Créer et gérer des déploiements d'interception

Un déploiement d'interception est une ressource zonale qui fait référence à la règle de transfert d'un équilibreur de charge réseau passthrough interne dont les backends sont des VM d'inspection de paquets. Un déploiement d'interception représente l'offre de service d'inspection du producteur pour une zone.

Cette page explique comment créer et gérer des déploiements d'interception.

Avant de commencer

• Activez the l'API Network Security in votre projet.
• Installer gcloud CLI.
• Créez un groupe de déploiement d'interception.
• Assurez-vous de disposer d'une règle de transfert qui dirige le trafic réseau vers l'équilibreur de charge réseau passthrough interne dont les backends fournissent l'inspection des paquets. Pour en savoir plus, consultez Configurer des services de producteur.

Rôles

Pour créer, afficher ou supprimer des déploiements d'interception, votre compte principal Identity and Access Management (IAM) doit disposer des rôles IAM nécessaires dans votre projet. Pour en savoir plus, consultez Gérer l'accès aux projets, aux dossiers, et aux organisations.

Pour vérifier la progression des opérations listées sur cette page, votre compte principal IAM doit disposer des autorisations suivantes du rôle Administrateur de déploiement d'interception (roles/networksecurity.interceptDeploymentAdmin) :

• networksecurity.interceptDeployments.create
• networksecurity.interceptDeployments.delete
• networksecurity.interceptDeployments.get
• networksecurity.interceptDeployments.list

Créer un déploiement d'interception

Créez un déploiement d'interception pour représenter les ressources de calcul du producteur dans une zone et l'associer à un groupe de déploiement d'interception existant.

Vous pouvez créer les déploiements d'interception dans le même projet que celui qui contient le groupe de déploiement d'interception parent. Nous vous recommandons de créer le déploiement d'interception dans un projet appartenant à votre administrateur de la sécurité.

Autorisations requises pour cette tâche

Pour effectuer cette tâche, vous devez disposer des autorisations suivantes ou détenir l'un des rôles IAM suivants sur votre organisation.

Autorisations

• networksecurity.interceptDeployments.create

Rôles

• Rôle Administrateur de déploiement d'interception (networksecurity.interceptDeploymentAdmin)

Console

1. Dans la Google Cloud console, accédez à la page Deployment groups (Groupes de déploiement).

   Accéder aux groupes de déploiement

2. Cliquez sur le groupe de déploiement auquel vous souhaitez ajouter le déploiement d'interception.

3. Cliquez sur Create intercept deployment (Créer un déploiement d'interception).

4. Dans le champ Name (Nom), saisissez un nom pour le déploiement d'interception.

5. Dans les champs Region (Région) et Zone, sélectionnez votre région et votre zone.

6. Dans le champ Internal load balancer (Équilibreur de charge interne), sélectionnez l'équilibreur de charge réseau passthrough interne.

7. Dans le champ Forwarding rule (Règle de transfert), sélectionnez la règle de transfert UDP de l'équilibreur de charge. Si l'équilibreur de charge ne comporte qu'une seule règle de transfert, elle est sélectionnée par défaut et le champ est désactivé.

   Remarque : Le réseau VPC de la règle de transfert doit correspondre au réseau du groupe de déploiement d'interception.

8. Cliquez sur Create (Créer).

gcloud

Pour créer un déploiement d'interception, utilisez la gcloud network-security intercept-deployments create commande :

gcloud network-security intercept-deployments create DEPLOYMENT_ID \
    --location ZONE \
    --forwarding-rule FWD_RULE \
    --forwarding-rule-location REGION \
    --no-async \
    --intercept-deployment-group \
        projects/PROJECT_ID/locations/global/interceptDeploymentGroups/DEPLOYMENT_GROUP_ID

Remplacez les éléments suivants :

• DEPLOYMENT_ID : ID du déploiement d'interception.
• ZONE: zone dans laquelle vous souhaitez créer le déploiement d'interception.
• FWD_RULE: règle de transfert d'un équilibreur de charge réseau passthrough interne dans la même région que la zone du déploiement d'interception.
• REGION: région contenant la zone du déploiement d'interception.
• PROJECT_ID : ID du Google Cloud projet.
• DEPLOYMENT_GROUP_ID : ID du groupe de déploiement d'interception.

Terraform

Pour créer un déploiement d'interception, vous pouvez utiliser une google_network_security_intercept_deployment ressource.

resource "google_network_security_intercept_deployment" "default" {
  intercept_deployment_id    = "intercept-deployment"
  location                   = "us-central1-a"
  forwarding_rule            = google_compute_forwarding_rule.default.id
  intercept_deployment_group = google_network_security_intercept_deployment_group.default.id
}

Pour savoir comment appliquer ou supprimer une configuration Terraform, consultez la page Commandes Terraform de base.

Afficher les détails d'un déploiement d'interception

Vous pouvez afficher les détails d'un déploiement d'interception, y compris son nom, sa règle de transfert et son emplacement.

Autorisations requises pour cette tâche

Pour effectuer cette tâche, vous devez disposer des autorisations suivantes ou détenir l'un des rôles IAM suivants sur votre projet.

Autorisations

• networksecurity.interceptDeployments.get

Rôles

• Rôle Administrateur de déploiement d'interception (networksecurity.interceptDeploymentAdmin)
• Rôle Lecteur de déploiement d'interception (networksecurity.interceptDeploymentViewer)

Console

1. Dans la Google Cloud console, accédez à la page Deployment groups (Groupes de déploiement).

   Accéder aux groupes de déploiement

2. Cliquez sur le nom du groupe de déploiement.

3. Cliquez sur le nom du déploiement.

gcloud

Pour afficher les détails d'un déploiement d'interception, utilisez la gcloud network-security intercept-deployments describe commande :

gcloud network-security intercept-deployments describe DEPLOYMENT_ID \
    --location ZONE

Remplacez les éléments suivants :

• DEPLOYMENT_ID : ID du déploiement d'interception.
• ZONE : zone du déploiement d'interception.

Dans le résultat, le nom du déploiement d'interception s'affiche au projects/PROJECT_ID/locations/ZONE/interceptDeployments/DEPLOYMENT_ID format.

Répertorier les déploiements d'interception

Vous pouvez répertorier tous les déploiements d'interception d'un projet, y compris leurs ID et leurs emplacements.

Autorisations requises pour cette tâche

Pour effectuer cette tâche, vous devez disposer des autorisations suivantes ou détenir l'un des rôles IAM suivants sur votre organisation.

Autorisations

• networksecurity.interceptDeployments.list

Rôles

• Rôle Administrateur de déploiement d'interception (networksecurity.interceptDeploymentAdmin)
• Rôle Lecteur de déploiement d'interception (networksecurity.interceptDeploymentViewer)

Console

1. Dans la Google Cloud console, accédez à la page Deployment groups (Groupes de déploiement).

   Accéder aux groupes de déploiement

2. Cliquez sur le nom du groupe de déploiement.

gcloud

Pour répertorier les déploiements d'interception, utilisez la gcloud network-security intercept-deployments list commande :

gcloud network-security intercept-deployments list \
    [--location ZONE]

Pour afficher les déploiements d'interception dans une zone spécifique, remplacez ZONE par la zone des déploiements d'interception. Ce paramètre est facultatif.

Supprimer un déploiement d'interception

Vous pouvez supprimer un déploiement d'interception s'il n'est référencé par aucun groupe de déploiement d'interception.

Autorisations requises pour cette tâche

Pour effectuer cette tâche, vous devez disposer des autorisations suivantes ou détenir l'un des rôles IAM suivants sur votre organisation.

Autorisations

• networksecurity.interceptDeployments.delete

Rôles

• Rôle Administrateur de déploiement d'interception (networksecurity.interceptDeploymentAdmin)

Console

1. Dans la Google Cloud console, accédez à la page Deployment groups (Groupes de déploiement).

   Accéder aux groupes de déploiement

2. Cliquez sur le nom du groupe de déploiement d'interception.

3. Cochez la case du déploiement d'interception, puis cliquez sur Delete (Supprimer).

4. Cliquez à nouveau sur Delete (Supprimer) pour confirmer votre choix.

gcloud

Pour supprimer un déploiement d'interception, utilisez la gcloud network-security intercept-deployments delete commande :

gcloud network-security intercept-deployments delete DEPLOYMENT_ID \
    --no-async \
    --location ZONE

Remplacez les éléments suivants :

• DEPLOYMENT_ID : ID du déploiement d'interception.
• ZONE : zone du déploiement d'interception.