Crea y administra implementaciones de intercepción

Una implementación de interceptación es un recurso zonal que hace referencia a la regla de reenvío de un balanceador de cargas de red de transferencia interno cuyos backends son VMs de inspección de paquetes. Una implementación de intercepción representa la oferta de servicio de inspección del productor para una zona.

En esta página, se describe cómo crear y administrar implementaciones de interceptores.

Antes de comenzar

• Habilita la API de Network Security en tu proyecto.
• Instala la CLI de gcloud
• Crea un grupo de implementación de intercepción.
• Asegúrate de tener una regla de reenvío que dirija el tráfico de red al balanceador de cargas de red de transferencia interno cuyos backends proporcionan inspección de paquetes. Para obtener más información, consulta Cómo configurar servicios de productores.

Funciones

Para crear, ver o borrar implementaciones de interceptores, tu principal de Identity and Access Management (IAM) debe tener los roles de IAM necesarios en tu proyecto. Para obtener más información, consulta Administra el acceso a proyectos, carpetas y organizaciones.

Para verificar el progreso de las operaciones enumeradas en esta página, tu principal de IAM debe tener los siguientes permisos del rol de administrador de interceptación de la implementación (roles/networksecurity.interceptDeploymentAdmin):

• networksecurity.interceptDeployments.create
• networksecurity.interceptDeployments.delete
• networksecurity.interceptDeployments.get
• networksecurity.interceptDeployments.list

Crea una implementación de intercepción

Crea una implementación de intercepción para representar los recursos de procesamiento del productor en una zona y asóciala a un grupo de implementación de intercepción existente.

Puedes crear las implementaciones de intercepción en el mismo proyecto que contiene el grupo de implementación de intercepción principal. Te recomendamos que crees la implementación de la interceptación en un proyecto que sea propiedad de tu administrador de seguridad.

Permisos necesarios para esta tarea

Para realizar esta tarea, debes tener los siguientes permisos o uno de los siguientes roles de IAM en el recurso.

Permisos

• networksecurity.interceptDeployments.create

Funciones

• Rol de Intercept Deployment Admin (networksecurity.interceptDeploymentAdmin)

Console

1. En la consola de Google Cloud , ve a la página Grupos de implementación.

   Ir a Deployment implementación

2. Haz clic en el grupo de implementación en el que deseas agregar la implementación de la interceptación.

3. Haz clic en Crear implementación de intercepción.

4. En Nombre, ingresa un nombre para la implementación de la interceptación.

5. En Región y Zona, selecciona tu región y zona.

6. En Balanceador de cargas interno, selecciona el balanceador de cargas de red de transferencia interno.

7. En Regla de reenvío, selecciona la regla de reenvío de UDP del balanceador de cargas. Si el balanceador de cargas tiene solo una regla de reenvío, se selecciona de forma predeterminada y el campo se inhabilita.

   Nota: La red de VPC de la regla de reenvío debe coincidir con la red del grupo de implementación de la interceptación.

8. Haz clic en Crear.

gcloud

Para crear una implementación de interceptación, usa el comando gcloud network-security intercept-deployments create:

gcloud network-security intercept-deployments create DEPLOYMENT_ID \
    --location ZONE \
    --forwarding-rule FWD_RULE \
    --forwarding-rule-location REGION \
    --no-async \
    --intercept-deployment-group \
        projects/PROJECT_ID/locations/global/interceptDeploymentGroups/DEPLOYMENT_GROUP_ID

Reemplaza lo siguiente:

• DEPLOYMENT_ID: Es el ID de la implementación de la interceptación.
• ZONE: Es la zona en la que deseas crear la implementación de la interceptación.
• FWD_RULE: Es la regla de reenvío de un balanceador de cargas de red de transferencia interno en la misma región que la zona de la implementación de la interceptación.
• REGION: Es la región que contiene la zona de la implementación de la interceptación.
• PROJECT_ID: Es el ID del proyecto de Google Cloud .
• DEPLOYMENT_GROUP_ID: Es el ID del grupo de implementación de la interceptación.

Terraform

Para crear una implementación de interceptor, puedes usar un recurso google_network_security_intercept_deployment.

resource "google_network_security_intercept_deployment" "default" {
  intercept_deployment_id    = "intercept-deployment"
  location                   = "us-central1-a"
  forwarding_rule            = google_compute_forwarding_rule.default.id
  intercept_deployment_group = google_network_security_intercept_deployment_group.default.id
}

Si deseas obtener más información para aplicar o quitar una configuración de Terraform, consulta los comandos básicos de Terraform.

Consulta los detalles de una implementación de intercepción

Puedes ver los detalles de una implementación de interceptación, incluidos su nombre, su regla de reenvío y su ubicación.

Permisos necesarios para esta tarea

Para realizar esta tarea, debes tener los siguientes permisos o uno de los siguientes roles de IAM en tu proyecto.

Permisos

• networksecurity.interceptDeployments.get

Funciones

• Rol de Intercept Deployment Admin (networksecurity.interceptDeploymentAdmin)
• Rol de visualizador de implementación de intercepción (networksecurity.interceptDeploymentViewer)

Console

1. En la consola de Google Cloud , ve a la página Grupos de implementación.

   Ir a Deployment implementación

2. Haz clic en el nombre del grupo de implementación.

3. Haz clic en el nombre de la implementación.

gcloud

Para ver los detalles de una implementación de interceptación, usa el comando gcloud network-security intercept-deployments describe:

gcloud network-security intercept-deployments describe DEPLOYMENT_ID \
    --location ZONE

Reemplaza lo siguiente:

• DEPLOYMENT_ID: Es el ID de la implementación de la interceptación.
• ZONE: Es la zona de la implementación de la interceptación.

En el resultado, el nombre de la implementación de la interceptación se muestra en el formato projects/PROJECT_ID/locations/ZONE/interceptDeployments/DEPLOYMENT_ID.

Enumera las implementaciones de intercepción

Puedes enumerar todas las implementaciones de interceptores en un proyecto, incluidos sus IDs y ubicaciones.

Permisos necesarios para esta tarea

Para realizar esta tarea, debes tener los siguientes permisos o uno de los siguientes roles de IAM en el recurso.

Permisos

• networksecurity.interceptDeployments.list

Funciones

• Rol de Intercept Deployment Admin (networksecurity.interceptDeploymentAdmin)
• Rol de visualizador de implementación de intercepción (networksecurity.interceptDeploymentViewer)

Console

1. En la consola de Google Cloud , ve a la página Grupos de implementación.

   Ir a Deployment implementación

2. Haz clic en el nombre del grupo de implementación.

gcloud

Para enumerar las implementaciones de interceptores, usa el comando gcloud network-security intercept-deployments list:

gcloud network-security intercept-deployments list \
    [--location ZONE]

Para ver las implementaciones de interceptores en una zona específica, reemplaza ZONE por la zona de las implementaciones de interceptores. Este parámetro de configuración es opcional

Borra una implementación de intercepción

Puedes borrar una implementación de intercepción si ningún grupo de implementación de intercepción hace referencia a ella.

Permisos necesarios para esta tarea

Para realizar esta tarea, debes tener los siguientes permisos o uno de los siguientes roles de IAM en el recurso.

Permisos

• networksecurity.interceptDeployments.delete

Funciones

• Rol de Intercept Deployment Admin (networksecurity.interceptDeploymentAdmin)

Console

1. En la consola de Google Cloud , ve a la página Grupos de implementación.

   Ir a Deployment implementación

2. Haz clic en el nombre del grupo de implementación de intercepción.

3. Selecciona la casilla de verificación de la implementación de la intercepción y haz clic en Borrar.

4. Haga clic en Borrar nuevamente para confirmar.

gcloud

Para borrar una implementación de interceptación, usa el comando gcloud network-security intercept-deployments delete:

gcloud network-security intercept-deployments delete DEPLOYMENT_ID \
    --no-async \
    --location ZONE

Reemplaza lo siguiente:

• DEPLOYMENT_ID: Es el ID de la implementación de la interceptación.
• ZONE: Es la zona de la implementación de la interceptación.