セキュリティプロファイルグループの作成と管理

このページでは、Google Cloud CLI を使用して、カスタムセキュリティプロファイルを含むセキュリティプロファイルグループを作成して管理する方法について説明します。

始める前に

プロジェクトで Network Security API を有効にする必要があります。
このガイドの gcloud コマンドラインのサンプルを実行する場合は、gcloud CLI をインストールします。
カスタムミラーリングセキュリティプロファイルが必要です。

ロール

セキュリティプロファイルグループを作成、表示、更新、削除するために必要な権限を取得するには、組織に必要な Identity and Access Management（IAM）ロールの付与を管理者に依頼してください。ロールの付与については、プロジェクト、フォルダ、組織に対するアクセス権の管理をご覧ください。

このページに記載されているオペレーションの進行状況を確認するには、ユーザーロールに次の Compute ネットワークユーザーロール（roles/compute.networkUser）の権限が付与されていることを確認してください。

networksecurity.operations.get
networksecurity.operations.list

カスタムプロファイルでセキュリティプロファイルグループを作成する

作成できるセキュリティプロファイルグループは、CUSTOM_MIRRORING タイプのセキュリティプロファイルを含むもののみです。

セキュリティプロファイルグループを作成するときに、セキュリティプロファイルグループの名前を文字列または一意の URL 識別子として指定できます。組織スコープのセキュリティプロファイルグループの一意の URL は、次の形式で構成できます。

  organizations/ORGANIZATION_ID/locations/LOCATION/securityProfileGroups/SECURITY_PROFILE_GROUP_NAME

次のように置き換えます。

ORGANIZATION_ID: 組織の ID。
LOCATION: セキュリティプロファイルグループのスコープ。ロケーションは常に global に設定されます。
SECURITY_PROFILE_GROUP_NAME: セキュリティプロファイルグループの名前。

セキュリティプロファイルグループ名に一意の URL 識別子を使用している場合、セキュリティプロファイルグループの組織とロケーションは URL 識別子にすでに含まれています。ただし、セキュリティプロファイルグループ名のみを使用する場合は、組織とロケーションを別々に指定する必要があります。一意の URL 識別子の詳細については、仕様をご覧ください。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

networksecurity.securityProfileGroups.create

ロール

セキュリティプロファイル管理者のロール（networksecurity.securityProfileAdmin）

コンソール

Google Cloud コンソールで、[セキュリティプロファイルグループ] ページに移動します。

[セキュリティプロファイルグループ] に移動
組織選択ツールから自分の組織を選択します。
[セキュリティプロファイルグループ] タブで、[プロファイルグループを作成] をクリックします。
[名前] に、セキュリティプロファイルグループの名前を入力します。
[セキュリティプロファイルグループの目的] で、[NSI アウトオブバンド] を選択します。
[カスタムミラーリングプロファイル] で、インバンド統合用のカスタムセキュリティプロファイルを選択します。
[作成] をクリックします。

gcloud

セキュリティプロファイルグループを作成するには、gcloud network-security security-profile-groups create コマンドを使用します。

 gcloud network-security security-profile-groups \
     create SECURITY_PROFILE_GROUP_NAME \
     --custom-mirroring-profile CUSTOM_MIRROING_PROFILE_NAME \
     --description DESCRIPTION \
     --organization ORGANIZATION_ID \
     --location=global \
     --billing-project PROJECT_ID

次のように置き換えます。

SECURITY_PROFILE_GROUP_NAME: セキュリティプロファイルグループの名前。名前は文字列または一意の URL 識別子として指定できます。
CUSTOM_MIRRORING_PROFILE_NAME: カスタムミラーリングセキュリティプロファイルの名前。
DESCRIPTION: セキュリティプロファイルグループの説明（省略可）。
ORGANIZATION_ID: セキュリティプロファイルグループが作成されている組織。
PROJECT_ID: セキュリティプロファイルグループの割り当てとアクセス制限に使用するプロジェクト ID。

Terraform

セキュリティプロファイルグループを作成するには、google_network_security_security_profile_group リソースを使用します。

resource "google_network_security_security_profile_group" "default" {
  name                     = "security-profile-group"
  parent                   = "organizations/${data.google_organization.default.org_id}"
  location                 = "global"
  custom_mirroring_profile = google_network_security_security_profile.default.id
}

Terraform 構成を適用または削除する方法については、基本的な Terraform コマンドをご覧ください。

セキュリティプロファイルグループを表示する

組織内の特定のセキュリティプロファイルグループの詳細を表示できます。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

networksecurity.securityProfileGroups.get

ロール

セキュリティプロファイル管理者のロール（networksecurity.securityProfileAdmin）

コンソール

Google Cloud コンソールで、[セキュリティプロファイルグループ] ページに移動します。

[セキュリティプロファイルグループ] に移動
組織選択ツールから自分の組織を選択します。
[セキュリティプロファイルグループ] タブで、セキュリティプロファイルグループの名前をクリックします。

gcloud

セキュリティプロファイルグループの詳細を表示するには、gcloud network-security security-profile-groups describe コマンドを使用します。

 gcloud network-security security-profile-groups \
     describe SECURITY_PROFILE_GROUP_NAME \
     --organization ORGANIZATION_ID \
     --location=global \
     --billing-project PROJECT_ID

次のように置き換えます。

SECURITY_PROFILE_GROUP_NAME: セキュリティプロファイルグループの名前。名前は文字列または一意の URL 識別子として指定できます。
ORGANIZATION_ID: セキュリティプロファイルグループが作成されている組織。
PROJECT_ID: セキュリティプロファイルグループの割り当てとアクセス制限に使用するプロジェクト ID。

セキュリティプロファイルグループを一覧表示する

組織内のすべてのカスタムミラーリングセキュリティプロファイルグループを一覧表示できます。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

networksecurity.securityProfileGroups.list

ロール

セキュリティプロファイル管理者のロール（networksecurity.securityProfileAdmin）

コンソール

Google Cloud コンソールで、[セキュリティプロファイルグループ] ページに移動します。

[セキュリティプロファイルグループ] に移動
組織選択ツールから自分の組織を選択します。
[セキュリティプロファイルグループ] タブには、セキュリティプロファイルグループのリストが表示されます。

gcloud

カスタムミラーリングセキュリティプロファイルグループを一覧表示するには、gcloud network-security security-profile-groups list コマンドを使用します。

gcloud network-security security-profile-groups list \
    --organization ORGANIZATION_ID \
    --location=global \
    --filter CUSTOM_MIRRORING_PROFILE
    --billing-project PROJECT_ID

次のように置き換えます。

ORGANIZATION_ID: セキュリティプロファイルグループが作成されている組織。
CUSTOM_MIRRORING_PROFILE: custom_mirroring_profile が定義されているプロファイルグループの名前。
PROJECT_ID: セキュリティプロファイルグループの課金に使用するプロジェクト ID。

セキュリティプロファイルグループを更新する

セキュリティプロファイルグループで参照されるセキュリティプロファイルの説明とラベルを更新できます。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

networksecurity.securityProfileGroups.update

ロール

セキュリティプロファイル管理者のロール（networksecurity.securityProfileAdmin）

コンソール

Google Cloud コンソールで、[セキュリティプロファイルグループ] ページに移動します。

[セキュリティプロファイルグループ] に移動
組織選択ツールから自分の組織を選択します。
セキュリティプロファイルグループをクリックします。
[編集] をクリックします。
ルールを編集したら、[保存] をクリックします。

gcloud

セキュリティプロファイルグループを更新するには、gcloud network-security security-profile-groups update コマンドを使用します。

gcloud network-security security-profile-groups \
    update SECURITY_PROFILE_GROUP_NAME \
    --organization ORGANIZATION_ID \
    --location=global \
    --description DESCRIPTION

次のように置き換えます。

SECURITY_PROFILE_GROUP_NAME: 更新するセキュリティプロファイルグループの名前。名前は文字列または一意の URL 識別子として指定できます。
ORGANIZATION_ID: セキュリティプロファイルグループが作成されている組織。
DESCRIPTION: セキュリティプロファイルグループの説明（省略可）。

セキュリティプロファイルグループを削除する

セキュリティプロファイルグループは、名前、ロケーション、組織を指定して削除できます。ただし、カスタムセキュリティプロファイルがネットワークファイアウォールポリシーで参照されている場合、そのセキュリティプロファイルグループは削除できません。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

networksecurity.securityProfileGroups.delete

ロール

セキュリティプロファイル管理者のロール（networksecurity.securityProfileAdmin）

コンソール

Google Cloud コンソールで、[セキュリティプロファイルグループ] ページに移動します。

[セキュリティプロファイルグループ] に移動
組織選択ツールから自分の組織を選択します。
[セキュリティプロファイルグループ] タブで、削除するセキュリティプロファイルグループのチェックボックスをオンにして、[削除] をクリックします。
もう一度 [削除] をクリックして確定します。

gcloud

セキュリティプロファイルグループを削除するには、gcloud network-security security-profile-groups delete コマンドを使用します。

gcloud network-security security-profile-groups \
    delete SECURITY_PROFILE_GROUP_NAME \
    --custom-profile CUSTOM_PROFILE_NAME \
    --organization ORGANIZATION_ID \
    --location-global \
    --billing-project PROJECT_ID

次のように置き換えます。

SECURITY_PROFILE_GROUP_NAME: 削除するセキュリティプロファイルグループの名前。名前は文字列または一意の URL 識別子として指定できます。
CUSTOM_PROFILE_NAME: カスタムセキュリティプロファイルの名前。
ORGANIZATION_ID: セキュリティプロファイルグループが作成されている組織。
PROJECT_ID: セキュリティプロファイルグループの割り当てとアクセス制限に使用するプロジェクト ID。

セキュリティ プロファイル グループの作成と管理 コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

始める前に

ロール

カスタム プロファイルでセキュリティ プロファイル グループを作成する

このタスクに必要な権限

コンソール

gcloud

Terraform

セキュリティ プロファイル グループを表示する

このタスクに必要な権限

コンソール

gcloud

セキュリティ プロファイル グループを一覧表示する

このタスクに必要な権限

コンソール

gcloud

セキュリティ プロファイル グループを更新する

このタスクに必要な権限

コンソール

gcloud

セキュリティ プロファイル グループを削除する

このタスクに必要な権限

コンソール

gcloud

次のステップ

セキュリティプロファイルグループの作成と管理

カスタムプロファイルでセキュリティプロファイルグループを作成する

セキュリティプロファイルグループを表示する

セキュリティプロファイルグループを一覧表示する

セキュリティプロファイルグループを更新する

セキュリティプロファイルグループを削除する