Gestisci i gruppi di profili di sicurezza

I gruppi di profili di sicurezza consentono di applicare e controllare le policy di sicurezza di rete nei tuoi deployment. Ogni gruppo di profili di sicurezza può contenere fino a un profilo di sicurezza di ciascuno dei seguenti tipi:

• THREAT_PREVENTION
• URL_FILTERING

Raggruppando i profili di prevenzione delle minacce e di filtro degli URL, puoi applicare più controlli di sicurezza al traffico di rete tramite una singola regola dei criteri firewall, garantendo un'applicazione coerente dei criteri e una gestione semplificata. Questo documento aiuta gli amministratori di rete e gli esperti di sicurezza a configurare e gestire i gruppi di profili di sicurezza a livello di organizzazione e di progetto.

Prima di iniziare, esamina i concetti nella panoramica dei gruppi di profili di sicurezza.

Prima di iniziare

• Devi abilitare l'API Network Security nel tuo progetto.

• Installa gcloud CLI se vuoi eseguire gli esempi di riga di comando gcloud in questa guida.

• Devi disporre di un profilo di sicurezza per la prevenzione delle minacce o di un profilo di sicurezza per il filtro degli URL.

Ruoli

Per ottenere le autorizzazioni necessarie per visualizzare, aggiornare o eliminare i gruppi di profili di sicurezza, chiedi all'amministratore di concederti i ruoli IAM (Identity and Access Management) necessari nella tua organizzazione o nel tuo progetto. Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso.

Per controllare l'avanzamento delle operazioni elencate in questa pagina, assicurati che il tuo ruolo utente disponga delle seguenti autorizzazioni Utente di rete Compute (roles/compute.networkUser):

• networksecurity.operations.get
• networksecurity.operations.list

Elencare e visualizzare i dettagli di un gruppo di profili di sicurezza

Per elencare tutti i gruppi di profili di sicurezza, utilizza la console Google Cloud o gcloud CLI.

Puoi visualizzare i seguenti dettagli chiave di un gruppo di profili di sicurezza:

• La descrizione
• Il tipo
• Il nome
• L'ambito (a livello di organizzazione o progetto)

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM nella tua organizzazione o nel tuo progetto.

Autorizzazioni

• networksecurity.securityProfileGroups.list per elencare i gruppi di profili di sicurezza
• networksecurity.securityProfileGroups.get per visualizzare i dettagli di un gruppo

Ruoli

• Compute Network Admin (roles/compute.networkAdmin)
• Utente di rete Compute (roles/compute.networkUser)
• Compute Network Viewer (roles/compute.networkViewer)
• Amministratore del profilo di sicurezza (roles/networksecurity.securityProfileAdmin) concesso a livello di organizzazione per i gruppi di profili di sicurezza a livello di organizzazione e a livello di progetto o di organizzazione per i gruppi di profili di sicurezza a livello di progetto

Console

Nota:se il tuo progetto Google Cloud si trova in una zona di residenza dei dati (DRZ) nel Regno dell'Arabia Saudita (KSA) o in India, non puoi visualizzare, elencare, creare, aggiornare o eliminare profili di sicurezza o gruppi di profili di sicurezza a livello di progetto utilizzando la console Google Cloud . Per gestire i profili di sicurezza e i gruppi di profili di sicurezza a livello di progetto in Arabia Saudita e India, utilizza gcloud CLI o l'API.

1. Nella console Google Cloud , vai alla pagina Profili di sicurezza.

   Vai a Profili di sicurezza

2. Nel selettore di progetti, seleziona la tua organizzazione o il progetto.

3. Seleziona la scheda Gruppi di profili di sicurezza. La scheda mostra un elenco di gruppi di profili di sicurezza configurati.

4. Seleziona il gruppo di profili di sicurezza per visualizzarne i dettagli.

gcloud

Per elencare i gruppi di profili di sicurezza, utilizza il comando gcloud network-security security-profile-groups list:

gcloud network-security security-profile-groups list \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --location global

Per visualizzare i dettagli di un gruppo di profili di sicurezza, utilizza il comando gcloud network-security security-profile-groups describe:

gcloud network-security security-profile-groups describe NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --location global

Sostituisci quanto segue:

• NAME: il nome del gruppo di profili di sicurezza.

  Se non utilizzi il formato dell'identificatore URL univoco per il nome, devi specificare l'organizzazione o il nome del progetto e la località.

• ORGANIZATION_ID: l'ID organizzazione in cui esiste il gruppo di profili di sicurezza. Utilizza questo flag per un gruppo di profili di sicurezza a livello di organizzazione.

• PROJECT_ID: l'ID progetto in cui esiste il gruppo di profili di sicurezza. Utilizza questo flag per un gruppo di profili di sicurezza a livello di progetto.

• QUOTA_PROJECT_ID: l'ID progetto della quota. Utilizza questo flag solo per i gruppi di profili di sicurezza a livello di organizzazione.

Aggiorna un gruppo di profili di sicurezza

Per aggiornare un gruppo di profili di sicurezza, utilizza la console Google Cloud o gcloud CLI.

Puoi aggiornare i seguenti dettagli chiave di un gruppo di profili di sicurezza:

• Il progetto di fatturazione (disponibile solo per i gruppi di profili di sicurezza a livello di organizzazione)
• Modificare o rimuovere il profilo di sicurezza
• Le etichette
• La descrizione

Non puoi modificare i seguenti dettagli:

• Il nome del gruppo di profili di sicurezza
• La zona del gruppo di profili di sicurezza
• L'organizzazione o il progetto del gruppo di profili di sicurezza

Per modificare questi dettagli, elimina il gruppo di profili di sicurezza e creane uno nuovo.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM nella tua organizzazione o nel tuo progetto.

Autorizzazioni

• networksecurity.securityProfileGroups.update

Ruoli

• Compute Network Admin (roles/compute.networkAdmin)
• Amministratore del profilo di sicurezza (roles/networksecurity.securityProfileAdmin) concesso a livello di organizzazione per i gruppi di profili di sicurezza a livello di organizzazione e a livello di progetto o di organizzazione per i gruppi di profili di sicurezza a livello di progetto

Console

Nota:se il tuo progetto Google Cloud si trova in una zona di residenza dei dati (DRZ) nel Regno dell'Arabia Saudita (KSA) o in India, non puoi visualizzare, elencare, creare, aggiornare o eliminare profili di sicurezza o gruppi di profili di sicurezza a livello di progetto utilizzando la console Google Cloud . Per gestire i profili di sicurezza e i gruppi di profili di sicurezza a livello di progetto in Arabia Saudita e India, utilizza gcloud CLI o l'API.

1. Nella console Google Cloud , vai alla pagina Profili di sicurezza.

   Vai a Profili di sicurezza

2. Nel selettore di progetti, seleziona la tua organizzazione o il progetto.

3. Seleziona la scheda Gruppi di profili di sicurezza. La scheda mostra un elenco di gruppi di profili di sicurezza configurati.

4. Seleziona il gruppo di profili di sicurezza e poi fai clic su Modifica.

5. Aggiorna i campi obbligatori e fai clic su Salva.

gcloud

Per aggiornare un gruppo di profili di sicurezza, utilizza il comando gcloud network-security security-profile-groups update:

gcloud network-security security-profile-groups update NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    --clear-threat-prevention-profile | --threat-prevention-profile THREAT_SECURITY_PROFILE_URL \
    --clear-url-filtering-profile | --url-filtering-profile URL_SECURITY_PROFILE_URL \
    [--billing-project QUOTA_PROJECT_ID] \
    --description DESCRIPTION \
    --location global

Sostituisci quanto segue:

• NAME: il nome del gruppo di profili di sicurezza.

  Se non utilizzi il formato dell'identificatore URL univoco per il nome, devi specificare l'organizzazione o il nome del progetto e la località.

• ORGANIZATION_ID: l'ID organizzazione. Utilizza questo flag per un gruppo di profili di sicurezza a livello di organizzazione.

• PROJECT_ID: l'ID progetto Utilizza questo flag per un gruppo di profili di sicurezza a livello di progetto.

• THREAT_SECURITY_PROFILE_URL: un identificatore URL univoco per un profilo di sicurezza di tipo THREAT_PREVENTION.

  Per rimuovere un profilo di sicurezza per la prevenzione delle minacce, utilizza il flag --clear-threat-prevention-profile. Per modificare un profilo di sicurezza per la prevenzione delle minacce, utilizza il flag --threat-prevention-profile.

• URL_SECURITY_PROFILE_URL: un identificatore URL univoco per un profilo di sicurezza di tipo URL_FILTERING.

  Per rimuovere un profilo di sicurezza del filtro degli URL, utilizza il flag --clear-url-filtering-profile. Per modificare il profilo di sicurezza del filtro degli URL, utilizza il flag --url-filtering-profile.

• QUOTA_PROJECT_ID: l'ID progetto della quota. Utilizza questo flag solo per i gruppi di profili di sicurezza a livello di organizzazione.

• DESCRIPTION: una descrizione facoltativa del gruppo di profili di sicurezza.

Eliminare un gruppo di profili di sicurezza

Non puoi eliminare un gruppo di profili di sicurezza a cui fa riferimento una regola della policy del firewall.

Per eliminare un gruppo di profili di sicurezza, utilizza la console Google Cloud o gcloud CLI.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM nella tua organizzazione o nel tuo progetto.

Autorizzazioni

• networksecurity.securityProfileGroups.delete

Ruoli

• Compute Network Admin (roles/compute.networkAdmin)
• Amministratore del profilo di sicurezza (roles/networksecurity.securityProfileAdmin) concesso a livello di organizzazione per i gruppi di profili di sicurezza a livello di organizzazione e a livello di progetto o di organizzazione per i gruppi di profili di sicurezza a livello di progetto

Console

Nota:se il tuo progetto Google Cloud si trova in una zona di residenza dei dati (DRZ) nel Regno dell'Arabia Saudita (KSA) o in India, non puoi visualizzare, elencare, creare, aggiornare o eliminare profili di sicurezza o gruppi di profili di sicurezza a livello di progetto utilizzando la console Google Cloud . Per gestire i profili di sicurezza e i gruppi di profili di sicurezza a livello di progetto in Arabia Saudita e India, utilizza gcloud CLI o l'API.

1. Nella console Google Cloud , vai alla pagina Profili di sicurezza.

   Vai a Profili di sicurezza

2. Nel menu del selettore dei progetti, seleziona la tua organizzazione o il progetto.

3. Seleziona la scheda Gruppi di profili di sicurezza. La scheda mostra un elenco di gruppi di profili di sicurezza configurati.

4. Seleziona il gruppo di profili di sicurezza, quindi fai clic su Elimina.

5. Fai di nuovo clic su Elimina per confermare.

gcloud

Per eliminare un gruppo di profili di sicurezza, utilizza il comando gcloud network-security security-profile-groups delete:

gcloud network-security security-profile-groups delete NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --location global

Sostituisci quanto segue:

• NAME: il nome del gruppo di profili di sicurezza.

  Se non utilizzi il formato dell'identificatore URL univoco per il nome, devi specificare l'organizzazione o il nome del progetto e la località.

• ORGANIZATION_ID: l'ID organizzazione. Utilizza questo flag per un gruppo di profili di sicurezza a livello di organizzazione.

• PROJECT_ID: l'ID progetto Utilizza questo flag per un gruppo di profili di sicurezza a livello di progetto.

• QUOTA_PROJECT_ID: l'ID progetto della quota. Utilizza questo flag solo per i gruppi di profili di sicurezza a livello di organizzazione.

Passaggi successivi

• Creare e gestire gli endpoint firewall
• Creare gruppi di profili di sicurezza