创建和管理拦截端点组

拦截端点 组 是一种全球性资源，您可以在组织中跨 不同项目将其与多个 VPC 网络搭配使用。您需要创建拦截端点组 以允许使用方访问提供方的拦截部署 组。 每个拦截端点组都与一个拦截部署组相关联。

本页面介绍如何创建和管理拦截端点组。

准备工作

• 启用 Google Cloud 项目中的 Compute Engine API。

• 启用 Network Security API 在要用于结算的 Google Cloud 项目中。

• 安装 gcloud CLI。

• 创建拦截部署 组。

角色

如需创建、查看或删除拦截端点组，请让您的管理员向您授予项目的必要 Identity and Access Management (IAM) 角色 Google Cloud 。如需详细了解如何授予角色，请参阅 管理对项目、文件夹和 组织的访问权限。

如需检查本页面上列出的操作的进度，请确保您的用户角色拥有 Intercept Endpoint Admin (roles/networksecurity.interceptEndpointAdmin) 和 Intercept Deployment User (roles/networksecurity.interceptDeploymentUser) 角色和权限。

提供方项目需要 Intercept Deployment User 角色 (roles/networksecurity.interceptDeploymentUser)，以便您可以将使用方的拦截端点组连接到提供方的拦截部署组。

创建拦截端点组

创建拦截端点组，并将其与提供方的拦截部署组相关联。

我们建议您在安全管理员拥有的项目中创建拦截端点组。

执行此任务所需的权限

如需执行此任务，您必须已被授予项目的以下权限或以下某个 IAM 角色。

权限

• networksecurity.interceptEndpointGroups.create
• networksecurity.interceptDeploymentGroups.use

角色

• Intercept Endpoint Admin 角色 (networksecurity.interceptEndpointAdmin)
• Intercept Deployment User 角色 (networksecurity.interceptDeploymentUser)，或者如果用户位于其他组织中，则为 Intercept Deployment External User 角色 (networksecurity.interceptDeploymentExternalUser)

控制台

1. 在 Google Cloud 控制台中，前往端点组页面。

   前往“端点组”页面

2. 点击创建端点组 。

3. 对于名称，请输入拦截端点组的名称。

4. 对于部署组，请选择以下任一选项：

   • 选择项目：如果您知道 拦截部署组所在的项目名称，请选择此选项。

   • 选择当前项目：如果拦截部署组 位于同一项目中，请选择此选项。

     如果您选择此选项，请指定拦截部署组的名称。

   • 手动输入部署组：如果拦截 部署组位于其他项目中，请选择此选项。

     如果您选择此选项，请指定项目 ID 和拦截部署组的名称。

5. 点击继续 。

6. 可选：点击添加端点组关联 。

   指定项目的名称和托管拦截部署组的 VPC 网络的名称，然后点击完成 。

   **注意**： 请确保与端点组关联的 VPC 网络与部署组网络不同。

7. 点击创建 。

gcloud

如需创建拦截端点组，请使用 gcloud network-security intercept-endpoint-groups create 命令：

gcloud network-security intercept-endpoint-groups create ENDPOINT_GROUP_ID \
    --location global \
    --no-async \
    --intercept-deployment-group \
        projects/DEPLOYMENT_GROUP_PROJECT_ID/locations/global/interceptDeploymentGroups/DEPLOYMENT_GROUP_ID

替换以下内容：

• ENDPOINT_GROUP_ID：拦截端点组的 ID。
• DEPLOYMENT_GROUP_PROJECT_ID：您在其中创建拦截部署组的 Google Cloud 项目的 ID。
• DEPLOYMENT_GROUP_ID：拦截部署组的 ID。

如需将拦截端点组与 VPC 网络关联， 请参阅创建和管理拦截端点组 关联。

Terraform

如需创建拦截端点组，您可以使用 google_network_security_intercept_endpoint_group 资源。

resource "google_network_security_intercept_endpoint_group" "default" {
  intercept_endpoint_group_id = "intercept-endpoint-group"
  location                    = "global"
  intercept_deployment_group  = google_network_security_intercept_deployment_group.default.id
}

如需了解如何应用或移除 Terraform 配置，请参阅 基本 Terraform 命令。

查看拦截端点组的详细信息

您可以查看拦截端点组的详细信息，例如其名称和拦截部署组。

执行此任务所需的权限

如需执行此任务，您必须已被授予项目的以下权限或以下某个 IAM 角色。

权限

• networksecurity.interceptEndpointgroups.get

角色

• Intercept Endpoint Admin 角色 (networksecurity.interceptEndpointAdmin)
• Intercept Endpoint Viewer 角色 (networksecurity.interceptEndpointViewer)

控制台

1. 在 Google Cloud 控制台中，前往端点组页面。

   前往“端点组”页面

2. 点击拦截端点组的名称。

gcloud

如需查看拦截端点组的详细信息，请使用 gcloud network-security intercept-endpoint-groups describe 命令：

gcloud network-security intercept-endpoint-groups describe ENDPOINT_GROUP_ID \
    --location global

将 ENDPOINT_GROUP_ID 替换为拦截端点组的 ID。

在输出中，拦截端点组的名称以 projects/PROJECT_ID/locations/global/interceptEndpointGroups/ENDPOINT_GROUP_ID 格式显示。

列出拦截端点组

您可以列出项目中的所有拦截端点组，包括其 ID。

执行此任务所需的权限

如需执行此任务，您必须已被授予项目的以下权限或以下某个 IAM 角色。

权限

• networksecurity.interceptEndpointGroups.list

角色

• Intercept Endpoint Admin 角色 (networksecurity.interceptEndpointAdmin)
• Intercept Endpoint Viewer 角色 (networksecurity.interceptEndpointViewer)
• Intercept Endpoint User 角色 (networksecurity.interceptEndpointUser)

控制台

如需查看项目的所有拦截端点组，请在 Google Cloud 控制台中前往 Endpoint groups 页面。

gcloud

如需列出所有拦截端点组，请使用 gcloud network-security intercept-endpoint-groups list 命令：

gcloud network-security intercept-endpoint-groups list \
    --location global

删除拦截端点组

在删除拦截端点组之前，请从所有 VPC 网络中移除其 拦截端点 组关联。

执行此任务所需的权限

如需执行此任务，您必须已被授予项目的以下权限或以下某个 IAM 角色。

权限

• networksecurity.interceptEndpointGroups.delete

角色

• Intercept Endpoint Admin 角色 (networksecurity.interceptEndpointAdmin)

控制台

1. 在 Google Cloud 控制台中，前往端点组页面。

   前往“端点组”页面

2. 选中拦截端点组的复选框，然后点击删除 。

3. 再次点击删除 进行确认。

gcloud

如需删除拦截端点组，请使用 gcloud network-security intercept-endpoint-groups delete 命令：

gcloud network-security intercept-endpoint-groups delete ENDPOINT_GROUP_ID
    --no-async \
    --location global

将以下 ENDPOINT_GROUP_ID 替换为拦截端点组的 ID。

后续步骤

• 创建和管理拦截端点组关联