הגדרת שירותים לצרכנים

בדף הזה מפורטים השלבים שצרכני שירות צריכים לבצע כדי לשלוח תעבורה לשירותי בדיקת חבילות של בעלי השירות.

לפני שמתחילים

נכנסים לחשבון Google Cloud . אם אתם משתמשים חדשים ב- Google Cloud, צרו חשבון כדי שתוכלו להעריך את הביצועים של המוצרים שלנו בתרחישים מהעולם האמיתי. לקוחות חדשים מקבלים בחינם גם קרדיט בשווי 300$ להרצה, לבדיקה ולפריסה של עומסי העבודה.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

1. צריך לוודא שיש לכם את התפקידים הבאים בניהול הזהויות והרשאות הגישה (IAM) בפרויקט:
   • עבור קבוצות פרופילים של אבטחה ופרופילים של אבטחה, התפקיד 'אדמין של פרופיל אבטחה' (networksecurity.securityProfileAdmin) ברמת הארגון עבור פרופילים של אבטחה וקבוצות פרופילים של אבטחה ברמת הארגון, וברמת הפרויקט או ברמת הארגון עבור פרופילים של אבטחה וקבוצות פרופילים של אבטחה ברמת הפרויקט.
   • כדי ליצור רשתות חדשות בצד הצרכן, צריך את התפקיד אדמין רשת של Compute (roles/compute.networkAdmin) בפרויקט.
   • למשאבי יירוט, צריך את התפקיד אדמין של נקודת קצה ליירוט (roles/networksecurity.interceptEndpointAdmin) בפרויקט.

2. מפעילים את Compute Engine API ואת Network Security API, אם הם עדיין לא מופעלים.

   תפקידים שנדרשים להפעלת ממשקי API

   כדי להפעיל ממשקי API, נדרשת ההרשאה serviceusage.services.enable. אם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד 'בעלים' (roles/owner). אחרת, תוכלו לקבל את ההרשאה הזו דרך התפקיד 'אדמין בממשק Service Usage' (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים

   הפעלת ממשקי ה-API

3. מתקינים את Google Cloud CLI. מידע נוסף זמין במאמר סקירה כללית של ה-CLI של gcloud.

   הערה: אם לא הפעלתם את ה-CLI של gcloud בעבר, אתחלו את ספריית ה-CLI של gcloud באמצעות הפקודה gcloud init.

4. כדי להתחבר למפיק, צריך לקבל את הפרטים הבאים:
   • השם של קבוצת הפריסה של ההודעה שמוצגת למשתמשים.
   • רשימת האזורים שבהם קבוצת הפריסה של ההודעה שמוצגת למשתמשים פעילה.
   • התפקיד Intercept Deployment User (roles/networksecurity.interceptDeploymentUser) בפרויקט של היצרן.

הכנת הרשת

כדי לאפשר לרשת VPC אחת או יותר לשלוח תעבורה לשירותי בדיקת המנות של ספק, צריך לבצע את הפעולות הבאות:

1. זיהוי רשתות VPC והגדרת סדר האכיפה של מדיניות חומת האש.

   מזהים את רשתות ה-VPC שרוצים להשתמש בשירות של ספק ליירוט מנות. אחרי שמזהים את הרשתות, מגדירים את מדיניות חומת האש ואת סדר האכיפה של הכללים של כל רשת לערך BEFORE_CLASSIC_FIREWALL.

   צו האכיפה BEFORE_CLASSIC_FIREWALL מבטיח שהכללים של מדיניות חומת האש הגלובלית וההיררכית – שבהם תשתמשו כדי ליירט תעבורה – ייבדקו לפני הכללים של חומת האש ב-VPC. אם משתמשים בסדר ברירת המחדל AFTER_CLASSIC_FIREWALL, לכללי חומת האש ב-VPC יש עדיפות, ויכול להיות שהתנועה תיחסם לפני שניתן יהיה ליירט אותה לצורך בדיקה.

2. יוצרים קבוצות של מופעי מכונה מנוהלים או לא מנוהלים באזור מסוים, שמכילות את המכונות הווירטואליות.

   מומלץ להשתמש בקבוצות מופעי מכונה מנוהלים, אם אפשר. אם בוחרים בקבוצות של מופעי מכונה מנוהלים, צריך להשתמש בקבוצות של מופעי מכונה מנוהלים אזוריים. מידע נוסף זמין במאמר בנושא יצירת קבוצת מופעים מנוהלת באזור יחיד.

הגדרת משאבים בתוך הלהקה

כדי להשתמש בשירותי בדיקת החבילות של היצרן, צריך ליצור את המשאבים הבאים:

1. יוצרים קבוצה של נקודות קצה ליירוט ושיוך של קבוצה של נקודות קצה ליירוט בפרויקט. מידע נוסף מופיע במאמר בנושא יצירה וניהול של קבוצות נקודות קצה ליירוט.

   צרכן משתמש בקבוצת נקודות קצה ליירוט ובשיוך של קבוצת נקודות קצה ליירוט כדי לבחור את ההצעה של ספק ליירוט מנות לשימוש ברשת VPC אחת או יותר של צרכן.

   כשמגדירים את קבוצת נקודות הקצה של היירוט ואת השיוך של קבוצת נקודות הקצה של היירוט, כדאי לשים לב לנקודות הבאות:

   • רשתות VPC של צרכנים והשיוכים שלהן לקבוצות נקודות קצה ליירוט חייבים להיות באותו פרויקט.
   • קבוצת נקודות קצה ליירוט שאליה מתייחסת שיוך של קבוצת נקודות קצה יכולה להיות ממוקמת בכל פרויקט בארגון של הלקוח.

2. יוצרים פרופיל אבטחה וקבוצת פרופיל אבטחה. מידע נוסף על יצירת פרופיל אבטחה מותאם אישית של חסימת תנועה זמין במאמרים יצירת פרופיל אבטחה מותאם אישית של חסימת תנועה ויצירה וניהול של קבוצות פרופילי אבטחה.

   פרופיל אבטחה וקבוצת פרופילי אבטחה מאפשרים לכם להשתמש בהצעה של יצרן לגבי יירוט מנות בכללים של מדיניות חומת אש היררכית או מדיניות חומת אש גלובלית ברשת. כללים במדיניות חומת אש מפנים לקבוצת פרופילי אבטחה ומשתמשים בפעולה apply_security_profile_group כדי לשלוח מנות לשירות בדיקת המנות של היצרן.

3. מגדירים מדיניות של חומת אש ומוסיפים כללים לחומת האש כדי להפנות תנועה לבדיקת מנות. אפשר להפנות לקבוצות של פרופילי אבטחה ברמת הפרויקט רק בכללים של כללי מדיניות גלובליים של חומת אש ברשת. מידע נוסף מופיע במאמר בנושא יצירה וניהול של כללים של חומת אש.

   כללים שמפנים תנועה לבדיקת חבילות נתונים חייבים לכלול את כל המאפיינים הבאים:

   • הפעולה של כלל מדיניות חומת האש צריכה להיות apply_security_profile_group.

   • כלל במדיניות חומת האש צריך להפנות לקבוצת פרופילי אבטחה שמכילה את פרופיל האבטחה שהגדרתם בשלב הקודם. מדיניות חומת אש היררכית יכולה להפנות רק לקבוצות של פרופילי אבטחה ברמת הארגון. מדיניות גלובלית של חומת אש ברשת יכולה להפנות לקבוצות של פרופילי אבטחה ברמת הארגון וברמת הפרויקט.

     פרופיל האבטחה צריך להפנות לאותה קבוצת נקודות קצה של יירוט שמשויכת לרשתות ה-VPC שהכלל צריך לחול עליהן.

   • מדיניות חומת האש שמכילה את הכלל צריכה להיות משויכת לרשתות ה-VPC שבהן הכלל צריך לחול. השיטה ליצירת השיוך הזה תלויה בסוג המדיניות:

     • אם הכלל מופיע במדיניות חומת אש בין רשתות גלובלית, צריך לשייך את המדיניות לרשתות ה-VPC שאליהן הכלל צריך לחול.

     • אם הכלל נמצא במדיניות היררכית של חומת אש ברשת, מדיניות חומת האש צריכה להיות משויכת לתיקייה או לארגון שמכילים את רשתות ה-VPC שהכלל צריך לחול עליהן. בנוסף, אם היעד של הכלל הוא משאב רשת, היעד חייב לכלול את רשתות ה-VPC שהכלל צריך לחול עליהן.

     מידע נוסף על פרמטרים של כללים בחומת האש זמין במאמר רכיבים של כללים במדיניות חומת האש.

4. משייכים את מדיניות חומת האש לרשתות ה-VPC שמשתמשות בבדיקת מנות של ספק.

   מידע נוסף זמין במאמר בנושא שיוך מדיניות חומת אש ברשת.

אחרי שמקשרים את מדיניות חומת האש ומגדירים את כללי חומת האש, התנועה ברשת מנותבת מחדש לקבוצת הפריסה של היירוט של הספק.

המאמרים הבאים

• סקירה כללית של קבוצות של נקודות קצה ושל שיוכים
• יצירה וניהול של קבוצות של נקודות קצה ליירוט
• יצירה וניהול של שיוכים של קבוצות נקודות קצה ליירוט