Crea y administra asociaciones de grupos de extremos de interceptación

Una asociación de grupo de extremos de interceptación es un recurso global que vincula la red de nube privada virtual de un consumidor a un grupo de extremos de interceptación para la inspección del tráfico. Para cada red de VPC que requiera inspección de tráfico, debes crear una asociación de grupo de extremos de interceptación. La red de VPC está lista para la inspección del tráfico después de que configures el grupo de extremos, la asociación del grupo de extremos y las reglas de firewall para redireccionar el tráfico.

Después de configurar el grupo de extremos y la asociación del grupo de extremos, y de configurar las reglas de firewall para redireccionar el tráfico que se inspeccionará, la red de VPC estará lista para la inspección del tráfico.

En esta página, se describe cómo crear y administrar asociaciones de grupos de extremos de interceptación.

Antes de comenzar

• Habilita la API de Compute Engine en tu proyecto de Google Cloud .

• Habilita la API de Network Security en tu proyecto Google Cloud .

• Instala la CLI de gcloud

• Crea una red de VPC y una subred.

• Crea un grupo de extremos de intercepción.

Funciones

Para crear, ver o borrar asociaciones de grupos de extremos de interceptación, pídele a tu administrador que te otorgue los roles de Identity and Access Management (IAM) necesarios en tu proyecto. Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

Para verificar el progreso de las operaciones que se indican en esta página, asegúrate de que tu rol de usuario tenga los siguientes roles y permisos de administrador de extremos de interceptación (roles/networksecurity.interceptEndpointAdmin):

• networksecurity.interceptEndpointGroupAssociations.create
• networksecurity.interceptEndpointGroupAssociations.delete
• networksecurity.interceptEndpointGroupAssociations.update
• networksecurity.interceptEndpointGroupAssociations.get
• networksecurity.interceptEndpointGroupAssociations.list
• networksecurity.interceptEndpointGroups.use
• compute.networks.use

Crea una asociación de grupo de extremos de interceptación

Puedes asociar una o más redes de VPC a un solo grupo de extremos de interceptación.

En la sección Crea y administra el grupo de extremos de intercepción, creaste un grupo de extremos de intercepción para controlar el tráfico interceptado. Sin embargo, también debes especificar el tráfico de qué VPCs se puede inspeccionar. Para ello, crea una asociación de grupo de extremos de interceptación a nivel del proyecto.

Debes crear la asociación del grupo de extremos de interceptación en el mismo proyecto que la red de VPC.

Permisos necesarios para esta tarea

Para realizar esta tarea, debes tener los siguientes permisos o uno de los siguientes roles de IAM en tu proyecto.

Permisos

• networksecurity.interceptEndpointGroupAssociations.create
• networksecurity.interceptEndpointGroups.use
• compute.networks.use

Funciones

• Rol de administrador de extremos de interceptación (networksecurity.interceptEndpointAdmin)

Console

1. En la consola de Google Cloud , ve a la página Grupos de extremos.

   Ir a Grupos de extremos

2. Haz clic en el nombre del grupo de extremos.

3. En la sección Asociaciones, haz clic en Crear.

4. En el panel Crear asociaciones, haz clic en Agregar asociación del grupo de extremos.

5. En Proyecto y Red, selecciona el proyecto y la red de VPC que aloja el grupo de implementación de la interceptación.

   Nota: Asegúrate de que la red de VPC que asocies con el grupo de extremos no sea la misma que la red del grupo de implementación.

6. Haz clic en Listo.

7. Haz clic en Crear.

gcloud

Para crear una asociación de grupo de extremos de interceptación, usa el comando gcloud network-security intercept-endpoint-group-associations create:

gcloud network-security intercept-endpoint-group-associations create ENDPOINT_GROUP_ASSOCIATION_ID \
    --location global \
    --network NETWORK \
    --no-async \
    --intercept-endpoint-group \
        projects/ENDPOINT_GROUP_PROJECT_ID/locations/global/interceptEndpointGroups/ENDPOINT_GROUP_ID

Reemplaza lo siguiente:

• ENDPOINT_GROUP_ASSOCIATION_ID: Es el ID de la asociación del grupo de extremos de interceptación.
• NETWORK: el nombre de la red
• ENDPOINT_GROUP_PROJECT_ID: Es el ID del proyecto deGoogle Cloud en el que creaste el grupo de extremos de interceptación.
• ENDPOINT_GROUP_ID: Es el ID del grupo de extremos de interceptación.

Terraform

Para crear una asociación de grupo de extremos de interceptación, puedes usar un recurso google_network_security_intercept_endpoint_group_association.

resource "google_network_security_intercept_endpoint_group_association" "default" {
  intercept_endpoint_group_association_id = "intercept-endpoint-group-association"
  location                                = "global"
  network                                 = google_compute_network.consumer_network.id
  intercept_endpoint_group                = google_network_security_intercept_endpoint_group.default.id
}

Si deseas obtener más información para aplicar o quitar una configuración de Terraform, consulta los comandos básicos de Terraform.

Visualiza los detalles de una asociación de extremo de interceptación

Puedes ver los detalles de una asociación de grupo de extremos de interceptación, incluidos su nombre, grupo de extremos de interceptación, ubicación y red.

También puedes ver los detalles de la asociación del grupo de extremos de interceptación en la pestaña Grupos de extremos de la página de detalles de la red de VPC.

Permisos necesarios para esta tarea

Para realizar esta tarea, debes tener los siguientes permisos o uno de los siguientes roles de IAM en tu proyecto.

Permisos

• networksecurity.interceptEndpointgroupAssociations.get

Funciones

• Rol de administrador de extremos de interceptación (networksecurity.interceptEndpointAdmin)
• Rol de visualizador de extremos de intercepción (networksecurity.interceptEndpointViewer)

Console

1. En la consola de Google Cloud , ve a la página Grupos de extremos.

   Ir a Grupos de extremos

2. Haz clic en el nombre del grupo de extremos de interceptación. En la sección Asociaciones, se enumeran los detalles de las asociaciones de extremos de interceptación.

gcloud

Para ver una asociación de grupo de extremos de interceptación, usa el comando gcloud network-security intercept-endpoint-group-associations describe:

gcloud network-security intercept-endpoint-group-associations describe ENDPOINT_GROUP_ASSOCIATION_ID \
    --location global

Reemplaza ENDPOINT_GROUP_ASSOCIATION_ID por el ID de la asociación del grupo de extremos de interceptación.

En el resultado, el nombre de la asociación del extremo de interceptación se muestra en el formato projects/PROJECT_ID/locations/global/interceptEndpointGroupAssociations/ENDPOINT_GROUP_ASSOCIATION_ID.

Enumera las asociaciones del grupo de extremos de intercepción

Puedes enumerar todas las asociaciones de grupos de extremos de interceptores en un proyecto, incluidos sus IDs.

Permisos necesarios para esta tarea

Para realizar esta tarea, debes tener los siguientes permisos o uno de los siguientes roles de IAM en tu proyecto.

Permisos

• networksecurity.interceptEndpointgroupAssociations.list

Funciones

• Rol de administrador de extremos de interceptación (networksecurity.interceptEndpointAdmin)
• Rol de visualizador de extremos de intercepción (networksecurity.interceptEndpointViewer)

Console

1. En la consola de Google Cloud , ve a la página Grupos de extremos.

   Ir a Grupos de extremos

2. Haz clic en el nombre del grupo de extremos de interceptación. En la sección Asociaciones, se enumeran todas las asociaciones de extremos de intercepción del grupo de extremos de intercepción.

gcloud

Para enumerar todas las asociaciones de grupos de extremos de interceptación en un proyecto, usa el comando gcloud network-security intercept-endpoint-group-associations list:

gcloud network-security intercept-endpoint-group-associations list

Borra una asociación de grupo de extremos de intercepción

Puedes borrar una asociación de grupo de extremos de intercepción del grupo de implementación de intercepción.

Permisos necesarios para esta tarea

Para realizar esta tarea, debes tener los siguientes permisos o uno de los siguientes roles de IAM en tu proyecto.

Permisos

• networksecurity.interceptEndpointgroupAssociations.delete

Funciones

• Rol de administrador de extremos de interceptación (networksecurity.interceptEndpointAdmin)

Console

1. En la consola de Google Cloud , ve a la página Grupos de extremos.

   Ir a Grupos de extremos

2. Haz clic en el nombre del grupo de extremos de interceptación.

3. En la sección Asociaciones, selecciona la asociación del extremo de interceptación que deseas borrar.

4. Haz clic en Borrar.

5. Haz clic en Borrar nuevamente para confirmar.

gcloud

Para borrar una asociación de grupo de extremos de interceptación, usa el comando gcloud network-security intercept-endpoint-group-associations delete:

gcloud network-security intercept-endpoint-group-associations delete ENDPOINT_GROUP_ASSOCIATION_ID \
    --no-async \
    --location global

Reemplaza ENDPOINT_GROUP_ASSOCIATION_ID por el ID de la asociación del grupo de extremos de interceptación.