Criar e gerenciar implantações de interceptação

Uma implantação de interceptação é um recurso zonal que faz referência à regra de encaminhamento de um balanceador de carga de rede de passagem interna cujos back-ends são VMs de inspeção de pacotes. Uma implantação de interceptação representa a oferta de serviço de inspeção do produtor para uma zona.

Esta página descreve como criar e gerenciar implantações de interceptação.

Antes de começar

• Ative a API Network Security no projeto.
• Instale a gcloud CLI.
• Crie um grupo de implantação de interceptação.
• Verifique se você tem uma regra de encaminhamento que direciona o tráfego de rede para o balanceador de carga de rede de passagem interna, cujos back-ends fornecem inspeção de pacotes. Para mais informações, consulte Configurar serviços de produtor.

Papéis

Para criar, visualizar ou excluir implantações de interceptação, o principal do Identity and Access Management (IAM) precisa ter as funções do IAM necessárias no projeto. Para mais informações, consulte Gerenciar o acesso a projetos, pastas e organizações.

Para verificar o progresso das operações listadas nesta página, seu principal do IAM precisa ter as seguintes permissões do papel Administrador de implantação de interceptação (roles/networksecurity.interceptDeploymentAdmin):

• networksecurity.interceptDeployments.create
• networksecurity.interceptDeployments.delete
• networksecurity.interceptDeployments.get
• networksecurity.interceptDeployments.list

Criar uma implantação de interceptação

Crie uma implantação de interceptação para representar os recursos de computação do produtor em uma zona e associe-a a um grupo de implantação de interceptação.

É possível criar as implantações de interceptação no mesmo projeto que contém o grupo de implantação de interceptação principal. Recomendamos que você crie a implantação de interceptação em um projeto de propriedade do administrador de segurança.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões OU um dos papéis do IAM a seguir na sua organização.

Permissões

• networksecurity.interceptDeployments.create

Papéis

• Papel de administrador de implantação do Intercept (networksecurity.interceptDeploymentAdmin)

Console

1. No console do Google Cloud , acesse a página Grupos de implantação.

   Acessar grupos de implantação

2. Clique no grupo de implantação em que você quer adicionar a implantação de interceptação.

3. Clique em Criar implantação de interceptação.

4. Em Nome, insira um nome para a implantação de interceptação.

5. Em Região e Zona, selecione sua região e zona.

6. Em Balanceador de carga interno, selecione o balanceador de carga de rede de passagem interna.

7. Em Regra de encaminhamento, selecione a regra de encaminhamento UDP do balanceador de carga. Se o balanceador de carga tiver apenas uma regra de encaminhamento, ele será selecionado por padrão, e o campo será desativado.

   Observação: a rede VPC da regra de encaminhamento precisa corresponder à rede do grupo de implantação de interceptação.

8. Clique em Criar.

gcloud

Para criar uma implantação de interceptação, use o comando gcloud network-security intercept-deployments create:

gcloud network-security intercept-deployments create DEPLOYMENT_ID \
    --location ZONE \
    --forwarding-rule FWD_RULE \
    --forwarding-rule-location REGION \
    --no-async \
    --intercept-deployment-group \
        projects/PROJECT_ID/locations/global/interceptDeploymentGroups/DEPLOYMENT_GROUP_ID

Substitua:

• DEPLOYMENT_ID: o ID da implantação de interceptação.
• ZONE: a zona em que você quer criar a implantação de interceptação.
• FWD_RULE: a regra de encaminhamento de um balanceador de carga de rede de passagem interna na mesma região que a zona da implantação de interceptação.
• REGION: a região que contém a zona da implantação de interceptação.
• PROJECT_ID: o ID do projeto Google Cloud .
• DEPLOYMENT_GROUP_ID: o ID do grupo de implantação de interceptação.

Terraform

Para criar uma implantação de interceptação, use um recurso google_network_security_intercept_deployment.

resource "google_network_security_intercept_deployment" "default" {
  intercept_deployment_id    = "intercept-deployment"
  location                   = "us-central1-a"
  forwarding_rule            = google_compute_forwarding_rule.default.id
  intercept_deployment_group = google_network_security_intercept_deployment_group.default.id
}

Para saber como aplicar ou remover uma configuração do Terraform, consulte Comandos básicos do Terraform.

Ver detalhes de uma implantação de interceptação

É possível conferir os detalhes de uma implantação de interceptação, incluindo o nome, a regra de encaminhamento e o local.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões abaixo ou um dos papéis do IAM a seguir no seu projeto.

Permissões

• networksecurity.interceptDeployments.get

Papéis

• Papel de administrador de implantação do Intercept (networksecurity.interceptDeploymentAdmin)
• Papel Leitor de implantação de interceptação (networksecurity.interceptDeploymentViewer)

Console

1. No console do Google Cloud , acesse a página Grupos de implantação.

   Acessar grupos de implantação

2. Clique no nome do grupo de implantação.

3. Clique no nome da implantação.

gcloud

Para conferir os detalhes de uma implantação de interceptação, use o comando gcloud network-security intercept-deployments describe:

gcloud network-security intercept-deployments describe DEPLOYMENT_ID \
    --location ZONE

Substitua:

• DEPLOYMENT_ID: o ID da implantação de interceptação.
• ZONE: a zona da implantação de interceptação.

Na saída, o nome da implantação de interceptação é exibido no formato projects/PROJECT_ID/locations/ZONE/interceptDeployments/DEPLOYMENT_ID.

Listar implantações de interceptação

É possível listar todas as implantações de interceptação em um projeto, incluindo IDs e locais.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões OU um dos papéis do IAM a seguir na sua organização.

Permissões

• networksecurity.interceptDeployments.list

Papéis

• Papel de administrador de implantação do Intercept (networksecurity.interceptDeploymentAdmin)
• Papel Leitor de implantação de interceptação (networksecurity.interceptDeploymentViewer)

Console

1. No console do Google Cloud , acesse a página Grupos de implantação.

   Acessar grupos de implantação

2. Clique no nome do grupo de implantação.

gcloud

Para listar as implantações de interceptação, use o comando gcloud network-security intercept-deployments list:

gcloud network-security intercept-deployments list \
    [--location ZONE]

Para ver implantações de interceptação em uma zona específica, substitua ZONE pela zona das implantações de interceptação. Essa configuração é opcional.

Excluir uma implantação de interceptação

É possível excluir uma implantação de interceptação se ela não for referenciada por nenhum grupo de implantação de interceptação.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões OU um dos papéis do IAM a seguir na sua organização.

Permissões

• networksecurity.interceptDeployments.delete

Papéis

• Papel de administrador de implantação do Intercept (networksecurity.interceptDeploymentAdmin)

Console

1. No console do Google Cloud , acesse a página Grupos de implantação.

   Acessar grupos de implantação

2. Clique no nome do grupo de implantação de interceptação.

3. Marque a caixa de seleção da implantação de interceptação e clique em Excluir.

4. Clique em Excluir novamente para confirmar.

gcloud

Para excluir uma implantação de interceptação, use o comando gcloud network-security intercept-deployments delete:

gcloud network-security intercept-deployments delete DEPLOYMENT_ID \
    --no-async \
    --location ZONE

Substitua:

• DEPLOYMENT_ID: o ID da implantação de interceptação.
• ZONE: a zona da implantação de interceptação.