Gérer les groupes de profils de sécurité

Les groupes de profils de sécurité vous permettent d'appliquer et de contrôler les règles de sécurité réseau dans vos déploiements. Chaque groupe de profils de sécurité peut contenir au maximum un profil de sécurité de chacun des types suivants :

• THREAT_PREVENTION
• URL_FILTERING

En regroupant les profils de filtrage d'URL et de prévention des menaces, vous pouvez appliquer plusieurs contrôles de sécurité au trafic réseau à l'aide d'une seule règle de stratégie de pare-feu. Vous assurez ainsi une application cohérente des règles et une gestion simplifiée. Ce document aide les administrateurs réseau et les ingénieurs en sécurité à configurer et à gérer les groupes de profils de sécurité au niveau de l'organisation et du projet.

Avant de commencer, consultez les concepts de la Présentation des groupes de profils de sécurité.

Avant de commencer

• Vous devez activer l'API Network Security dans votre projet.

• Installez gcloud CLI si vous souhaitez exécuter les exemples de ligne de commande gcloud de ce guide.

• Vous avez besoin d'un profil de sécurité de prévention des menaces ou d'un profil de sécurité de filtrage des URL.

Rôles

Pour obtenir les autorisations nécessaires pour afficher, mettre à jour ou supprimer des groupes de profils de sécurité, demandez à votre administrateur de vous accorder les rôles IAM (Identity and Access Management) nécessaires sur votre organisation ou votre projet. Pour en savoir plus sur l'attribution de rôles, consultez la section Gérer les accès.

Pour vérifier la progression des opérations listées sur cette page, assurez-vous que votre rôle utilisateur dispose des autorisations Utilisateur de réseau Compute (roles/compute.networkUser) suivantes :

• networksecurity.operations.get
• networksecurity.operations.list

Lister et afficher les détails d'un groupe de profils de sécurité

Pour lister tous les groupes de profils de sécurité, utilisez la console Google Cloud ou la gcloud CLI.

Vous pouvez afficher les informations clés suivantes d'un groupe de profils de sécurité :

• La description
• Type
• Le nom
• le champ d'application (au niveau de l'organisation ou du projet) ;

Autorisations requises pour cette tâche

Pour effectuer cette tâche, vous devez disposer des autorisations suivantes ou détenir l'un des rôles IAM suivants sur votre organisation ou votre projet.

Autorisations

• networksecurity.securityProfileGroups.list pour lister les groupes de profils de sécurité
• networksecurity.securityProfileGroups.get pour afficher les détails d'un groupe

Rôles

• Administrateur de réseaux Compute (roles/compute.networkAdmin)
• Utilisateur de réseau Compute (roles/compute.networkUser)
• Lecteur de réseau Compute (roles/compute.networkViewer)
• Administrateur de profil de sécurité (roles/networksecurity.securityProfileAdmin) accordé au niveau de l'organisation pour les groupes de profils de sécurité au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les groupes de profils de sécurité au niveau du projet

Console

Remarque : Si votre projet Google Cloud se trouve dans une zone de résidence des données (DRZ) en Inde ou au Royaume d'Arabie saoudite, vous ne pouvez pas afficher, lister, créer, modifier ni supprimer des profils de sécurité ou des groupes de profils de sécurité au niveau du projet à l'aide de la console Google Cloud . Pour gérer les profils de sécurité et les groupes de profils de sécurité au niveau du projet en Arabie saoudite et en Inde, utilisez gcloud CLI ou l'API.

1. Dans la console Google Cloud , accédez à la page Profils de sécurité.

   Accéder à la page "Profils de sécurité"

2. Dans le sélecteur de projets, sélectionnez votre organisation ou le projet.

3. Sélectionnez l'onglet Groupes de profils de sécurité. L'onglet affiche une liste des groupes de profils de sécurité configurés.

4. Sélectionnez le groupe de profils de sécurité pour afficher ses détails.

gcloud

Pour répertorier les groupes de profils de sécurité, exécutez la commande gcloud network-security security-profile-groups list :

gcloud network-security security-profile-groups list \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --location global

Pour afficher les détails d'un groupe de profils de sécurité, exécutez la commande gcloud network-security security-profile-groups describe :

gcloud network-security security-profile-groups describe NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --location global

Remplacez les éléments suivants :

• NAME : nom du groupe de profils de sécurité.

  Si vous n'utilisez pas le format d'identifiant d'URL unique pour le nom, vous devez spécifier le nom de l'organisation ou du projet, ainsi que l'emplacement.

• ORGANIZATION_ID : ID de l'organisation dans laquelle le groupe de profils de sécurité existe. Utilisez cet indicateur pour un groupe de profils de sécurité au niveau de l'organisation.

• PROJECT_ID : ID du projet dans lequel le groupe de profils de sécurité existe. Utilisez cet indicateur pour un groupe de profils de sécurité au niveau du projet.

• QUOTA_PROJECT_ID : ID du projet de quota. N'utilisez cet indicateur que pour les groupes de profils de sécurité au niveau de l'organisation.

Mettre à jour un groupe de profils de sécurité

Pour mettre à jour un groupe de profils de sécurité, utilisez la console Google Cloud ou la gcloud CLI.

Vous pouvez modifier les informations clés suivantes d'un groupe de profils de sécurité :

• Projet de facturation (disponible uniquement pour les groupes de profils de sécurité au niveau de l'organisation)
• Modifier ou supprimer le profil de sécurité
• Les libellés
• La description

Vous ne pouvez pas modifier les informations suivantes :

• Nom du groupe de profils de sécurité
• Zone du groupe de profils de sécurité
• Organisation ou projet du groupe de profils de sécurité

Pour modifier ces informations, supprimez le groupe de profils de sécurité et créez-en un autre.

Autorisations requises pour cette tâche

Pour effectuer cette tâche, vous devez disposer des autorisations suivantes ou détenir l'un des rôles IAM suivants sur votre organisation ou votre projet.

Autorisations

• networksecurity.securityProfileGroups.update

Rôles

• Administrateur de réseaux Compute (roles/compute.networkAdmin)
• Administrateur de profil de sécurité (roles/networksecurity.securityProfileAdmin) accordé au niveau de l'organisation pour les groupes de profils de sécurité au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les groupes de profils de sécurité au niveau du projet

Console

Remarque : Si votre projet Google Cloud se trouve dans une zone de résidence des données (DRZ) en Inde ou au Royaume d'Arabie saoudite, vous ne pouvez pas afficher, lister, créer, modifier ni supprimer des profils de sécurité ou des groupes de profils de sécurité au niveau du projet à l'aide de la console Google Cloud . Pour gérer les profils de sécurité et les groupes de profils de sécurité au niveau du projet en Arabie saoudite et en Inde, utilisez gcloud CLI ou l'API.

1. Dans la console Google Cloud , accédez à la page Profils de sécurité.

   Accéder à la page "Profils de sécurité"

2. Dans le sélecteur de projets, sélectionnez votre organisation ou le projet.

3. Sélectionnez l'onglet Groupes de profils de sécurité. L'onglet affiche une liste des groupes de profils de sécurité configurés.

4. Sélectionnez le groupe de profils de sécurité, puis cliquez sur Modifier.

5. Mettez à jour les champs nécessaires, puis cliquez sur Enregistrer.

gcloud

Pour mettre à jour un groupe de profils de sécurité, exécutez la commande gcloud network-security security-profile-groups update :

gcloud network-security security-profile-groups update NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    --clear-threat-prevention-profile | --threat-prevention-profile THREAT_SECURITY_PROFILE_URL \
    --clear-url-filtering-profile | --url-filtering-profile URL_SECURITY_PROFILE_URL \
    [--billing-project QUOTA_PROJECT_ID] \
    --description DESCRIPTION \
    --location global

Remplacez les éléments suivants :

• NAME : nom du groupe de profils de sécurité.

  Si vous n'utilisez pas le format d'identifiant d'URL unique pour le nom, vous devez spécifier le nom de l'organisation ou du projet, ainsi que l'emplacement.

• ORGANIZATION_ID : ID de l'organisation. Utilisez cet indicateur pour un groupe de profils de sécurité au niveau de l'organisation.

• PROJECT_ID : ID du projet. Utilisez cet indicateur pour un groupe de profils de sécurité au niveau du projet.

• THREAT_SECURITY_PROFILE_URL : identifiant d'URL unique pour un profil de sécurité de type THREAT_PREVENTION.

  Pour supprimer un profil de sécurité de prévention des menaces, utilisez le flag --clear-threat-prevention-profile. Pour modifier un profil de sécurité de prévention des menaces, utilisez l'option --threat-prevention-profile.

• URL_SECURITY_PROFILE_URL : identifiant d'URL unique pour un profil de sécurité de type URL_FILTERING.

  Pour supprimer un profil de sécurité de filtrage des URL, utilisez l'option --clear-url-filtering-profile. Pour modifier le profil de sécurité de filtrage des URL, utilisez l'option --url-filtering-profile.

• QUOTA_PROJECT_ID : ID du projet de quota. N'utilisez cet indicateur que pour les groupes de profils de sécurité au niveau de l'organisation.

• DESCRIPTION : description facultative pour le groupe de profils de sécurité.

Supprimer un groupe de profils de sécurité

Vous ne pouvez pas supprimer un groupe de profils de sécurité référencé par une règle de stratégie de pare-feu.

Pour supprimer un groupe de profils de sécurité, utilisez la console Google Cloud ou gcloud CLI.

Autorisations requises pour cette tâche

Pour effectuer cette tâche, vous devez disposer des autorisations suivantes ou détenir l'un des rôles IAM suivants sur votre organisation ou votre projet.

Autorisations

• networksecurity.securityProfileGroups.delete

Rôles

• Administrateur de réseaux Compute (roles/compute.networkAdmin)
• Administrateur de profil de sécurité (roles/networksecurity.securityProfileAdmin) accordé au niveau de l'organisation pour les groupes de profils de sécurité au niveau de l'organisation, et au niveau du projet ou de l'organisation pour les groupes de profils de sécurité au niveau du projet

Console

Remarque : Si votre projet Google Cloud se trouve dans une zone de résidence des données (DRZ) en Inde ou au Royaume d'Arabie saoudite, vous ne pouvez pas afficher, lister, créer, modifier ni supprimer des profils de sécurité ou des groupes de profils de sécurité au niveau du projet à l'aide de la console Google Cloud . Pour gérer les profils de sécurité et les groupes de profils de sécurité au niveau du projet en Arabie saoudite et en Inde, utilisez gcloud CLI ou l'API.

1. Dans la console Google Cloud , accédez à la page Profils de sécurité.

   Accéder à la page "Profils de sécurité"

2. Dans le menu de sélection du projet, sélectionnez votre organisation ou le projet.

3. Sélectionnez l'onglet Groupes de profils de sécurité. L'onglet affiche une liste des groupes de profils de sécurité configurés.

4. Sélectionnez le groupe de profils de sécurité, puis cliquez sur Supprimer.

5. Cliquez à nouveau sur Supprimer pour confirmer votre choix.

gcloud

Pour supprimer un groupe de profils de sécurité, exécutez la commande gcloud network-security security-profile-groups delete :

gcloud network-security security-profile-groups delete NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --location global

Remplacez les éléments suivants :

• NAME : nom du groupe de profils de sécurité.

  Si vous n'utilisez pas le format d'identifiant d'URL unique pour le nom, vous devez spécifier le nom de l'organisation ou du projet, ainsi que l'emplacement.

• ORGANIZATION_ID : ID de l'organisation. Utilisez cet indicateur pour un groupe de profils de sécurité au niveau de l'organisation.

• PROJECT_ID : ID du projet. Utilisez cet indicateur pour un groupe de profils de sécurité au niveau du projet.

• QUOTA_PROJECT_ID : ID du projet de quota. N'utilisez cet indicateur que pour les groupes de profils de sécurité au niveau de l'organisation.

Étapes suivantes

• Créer et gérer des points de terminaison de pare-feu
• Créer des groupes de profils de sécurité