Creare e gestire i deployment di intercettazione

Un deployment di intercettazione è una risorsa di zona che fa riferimento alla regola di forwarding di un bilanciatore del carico di rete passthrough interno i cui backend sono VM di ispezione dei pacchetti. Un deployment di intercettazione rappresenta l'offerta di servizi di ispezione del producer per una zona.

Questa pagina descrive come creare e gestire i deployment di intercettazione.

Prima di iniziare

• Abilita l' API Network Security nel tuo progetto.
• Installa la gcloud CLI.
• Crea un gruppo di deployment di intercettazione.
• Assicurati di avere una regola di forwarding che indirizzi il traffico di rete al bilanciatore del carico di rete passthrough interno i cui backend forniscono l'ispezione dei pacchetti. Per saperne di più, consulta Configurare i servizi del producer.

Ruoli

Per creare, visualizzare o eliminare i deployment di intercettazione, l'entità Identity and Access Management (IAM) deve disporre dei ruoli IAM necessari per il progetto. Per saperne di più, consulta Gestire l'accesso a progetti, cartelle, e organizzazioni.

Per controllare l'avanzamento delle operazioni elencate in questa pagina, l'entità IAM deve disporre delle seguenti autorizzazioni del ruolo Amministratore deployment di intercettazione (roles/networksecurity.interceptDeploymentAdmin):

• networksecurity.interceptDeployments.create
• networksecurity.interceptDeployments.delete
• networksecurity.interceptDeployments.get
• networksecurity.interceptDeployments.list

Creare un deployment di intercettazione

Crea un deployment di intercettazione per rappresentare le risorse di calcolo del producer all'interno di una zona e associarlo a un gruppo di deployment di intercettazione esistente.

Puoi creare i deployment di intercettazione nello stesso progetto che contiene il gruppo di deployment di intercettazione principale. Ti consigliamo di creare il deployment di intercettazione in un progetto di proprietà dell'amministratore della sicurezza.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM nella tua organizzazione.

Autorizzazioni

• networksecurity.interceptDeployments.create

Ruoli

• Ruolo Amministratore deployment di intercettazione (networksecurity.interceptDeploymentAdmin)

Console

1. Nellaconsole, vai alla pagina Gruppi di deployment. Google Cloud

   Vai a Gruppi di deployment

2. Fai clic sul gruppo di deployment a cui vuoi aggiungere il deployment di intercettazione.

3. Fai clic su Crea deployment di intercettazione.

4. In Nome, inserisci un nome per il deployment di intercettazione.

5. In Regione e Zona, seleziona la regione e la zona.

6. In Bilanciatore del carico interno, seleziona il bilanciatore del carico di rete passthrough interno.

7. In Regola di forwarding, seleziona la regola di forwarding UDP del bilanciatore del carico. Se il bilanciatore del carico ha una sola regola di forwarding, questa viene selezionata per impostazione predefinita e il campo è disattivato.

   Nota: la rete VPC della regola di forwarding deve corrispondere alla rete del gruppo di deployment di intercettazione.

8. Fai clic su Crea.

gcloud

Per creare un deployment di intercettazione, utilizza il gcloud network-security intercept-deployments create comando:

gcloud network-security intercept-deployments create DEPLOYMENT_ID \
    --location ZONE \
    --forwarding-rule FWD_RULE \
    --forwarding-rule-location REGION \
    --no-async \
    --intercept-deployment-group \
        projects/PROJECT_ID/locations/global/interceptDeploymentGroups/DEPLOYMENT_GROUP_ID

Sostituisci quanto segue:

• DEPLOYMENT_ID: l'ID del deployment di intercettazione.
• ZONE: la zona in cui vuoi creare il deployment di intercettazione.
• FWD_RULE: la regola di forwarding di un bilanciatore del carico di rete passthrough interno nella stessa regione della zona del deployment di intercettazione.
• REGION: la regione che contiene la zona del deployment di intercettazione.
• PROJECT_ID: l'ID del Google Cloud progetto.
• DEPLOYMENT_GROUP_ID: l'ID del gruppo di deployment di intercettazione.

Terraform

Per creare un deployment di intercettazione, puoi utilizzare una google_network_security_intercept_deployment risorsa.

resource "google_network_security_intercept_deployment" "default" {
  intercept_deployment_id    = "intercept-deployment"
  location                   = "us-central1-a"
  forwarding_rule            = google_compute_forwarding_rule.default.id
  intercept_deployment_group = google_network_security_intercept_deployment_group.default.id
}

Per scoprire come applicare o rimuovere una configurazione Terraform, consulta Comandi Terraform di base.

Visualizzare i dettagli di un deployment di intercettazione

Puoi visualizzare i dettagli di un deployment di intercettazione, inclusi il nome, la regola di forwarding e la località.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM nel tuo progetto.

Autorizzazioni

• networksecurity.interceptDeployments.get

Ruoli

• Ruolo Amministratore deployment di intercettazione (networksecurity.interceptDeploymentAdmin)
• Ruolo Visualizzatore deployment di intercettazione (networksecurity.interceptDeploymentViewer)

Console

1. Nellaconsole, vai alla pagina Gruppi di deployment. Google Cloud

   Vai a Gruppi di deployment

2. Fai clic sul nome del gruppo di deployment.

3. Fai clic sul nome del deployment.

gcloud

Per visualizzare i dettagli di un deployment di intercettazione, utilizza il gcloud network-security intercept-deployments describe comando:

gcloud network-security intercept-deployments describe DEPLOYMENT_ID \
    --location ZONE

Sostituisci quanto segue:

• DEPLOYMENT_ID: l'ID del deployment di intercettazione.
• ZONE: la zona del deployment di intercettazione.

Nell'output, il nome del deployment di intercettazione viene visualizzato nel projects/PROJECT_ID/locations/ZONE/interceptDeployments/DEPLOYMENT_ID formato.

Elencare i deployment di intercettazione

Puoi elencare tutti i deployment di intercettazione in un progetto, inclusi i relativi ID e località.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM nella tua organizzazione.

Autorizzazioni

• networksecurity.interceptDeployments.list

Ruoli

• Ruolo Amministratore deployment di intercettazione (networksecurity.interceptDeploymentAdmin)
• Ruolo Visualizzatore deployment di intercettazione (networksecurity.interceptDeploymentViewer)

Console

1. Nellaconsole, vai alla pagina Gruppi di deployment. Google Cloud

   Vai a Gruppi di deployment

2. Fai clic sul nome del gruppo di deployment.

gcloud

Per elencare i deployment di intercettazione, utilizza il gcloud network-security intercept-deployments list comando:

gcloud network-security intercept-deployments list \
    [--location ZONE]

Per visualizzare i deployment di intercettazione in una zona specifica, sostituisci ZONE con la zona dei deployment di intercettazione. Questa impostazione è facoltativa.

Eliminare un deployment di intercettazione

Puoi eliminare un deployment di intercettazione se non viene fatto riferimento a nessun gruppo di deployment di intercettazione.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM nella tua organizzazione.

Autorizzazioni

• networksecurity.interceptDeployments.delete

Ruoli

• Ruolo Amministratore deployment di intercettazione (networksecurity.interceptDeploymentAdmin)

Console

1. Nellaconsole, vai alla pagina Gruppi di deployment. Google Cloud

   Vai a Gruppi di deployment

2. Fai clic sul nome del gruppo di deployment di intercettazione.

3. Seleziona la casella di controllo del deployment di intercettazione e fai clic su Elimina.

4. Fai di nuovo clic su Elimina per confermare.

gcloud

Per eliminare un deployment di intercettazione, utilizza il gcloud network-security intercept-deployments delete comando:

gcloud network-security intercept-deployments delete DEPLOYMENT_ID \
    --no-async \
    --location ZONE

Sostituisci quanto segue:

• DEPLOYMENT_ID: l'ID del deployment di intercettazione.
• ZONE: la zona del deployment di intercettazione.