TLS インスペクションを管理する

セキュリティ制御を適用して暗号化されたトラフィックを検査するには、Cloud Next Generation Firewall 用に Transport Layer Security（TLS）インスペクション ポリシーを構成します。このドキュメントでは、プロジェクトで TLS インスペクション ポリシーを管理する方法について説明します。

このドキュメントは、TLS インスペクション構成を管理し、ネットワーク接続を保護するネットワーク管理者とセキュリティ管理者を対象としています。

TLS インスペクション ポリシーを管理する前に、プロジェクトで既存のポリシーを構成する必要があります。TLS インスペクションのコアコンセプト（認証局（CA）プール、Google マネージド 認証局サービス、信頼構成など）の詳細については、 TLS インスペクションの概要をご覧ください。

TLS インスペクション ポリシーの詳細を表示する

プロジェクトで作成した TLS インスペクション ポリシーに関する情報を表示できます。

このタスクに必要な権限

このタスクを実行するには、次の権限または次の IAM ロールのいずれかが付与されている必要があります。

権限

• networksecurity.firewallEndpointAssociations.list
• networksecurity.gatewaySecurityPolicies.list
• networksecurity.tlsInspectionPolicies.get

ロール

• compute.securityAdmin
• compute.networkAdmin
• compute.networkUser

コンソール

1. コンソールで、[TLS インスペクション ポリシー] ページに移動します。 Google Cloud

   [TLS インスペクション ポリシー] に移動

2. プロジェクト選択メニューで、プロジェクトを選択します。

3. TLS インスペクション ポリシーは [TLS インスペクション] セクションに一覧表示されます。

4. 詳細を表示するには、TLS インスペクション ポリシーの名前をクリックします。

すべての TLS インスペクション ポリシーを一覧表示する

プロジェクト内のすべての TLS インスペクション ポリシーを一覧表示できます。

このタスクに必要な権限

このタスクを実行するには、次の権限または次の IAM ロールのいずれかが付与されている必要があります。

権限

• networksecurity.firewallEndpointAssociations.list
• networksecurity.gatewaySecurityPolicies.list
• networksecurity.locations.list
• networksecurity.tlsInspectionPolicies.list

ロール

• compute.securityAdmin
• compute.networkAdmin
• compute.networkUser

コンソール

1. コンソールで、[TLS インスペクション ポリシー] ページに移動します。 Google Cloud

   [TLS インスペクション ポリシー] に移動

2. プロジェクト選択メニューで、プロジェクトを選択します。

3. TLS インスペクション ポリシーは [TLS インスペクション] セクションに一覧表示されます。

gcloud

すべての TLS インスペクション ポリシーを一覧表示するには、gcloud network-security tls-inspection-policies list コマンドを使用します。

gcloud network-security tls-inspection-policies list \
    --project PROJECT_ID \
    --location REGION

次のように置き換えます。

• PROJECT_ID: TLS インスペクション ポリシーのプロジェクト ID
• REGION: TLS インスペクション ポリシーを一覧表示するリージョンの名前

TLS インスペクション ポリシーを編集する

プロジェクト内の既存の TLS インスペクション ポリシーを変更できます。

このタスクに必要な権限

このタスクを実行するには、次の権限または次の IAM ロールのいずれかが付与されている必要があります。

権限

• certificatemanager.trustconfigs.list
• certificatemanager.trustconfigs.use
• privateca.caPools.list
• privateca.caPools.use
• privateca.certificateAuthorities.list
• networksecurity.operations.get
• networksecurity.tlsInspectionPolicies.get
• networksecurity.tlsInspectionPolicies.list
• networksecurity.tlsInspectionPolicies.update

ロール

• compute.securityAdmin
• compute.networkAdmin

コンソール

1. コンソールで、[TLS インスペクション ポリシー] ページに移動します。 Google Cloud

   [TLS インスペクション ポリシー] に移動

2. プロジェクト選択メニューで、プロジェクトを選択します。

3. TLS インスペクション ポリシーは [TLS インスペクション] セクションに一覧表示されます。

4. ポリシーを編集するには、TLS インスペクション ポリシーの名前をクリックします。

5. [編集] をクリックします。

6. 必須フィールドを変更します。各フィールドの詳細については、TLS インスペクション ポリシーを作成するをご覧ください。

7. [保存] をクリックします。

TLS インスペクション ポリシーを削除する

TLS インスペクション ポリシーはプロジェクトから削除できます。ただし、TLS インスペクション ポリシーがファイアウォール エンドポイントの関連付けによって参照されている場合、対象の TLS インスペクション ポリシーは削除できません。

このタスクに必要な権限

このタスクを実行するには、次の権限または次の IAM ロールのいずれかが付与されている必要があります。

権限

• networksecurity.operations.get
• networksecurity.tlsInspectionPolicies.delete

ロール

• compute.securityAdmin
• compute.networkAdmin

コンソール

1. コンソールで、[TLS インスペクション ポリシー] ページに移動します。 Google Cloud

   [TLS インスペクション ポリシー] に移動

2. プロジェクト選択メニューで、プロジェクトを選択します。

3. TLS インスペクション ポリシーは [TLS インスペクション] セクションに一覧表示されます。

4. TLS インスペクション ポリシーを削除するには、名前の横にあるチェックボックスをオンにします。

5. [削除] をクリックします。

6. もう一度 [削除] をクリックします。

gcloud

TLS インスペクション ポリシーを削除するには、gcloud network-security tls-inspection-policies delete コマンドを使用します。

gcloud network-security tls-inspection-policies delete \
    projects/PROJECT_ID/locations/REGION/tlsInspectionPolicies/TLS_INSPECTION_NAME \
    --location REGION

次のように置き換えます。

• PROJECT_ID: TLS インスペクション ポリシーのプロジェクト ID
• TLS_INSPECTION_NAME: TLS インスペクションの名前
• REGION: TLS インスペクション ポリシーが作成されるリージョン

次のステップ

• TLS インスペクションを設定する
• 侵入検知および防止サービスを構成する
• ファイアウォール エンドポイントの作成と管理