Configurer les services client

Cette page décrit en détail les étapes que vous, en tant que consommateur de services, devez suivre pour envoyer du trafic vers les services d'inspection des paquets d'un producteur.

Avant de commencer

  1. Connectez-vous à votre compte Google Cloud . Si vous débutez sur Google Cloud, créez un compte pour évaluer les performances de nos produits en conditions réelles. Les nouveaux clients bénéficient également de 300 $ de crédits sans frais pour exécuter, tester et déployer des charges de travail.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. Verify that billing is enabled for your Google Cloud project.

  4. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  5. Verify that billing is enabled for your Google Cloud project.

  6. Assurez-vous de disposer des rôles IAM (Identity and Access Management) suivants dans votre projet :

  7. Activez les API Compute Engine et Network Security, si ce n'est pas déjà fait.

    Rôles requis pour activer les API

    Pour activer les API, vous devez disposer de l'autorisation serviceusage.services.enable. Si vous avez créé le projet, vous disposez probablement déjà de cette autorisation grâce au rôle Propriétaire (roles/owner). Sinon, vous pouvez obtenir cette autorisation grâce au rôle Administrateur Service Usage (roles/serviceusage.serviceUsageAdmin). Découvrez comment attribuer des rôles.

    Activer les API

  8. Installez Google Cloud CLI. Pour en savoir plus, consultez la présentation de la gcloud CLI.

    Remarque : Si vous n'avez pas encore utilisé Google Cloud CLI, initialisez votre répertoire gcloud CLI en exécutant la commande gcloud init.

  9. Pour vous connecter à un producteur, obtenez les informations suivantes :
    • Nom du groupe de déploiement d'interception.
    • Liste des zones dans lesquelles le groupe de déploiement d'interception est actif.
    • Le rôle Utilisateur du déploiement d'interception (roles/networksecurity.interceptDeploymentUser) dans le projet du producteur.

Préparer votre réseau

Pour permettre à un ou plusieurs réseaux VPC d'envoyer du trafic vers les services d'inspection de paquets d'un producteur, procédez comme suit :

  1. Identifiez les réseaux VPC et définissez l'ordre d'application des stratégies de pare-feu.

    Identifiez les réseaux VPC qui souhaitent utiliser l'offre d'interception de paquets d'un producteur. Une fois les réseaux identifiés, définissez l'ordre d'application des règles et de la stratégie de pare-feu de chaque réseau sur BEFORE_CLASSIC_FIREWALL.

    L'ordre d'application BEFORE_CLASSIC_FIREWALL garantit que les règles de stratégie de pare-feu hiérarchiques et mondiales (que vous utiliserez pour intercepter le trafic) sont évaluées avant les règles de pare-feu VPC. Si vous utilisez l'ordre AFTER_CLASSIC_FIREWALL par défaut, les règles de pare-feu VPC sont prioritaires et votre trafic peut être abandonné avant de pouvoir être intercepté pour inspection.

  2. Créez des groupes d'instances zonaux gérés ou non gérés contenant vos VM.

    Nous vous recommandons d'utiliser des groupes d'instances gérés, si possible. Si vous choisissez des groupes d'instances gérés, vous devez utiliser des groupes d'instances gérés zonaux. Pour en savoir plus, consultez Créer un MIG dans une seule zone.

Configurer les ressources intégrées

Créez les ressources suivantes pour utiliser les services d'inspection des paquets du producteur :

  1. Créez un groupe de points de terminaison d'interception et une association de groupe de points de terminaison d'interception dans un projet. Pour en savoir plus, consultez Créer et gérer des groupes de points de terminaison d'interception.

    Un consommateur utilise un groupe de points de terminaison d'interception et une association de groupe de points de terminaison d'interception pour sélectionner une offre d'interception de paquets d'un producteur à utiliser dans un ou plusieurs réseaux VPC de consommateur.

    Lorsque vous configurez le groupe de points de terminaison d'interception et l'association de groupe de points de terminaison d'interception, tenez compte des points suivants :

    • Les réseaux VPC de consommateur et leurs associations de groupes de points de terminaison d'interception correspondantes doivent se trouver dans le même projet.
    • Un groupe de points de terminaison d'interception référencé par une association de groupes de points de terminaison peut se trouver dans n'importe quel projet de l'organisation du consommateur.

  2. Créez un profil de sécurité et un groupe de profils de sécurité. Pour savoir comment créer un profil de sécurité d'interception personnalisé, consultez Créer un profil de sécurité d'interception personnalisé et Créer et gérer des groupes de profils de sécurité.

    Un profil de sécurité et un groupe de profils de sécurité vous permettent d'utiliser l'offre d'interception de paquets d'un producteur dans les règles d'une stratégie de pare-feu hiérarchique ou d'une stratégie de pare-feu de réseau au niveau mondial. Les règles d'une stratégie de pare-feu font référence au groupe de profils de sécurité et utilisent l'action apply_security_profile_group pour envoyer des paquets au service d'inspection des paquets d'un producteur.

  3. Configurez une stratégie de pare-feu et ajoutez des règles de pare-feu pour diriger le trafic vers l'inspection des paquets. Seules les règles des stratégies de pare-feu réseau globales peuvent faire référence à des groupes de profils de sécurité au niveau du projet. Pour en savoir plus, consultez Créer et gérer des règles de pare-feu.

    Les règles qui redirigent le trafic vers l'inspection des paquets doivent présenter toutes les caractéristiques suivantes :

    • L'action de la règle de stratégie de pare-feu doit être apply_security_profile_group.

    • La règle de stratégie de pare-feu doit faire référence à un groupe de profils de sécurité contenant le profil de sécurité que vous avez configuré à l'étape précédente. Les stratégies de pare-feu hiérarchiques ne peuvent faire référence qu'aux groupes de profils de sécurité au niveau de l'organisation. Les stratégies de pare-feu de réseau au niveau mondial peuvent faire référence à des groupes de profils de sécurité au niveau de l'organisation et au niveau du projet.

      Le profil de sécurité doit référencer le même groupe de points de terminaison d'interception que celui associé aux réseaux VPC auxquels la règle doit s'appliquer.

    • La stratégie de pare-feu contenant la règle doit être associée aux réseaux VPC auxquels la règle doit s'appliquer. La méthode de création de cette association dépend du type de règle :

      • Si la règle se trouve dans une stratégie de pare-feu réseau mondiale, cette stratégie doit être associée aux réseaux VPC auxquels la règle doit s'appliquer.

      • Si la règle se trouve dans une stratégie de pare-feu réseau hiérarchique, la stratégie de pare-feu doit être associée à un dossier ou à l'organisation contenant les réseaux VPC auxquels la règle doit s'appliquer. De plus, si la cible de la règle est une ressource réseau, elle doit inclure les réseaux VPC auxquels la règle doit s'appliquer.

      Pour en savoir plus sur les paramètres des règles de pare-feu, consultez Composants des règles de stratégie de pare-feu.

  4. Associez la stratégie de pare-feu aux réseaux VPC qui utilisent l'inspection des paquets du producteur.

    Pour en savoir plus, consultez Associer une stratégie de pare-feu réseau.

Une fois que vous avez associé la stratégie de pare-feu et configuré les règles de pare-feu, le trafic réseau est redirigé vers le groupe de déploiement d'interception du producteur.

Étapes suivantes