Menyiapkan layanan konsumen

Halaman ini memberikan detail tentang langkah-langkah yang harus Anda lakukan sebagai konsumen layanan untuk mengirim traffic ke layanan inspeksi paket produsen.

Sebelum memulai

  1. Login ke akun Google Cloud Anda. Jika Anda baru menggunakan Google Cloud, buat akun untuk mengevaluasi performa produk kami dalam skenario dunia nyata. Pelanggan baru juga mendapatkan kredit gratis senilai $300 untuk menjalankan, menguji, dan men-deploy workload.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. Verify that billing is enabled for your Google Cloud project.

  4. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  5. Verify that billing is enabled for your Google Cloud project.

  6. Pastikan Anda memiliki peran Identity and Access Management (IAM) berikut di project Anda:
    • Untuk grup profil keamanan dan profil keamanan, peran Admin Profil Keamanan (networksecurity.securityProfileAdmin) di tingkat organisasi untuk grup profil keamanan dan profil keamanan tingkat organisasi, dan di tingkat project atau organisasi untuk grup profil keamanan dan profil keamanan tingkat project.
    • Untuk pembuatan jaringan sisi konsumen baru, Anda harus memiliki peran Compute Network Admin (roles/compute.networkAdmin) di project.
    • Untuk mencegat resource, Anda memerlukan peran Intercept Endpoint Admin (roles/networksecurity.interceptEndpointAdmin) di project Anda.

  7. Aktifkan Compute Engine API dan Network Security API, jika ada yang belum diaktifkan.

    Peran yang diperlukan untuk mengaktifkan API

    Untuk mengaktifkan API, Anda memerlukan izin serviceusage.services.enable. Jika Anda membuat project, kemungkinan Anda sudah memiliki izin ini melalui peran Pemilik (roles/owner). Jika tidak, Anda bisa mendapatkan izin ini melalui peran Admin Penggunaan Layanan (roles/serviceusage.serviceUsageAdmin). Pelajari cara memberikan peran.

    Aktifkan API

  8. Instal Google Cloud CLI. Untuk mengetahui informasi selengkapnya, lihat ringkasan gcloud CLI.

    Catatan: Jika Anda belum pernah menjalankan Google Cloud CLI sebelumnya, lakukan inisialisasi direktori gcloud CLI Anda dengan menjalankan perintah gcloud init.

  9. Untuk terhubung ke produser, dapatkan detail berikut:
    • Nama grup deployment pencegat.
    • Daftar zona tempat grup deployment intersep aktif.
    • Peran Intercept Deployment User (roles/networksecurity.interceptDeploymentUser) di project produsen.

Menyiapkan jaringan

Untuk mengizinkan satu atau beberapa jaringan VPC mengirim traffic ke layanan inspeksi paket produsen, lakukan hal berikut:

  1. Mengidentifikasi jaringan VPC, dan menetapkan urutan penerapan kebijakan firewall.

    Identifikasi jaringan VPC yang ingin menggunakan penawaran pencegatan paket produsen. Setelah jaringan diidentifikasi, tetapkan kebijakan firewall dan urutan penerapan aturan setiap jaringan ke BEFORE_CLASSIC_FIREWALL.

    Urutan penerapan BEFORE_CLASSIC_FIREWALL memastikan bahwa aturan kebijakan firewall hierarkis dan global—yang akan Anda gunakan untuk mencegat traffic—dievaluasi sebelum aturan firewall VPC. Jika Anda menggunakan urutan AFTER_CLASSIC_FIREWALL default, aturan firewall VPC akan lebih diutamakan dan traffic Anda mungkin akan dihentikan sebelum dapat dicegat untuk diperiksa.

  2. Buat grup instance terkelola zonal atau grup instance tidak terkelola zonal yang berisi VM Anda.

    Sebaiknya gunakan grup instance terkelola, jika memungkinkan. Jika memilih grup instance terkelola, Anda harus menggunakan grup instance terkelola menurut zona. Untuk mengetahui informasi selengkapnya, lihat Membuat MIG dalam satu zona.

Mengonfigurasi resource dalam band

Buat resource berikut untuk menggunakan layanan inspeksi paket produsen:

  1. Buat grup endpoint pencegat dan asosiasi grup endpoint pencegat dalam project. Untuk mengetahui informasi selengkapnya, lihat Membuat dan mengelola grup endpoint pencegat.

    Konsumen menggunakan grup endpoint pencegat dan asosiasi grup endpoint pencegat untuk memilih penawaran pencegatan paket produsen yang akan digunakan dalam satu atau beberapa jaringan VPC konsumen.

    Saat mengonfigurasi grup endpoint pencegat dan asosiasi grup endpoint pencegat, pertimbangkan hal berikut:

    • Jaringan VPC konsumen dan asosiasi grup endpoint pencegat yang sesuai harus berada dalam project yang sama.
    • Grup endpoint pencegat yang dirujuk oleh asosiasi grup endpoint dapat berada di project mana pun dalam organisasi konsumen.

  2. Buat profil keamanan dan grup profil keamanan. Untuk mengetahui informasi selengkapnya tentang cara membuat profil keamanan pencegatan kustom, lihat Membuat profil keamanan pencegatan kustom dan Membuat dan mengelola grup profil keamanan.

    Profil keamanan dan grup profil keamanan memungkinkan Anda menggunakan penawaran pencegatan paket produsen dalam aturan kebijakan firewall hierarkis atau kebijakan firewall jaringan global. Aturan dalam kebijakan firewall merujuk ke grup profil keamanan dan menggunakan tindakan apply_security_profile_group untuk mengirim paket ke layanan inspeksi paket produsen.

  3. Konfigurasi kebijakan firewall dan tambahkan aturan firewall untuk mengarahkan traffic untuk inspeksi paket. Hanya aturan dalam kebijakan firewall jaringan global yang dapat mereferensikan grup profil keamanan tingkat project. Untuk mengetahui informasi selengkapnya, lihat Membuat dan mengelola aturan firewall.

    Aturan yang mengarahkan traffic ke pemeriksaan paket harus memiliki semua karakteristik berikut:

    • Tindakan aturan kebijakan firewall harus berupa apply_security_profile_group.

    • Aturan kebijakan firewall harus mereferensikan grup profil keamanan yang berisi profil keamanan yang Anda konfigurasi pada langkah sebelumnya. Kebijakan firewall hierarkis hanya dapat mereferensikan grup profil keamanan tingkat organisasi. Kebijakan firewall jaringan global dapat mereferensikan grup profil keamanan tingkat organisasi dan tingkat project.

      Profil keamanan harus mereferensikan grup endpoint pencegat yang sama yang terkait dengan jaringan VPC tempat aturan perlu diterapkan.

    • Kebijakan firewall yang berisi aturan harus dikaitkan dengan jaringan VPC yang akan menerapkan aturan tersebut. Metode untuk membuat asosiasi ini bergantung pada jenis kebijakan:

      • Jika aturan berada dalam kebijakan firewall jaringan global, kebijakan tersebut harus dikaitkan dengan jaringan VPC yang akan menerapkan aturan tersebut.

      • Jika aturan berada dalam kebijakan firewall jaringan hierarkis, kebijakan firewall harus dikaitkan dengan folder atau organisasi yang berisi jaringan VPC tempat aturan perlu diterapkan. Selain itu, jika target aturan adalah resource jaringan, target harus menyertakan jaringan VPC yang akan menerapkan aturan.

      Untuk mengetahui informasi selengkapnya tentang parameter aturan firewall, lihat Komponen aturan kebijakan firewall.

  4. Kaitkan kebijakan firewall dengan jaringan VPC yang menggunakan pemeriksaan paket produsen.

    Untuk mengetahui informasi selengkapnya, lihat Mengaitkan kebijakan firewall jaringan.

Setelah Anda mengaitkan kebijakan firewall dan mengonfigurasi aturan firewall, traffic jaringan akan dialihkan ke grup deployment pencegat produsen.

Langkah berikutnya