貫したポリシー適用と管理の簡素化を実現できます。このドキュメントは、ネットワーク管理者とセキュリティ エンジニアが組織レベルとプロジェクト レベルのセキュリティ プロファイル グループを構成して管理する際に役立ちます。
始める前に、 セキュリティ プロファイル グループの概要のコンセプトを確認してください。
始める前に
- プロジェクトで Network Security API を有効にする必要があります。
このガイドの
gcloudコマンドラインのサンプルを実行する場合は、gcloud CLI をインストールします。
ロール
セキュリティ プロファイル グループを表示、更新、削除するために必要な権限を取得するには、組織またはプロジェクトに必要な Identity and Access Management（IAM）ロール の付与を管理者に依頼してください。ロールの付与の詳細については、 アクセス権の管理をご覧ください。
このページに記載されているオペレーションの進行状況を確認するには、
ユーザー ロールに次の
Compute ネットワーク ユーザー
（roles/compute.networkUser）の権限が付与されていることを確認してください。
networksecurity.operations.getnetworksecurity.operations.list
セキュリティ プロファイル グループの一覧表示と詳細の表示
すべてのセキュリティ プロファイル グループを一覧表示するには、 Google Cloud コンソールまたは gcloud CLI を使用します。
セキュリティ プロファイル グループの次の主な詳細を表示できます。
- 説明
- 種類
- 名前
- スコープ（組織レベルまたはプロジェクト レベル）
コンソール
コンソールで [**セキュリティ プロファイル**] ページに移動します。 Google Cloud
組織選択ツールから自分の組織またはプロジェクトを選択します。
[セキュリティ プロファイル グループ] タブを選択します。このタブには、構成済みのセキュリティ プロファイル グループのリストが表示されます。
セキュリティ プロファイル グループを選択して、詳細を表示します。
gcloud
セキュリティ プロファイル グループを一覧表示するには、gcloud network-security
security-profile-groups list
コマンドを使用します。
gcloud network-security security-profile-groups list \
--organization ORGANIZATION_ID | --project PROJECT_ID \
[--billing-project QUOTA_PROJECT_ID] \
--location global
セキュリティ プロファイル グループの詳細を表示するには、
gcloud network-security security-profile-groups describe コマンドを使用します。
gcloud network-security security-profile-groups describe NAME \
--organization ORGANIZATION_ID | --project PROJECT_ID \
[--billing-project QUOTA_PROJECT_ID] \
--location global
次のように置き換えます。
NAME: セキュリティ プロファイル グループの名前。名前に一意の URL 識別子 形式を使用しない場合は、 組織名またはプロジェクト名とロケーションを指定する必要があります。
ORGANIZATION_ID: セキュリティ プロファイル グループが存在する組織 ID。組織レベルのセキュリティ プロファイル グループには、このフラグを使用します。PROJECT_ID: セキュリティ プロファイル グループが存在するプロジェクト ID。プロジェクト レベルのセキュリティ プロファイル グループには、このフラグを使用します。QUOTA_PROJECT_ID: 割り当てプロジェクト ID。このフラグは、組織レベルのセキュリティ プロファイル グループにのみ使用します。
セキュリティ プロファイル グループを更新する
セキュリティ プロファイル グループを更新するには、 Google Cloud コンソールまたは gcloud CLI を使用します。
セキュリティ プロファイル グループの次の主な詳細を更新できます。
- 課金プロジェクト（組織レベルのセキュリティ プロファイル グループでのみ使用可能）
- セキュリティ プロファイルの変更または削除
- ラベル
- 説明
次の詳細は変更できません。
- セキュリティ プロファイル グループ名
- セキュリティ プロファイル グループ ゾーン
- セキュリティ プロファイル グループの組織またはプロジェクト
これらの詳細を変更するには、セキュリティ プロファイル グループを削除して新しいグループを作成します。
コンソール
コンソールで [**セキュリティ プロファイル**] ページに移動します。 Google Cloud
組織選択ツールから自分の組織またはプロジェクトを選択します。
[セキュリティ プロファイル グループ] タブを選択します。このタブには、構成済みのセキュリティ プロファイル グループのリストが表示されます。
セキュリティ プロファイル グループを選択して、[編集] をクリックします。
必須フィールドを更新して、[保存] をクリックします。
gcloud
セキュリティ プロファイル グループを更新するには、gcloud network-security security-profile-groups update コマンドを使用します。
gcloud network-security security-profile-groups update NAME \
--organization ORGANIZATION_ID | --project PROJECT_ID \
--clear-threat-prevention-profile | --threat-prevention-profile THREAT_SECURITY_PROFILE_URL \
--clear-url-filtering-profile | --url-filtering-profile URL_SECURITY_PROFILE_URL \
[--billing-project QUOTA_PROJECT_ID] \
--description DESCRIPTION \
--location global
次のように置き換えます。
NAME: セキュリティ プロファイル グループの名前。名前に一意の URL 識別子 形式を使用しない場合は、 組織名またはプロジェクト名とロケーションを指定する必要があります。
ORGANIZATION_ID: 組織 ID。組織レベルのセキュリティ プロファイル グループには、このフラグを使用します。PROJECT_ID: プロジェクト ID。プロジェクト レベルのセキュリティ プロファイル グループには、このフラグを使用します。THREAT_SECURITY_PROFILE_URL:THREAT_PREVENTIONタイプのセキュリティ プロファイルの一意の URL 識別子。脅威防止セキュリティ プロファイルを削除するには、
--clear-threat-prevention-profileフラグを使用します。脅威防止セキュリティ プロファイルを変更するには、--threat-prevention-profileフラグを使用します。URL_SECURITY_PROFILE_URL:URL_FILTERINGタイプのセキュリティ プロファイルの一意の URL 識別子。URL フィルタリング セキュリティ プロファイルを削除するには、
--clear-url-filtering-profileフラグを使用します。URL フィルタリング セキュリティ プロファイルを変更するには、--url-filtering-profileフラグを使用します。QUOTA_PROJECT_ID: 割り当てプロジェクト ID。 このフラグは、組織レベルのセキュリティ プロファイル グループにのみ使用します。DESCRIPTION: セキュリティ プロファイル グループの説明（省略可）。
セキュリティ プロファイル グループを削除する
ファイアウォール ポリシー ルールで参照されているセキュリティ プロファイル グループは削除できません。
セキュリティ プロファイル グループを削除するには、 Google Cloud コンソールまたは gcloud CLI を使用します。
コンソール
コンソールで [**セキュリティ プロファイル**] ページに移動します。 Google Cloud
プロジェクト セレクタのメニューで、組織またはプロジェクトを選択します。
[セキュリティ プロファイル グループ] タブを選択します。このタブには、構成済みのセキュリティ プロファイル グループのリストが表示されます。
セキュリティ プロファイル グループを選択し、[削除] をクリックします。
もう一度 [削除] をクリックして確定します。
gcloud
セキュリティ プロファイル グループを削除するには、gcloud network-security
security-profile-groups delete
コマンドを使用します。
gcloud network-security security-profile-groups delete NAME \
--organization ORGANIZATION_ID | --project PROJECT_ID \
[--billing-project QUOTA_PROJECT_ID] \
--location global
次のように置き換えます。
NAME: セキュリティ プロファイル グループの名前。名前に一意の URL 識別子 形式を使用しない場合は、 組織名またはプロジェクト名とロケーションを指定する必要があります。
ORGANIZATION_ID: 組織 ID。組織レベルのセキュリティ プロファイル グループには、このフラグを使用します。PROJECT_ID: プロジェクト ID。プロジェクト レベルのセキュリティ プロファイル グループには、このフラグを使用します。QUOTA_PROJECT_ID: 割り当てプロジェクト ID。このフラグは、組織レベルのセキュリティ プロファイル グループにのみ使用します。