Verbraucherdienste einrichten

Auf dieser Seite finden Sie Details zu den Schritten, die Sie als Dienstnutzer ausführen müssen, um Traffic an die Paketprüfdienste eines Producers zu senden.

Hinweis

  1. Melden Sie sich in Ihrem Google Cloud -Konto an. Wenn Sie mit Google Cloudnoch nicht vertraut sind, erstellen Sie ein Konto, um die Leistungsfähigkeit unserer Produkte in der Praxis sehen und bewerten zu können. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. Verify that billing is enabled for your Google Cloud project.

  4. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  5. Verify that billing is enabled for your Google Cloud project.

  6. Prüfen Sie, ob Sie die folgenden IAM-Rollen (Identity and Access Management) für Ihr Projekt haben:
    • Für Sicherheitsprofilgruppen und Sicherheitsprofile ist die Rolle „Sicherheitsprofiladministrator“ (networksecurity.securityProfileAdmin) auf Organisationsebene für Sicherheitsprofile und Sicherheitsprofilgruppen auf Organisationsebene und entweder auf Projekt- oder Organisationsebene für Sicherheitsprofile und Sicherheitsprofilgruppen auf Projektebene erforderlich.
    • Für die Erstellung neuer Netzwerke auf der Nutzerseite ist die Rolle „Compute Network Admin“ (roles/compute.networkAdmin) für das Projekt erforderlich.
    • Für Abfangressourcen benötigen Sie die Intercept Endpoint Admin-Rolle (roles/networksecurity.interceptEndpointAdmin) für Ihr Projekt.

  7. Aktivieren Sie die Compute Engine API und die Network Security API, falls sie noch nicht aktiviert sind.

    Rollen, die zum Aktivieren von APIs erforderlich sind

    Zum Aktivieren von APIs benötigen Sie die Berechtigung serviceusage.services.enable. Wenn Sie das Projekt erstellt haben, haben Sie diese Berechtigung wahrscheinlich bereits über die Rolle „Inhaber“ (roles/owner). Andernfalls können Sie diese Berechtigung über die Rolle „Service Usage-Administrator“ (roles/serviceusage.serviceUsageAdmin) erhalten. Informationen zum Zuweisen von Rollen

    APIs aktivieren

  8. Installieren Sie die Google Cloud CLI. Weitere Informationen finden Sie in der Übersicht über die gcloud CLI.

    Hinweis: Wenn Sie die Google Cloud CLI noch nicht ausgeführt haben, initialisieren Sie Ihr gcloud CLI-Verzeichnis mit dem gcloud init-Befehl.

  9. Um eine Verbindung zu einem Producer herzustellen, benötigen Sie die folgenden Informationen:
    • Der Name der Abfangbereitstellungsgruppe.
    • Liste der Zonen, in denen die Abfangbereitstellungsgruppe aktiv ist.
    • Die Rolle „Intercept Deployment User“ (roles/networksecurity.interceptDeploymentUser) für das Projekt des Erstellers.

Netzwerk vorbereiten

So aktivieren Sie ein oder mehrere VPC-Netzwerke, um Traffic an die Paketprüfdienste eines Produzenten zu senden:

  1. VPC-Netzwerke identifizieren und die Reihenfolge für die Erzwingung von Firewallrichtlinien festlegen.

    Identifizieren Sie die VPC-Netzwerke, die das Angebot zum Abfangen von Paketen eines Erstellers nutzen möchten. Nachdem die Netzwerke identifiziert wurden, legen Sie die Reihenfolge für die Erzwingung von Firewallrichtlinien und ‑regeln jedes Netzwerks auf BEFORE_CLASSIC_FIREWALL fest.

    Die BEFORE_CLASSIC_FIREWALL-Reihenfolge der Erzwingung sorgt dafür, dass hierarchische und globale Firewallrichtlinienregeln, die Sie zum Abfangen von Traffic verwenden, vor VPC-Firewallregeln ausgewertet werden. Wenn Sie die Standardreihenfolge AFTER_CLASSIC_FIREWALL verwenden, haben VPC-Firewallregeln Vorrang und Ihr Traffic wird möglicherweise verworfen, bevor er zur Überprüfung abgefangen werden kann.

  2. Erstellen Sie zonale verwaltete oder zonale nicht verwaltete Instanzgruppen, die Ihre VMs enthalten.

    Wir empfehlen, nach Möglichkeit verwaltete Instanzgruppen zu verwenden. Wenn Sie verwaltete Instanzgruppen auswählen, müssen Sie zonal verwaltete Instanzgruppen verwenden. Weitere Informationen finden Sie unter MIG in einer einzelnen Zone erstellen.

In-Band-Ressourcen konfigurieren

Erstellen Sie die folgenden Ressourcen, um die Paketprüfdienste des Produzenten zu verwenden:

  1. Erstellen Sie in einem Projekt eine Abfangendpunktgruppe und eine Verknüpfung mit einer Abfangendpunktgruppe . Weitere Informationen finden Sie unter Intercept-Endpunktgruppen erstellen und verwalten.

    Ein Nutzer verwendet eine Intercept-Endpunktgruppe und eine Intercept-Endpunktgruppenzuordnung, um das Paket-Intercept-Angebot eines Erstellers auszuwählen, das in einem oder mehreren VPC-Netzwerken des Nutzers verwendet werden soll.

    Beachten Sie beim Konfigurieren der Abfangendpunktgruppe und der Verknüpfung der Abfangendpunktgruppe Folgendes:

    • Nutzer-VPC-Netzwerke und ihre zugehörigen Abfangendpunktgruppen müssen sich im selben Projekt befinden.
    • Eine Abfang-Endpunktgruppe, auf die in einer Endpunktgruppenverknüpfung verwiesen wird, kann sich in einem beliebigen Projekt der Organisation des Nutzers befinden.

  2. Erstellen Sie ein Sicherheitsprofil und eine Sicherheitsprofilgruppe. Weitere Informationen zum Erstellen eines benutzerdefinierten Sicherheits-Intercept-Profils finden Sie unter Benutzerdefiniertes Sicherheits-Intercept-Profil erstellen und Sicherheitsprofilgruppen erstellen und verwalten.

    Mit einem Sicherheitsprofil und einer Sicherheitsprofilgruppe können Sie das Paketabfangangebot eines Producers in Regeln einer hierarchischen Firewallrichtlinie oder einer globalen Netzwerk-Firewallrichtlinie verwenden. Regeln in einer Firewallrichtlinie verweisen auf die Sicherheitsprofilgruppe und verwenden die Aktion apply_security_profile_group, um Pakete an den Paketprüfdienst eines Producers zu senden.

  3. Konfigurieren Sie eine Firewallrichtlinie und fügen Sie Firewallregeln hinzu, um den Traffic für die Paketprüfung weiterzuleiten. Nur in Regeln in globalen Netzwerk-Firewallrichtlinien kann auf Sicherheitsprofilgruppen auf Projektebene verwiesen werden. Weitere Informationen finden Sie unter Firewallregeln erstellen und verwalten.

    Regeln, die Traffic zur Paketprüfung weiterleiten, müssen alle folgenden Eigenschaften haben:

    • Die Aktion der Firewallrichtlinienregel muss apply_security_profile_group sein.

    • Die Firewallrichtlinienregel muss auf eine Sicherheitsprofilgruppe verweisen, die das Sicherheitsprofil enthält, das Sie im vorherigen Schritt konfiguriert haben. In hierarchischen Firewallrichtlinien kann nur auf Sicherheitsprofilgruppen auf Organisationsebene verwiesen werden. Globale Netzwerk-Firewallrichtlinien können sowohl auf Sicherheitsprofilgruppen auf Organisationsebene als auch auf Projektebene verweisen.

      Das Sicherheitsprofil muss auf dieselbe Abfangendpunktgruppe verweisen, die den VPC-Netzwerken zugeordnet ist, auf die die Regel angewendet werden muss.

    • Die Firewallrichtlinie, die die Regel enthält, muss mit den VPC-Netzwerken verknüpft sein, auf die die Regel angewendet werden soll. Die Methode zum Erstellen dieser Verknüpfung hängt vom Richtlinientyp ab:

      • Wenn sich die Regel in einer globalen Netzwerk-Firewallrichtlinie befindet, muss diese Richtlinie mit den VPC-Netzwerken verknüpft sein, auf die die Regel angewendet werden soll.

      • Wenn sich die Regel in einer hierarchischen Netzwerk-Firewallrichtlinie befindet, muss die Firewallrichtlinie mit einem Ordner oder der Organisation verknüpft sein, die die VPC-Netzwerke enthält, auf die die Regel angewendet werden muss. Wenn das Ziel der Regel eine Netzwerkressource ist, muss das Ziel außerdem die VPC-Netzwerke enthalten, auf die die Regel angewendet werden muss.

      Weitere Informationen zu den Parametern von Firewallregeln finden Sie unter Komponenten von Firewallrichtlinienregeln.

  4. Verknüpfen Sie die Firewallrichtlinie mit den VPC-Netzwerken, in denen die Paketprüfung des Producers verwendet wird.

    Weitere Informationen finden Sie unter Netzwerk-Firewallrichtlinie zuweisen.

Nachdem Sie die Firewallrichtlinie verknüpft und die Firewallregeln konfiguriert haben, wird der Netzwerkverkehr an die Abfangbereitstellungsgruppe des Erstellers weitergeleitet.

Nächste Schritte