Creare e gestire gruppi di profili di sicurezza

Questa pagina descrive come creare e gestire i gruppi di profili di sicurezza con un profilo di sicurezza di intercettazione personalizzato.

Prima di iniziare

• Abilita l' API Network Security nel tuo progetto.
• Installa la gcloud CLI.
• Crea un profilo di sicurezza di intercettazione personalizzato.

Ruoli

Per ottenere le autorizzazioni necessarie per creare, visualizzare, aggiornare o eliminare i gruppi di profili di sicurezza, chiedi all'amministratore di concederti i ruoli Identity and Access Management (IAM) richiesti nella tua organizzazione o nel tuo progetto. Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso a progetti, cartelle e organizzazioni.

Per controllare l'avanzamento delle operazioni elencate in questa pagina, assicurati che il tuo ruolo utente disponga delle seguenti autorizzazioni del ruolo Utente rete Compute (roles/compute.networkUser):

• networksecurity.operations.get
• networksecurity.operations.list

Creare un gruppo di profili di sicurezza

Puoi creare gruppi di profili di sicurezza a livello di organizzazione o progetto. Ti consigliamo di creare il gruppo di profili di sicurezza in un progetto di proprietà dell'amministratore della sicurezza.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM nella tua organizzazione o nel tuo progetto.

Autorizzazioni

• networksecurity.securityProfileGroups.create

Ruoli

• Ruolo Amministratore profili di sicurezza (networksecurity.securityProfileAdmin) a livello di organizzazione per i gruppi di profili di sicurezza a livello di organizzazione e a livello di progetto o organizzazione per i gruppi di profili di sicurezza a livello di progetto.

Console

Nota: se il tuo Google Cloud progetto si trova in una zona di residenza dei dati (DRZ) nel Regno dell'Arabia Saudita (KSA) o in India, non puoi visualizzare, elencare, creare, aggiornare o eliminare profili di sicurezza o gruppi di profili di sicurezza a livello di progetto utilizzando la Google Cloud console. Per gestire i profili di sicurezza e i gruppi di profili di sicurezza a livello di progetto in Arabia Saudita e India, utilizza gcloud CLI o l'API.

1. Nella Google Cloud console, vai alla pagina Gruppi di profili di sicurezza.

   Vai a Gruppi di profili di sicurezza

2. Dal menu del selettore di progetti, seleziona l'organizzazione o il progetto.

3. Nella scheda Gruppi di profili di sicurezza, fai clic su Crea gruppo di profili.

4. In Nome, inserisci il nome del gruppo di profili di sicurezza.

5. In Scopo del gruppo di profili di sicurezza, seleziona NSI in-band.

6. In Profilo di intercettazione personalizzato, seleziona il profilo di sicurezza personalizzato per l'integrazione in-band.

7. Fai clic su Crea.

gcloud

Per creare un gruppo di profili di sicurezza, utilizza il gcloud network-security security-profile-groups create comando:

gcloud network-security security-profile-groups create SECURITY_PROFILE_GROUP_NAME \
    --custom-intercept-profile CUSTOM_INTERCEPT_PROFILE_ID \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --location global

Sostituisci quanto segue:

• SECURITY_PROFILE_GROUP_ID: il nome del gruppo di profili di sicurezza.

  Se non specifichi il nome nel formato dell'identificatore URL univoco, devi specificare l'organizzazione o il nome del progetto e la località.

• CUSTOM_INTERCEPT_PROFILE_ID: l'ID del profilo di sicurezza di intercettazione personalizzato.

• ORGANIZATION_ID: l'ID della tua organizzazione. Utilizza questo flag per creare un gruppo di profili di sicurezza a livello di organizzazione.

• PROJECT_ID: l'ID del tuo progetto. Utilizza questo flag per creare un gruppo di profili di sicurezza a livello di progetto.

• QUOTA_PROJECT_ID: l'ID del progetto di quota. Utilizza questo flag solo per i gruppi di profili di sicurezza a livello di organizzazione.

Terraform

Per creare un gruppo di profili di sicurezza, puoi utilizzare una risorsa google_network_security_security_profile_group.

L'esempio seguente mostra come creare un gruppo di profili di sicurezza a livello di organizzazione:

resource "google_network_security_security_profile_group" "default" {
  name                     = "security-profile-group"
  parent                   = "organizations/${data.google_organization.default.org_id}"
  location                 = "global"
  custom_intercept_profile = google_network_security_security_profile.default.id
}

L'esempio seguente mostra come creare un gruppo di profili di sicurezza a livello di progetto:

resource "google_network_security_security_profile_group" "default" {
  name                     = "security-profile-group"
  parent                   = "projects/${data.google_project.default.project_id}"
  location                 = "global"
  custom_intercept_profile = google_network_security_security_profile.default.id
}

Per scoprire come applicare o rimuovere una configurazione Terraform, consulta Comandi Terraform di base.

Elencare e visualizzare i dettagli di un gruppo di profili di sicurezza

Puoi elencare i gruppi di profili di sicurezza in un'organizzazione o in un progetto e visualizzare i dettagli di un gruppo, come il nome e il profilo di intercettazione personalizzato.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM nella tua organizzazione o nel tuo progetto.

Autorizzazioni

• networksecurity.securityProfileGroups.list per visualizzare i gruppi di profili di sicurezza.
• networksecurity.securityProfileGroups.get per visualizzare i dettagli di un gruppo di profili.

Ruoli

• Ruolo Amministratore profili di sicurezza (networksecurity.securityProfileAdmin) a livello di organizzazione per i gruppi di profili di sicurezza a livello di organizzazione e a livello di progetto o organizzazione per i gruppi di profili di sicurezza a livello di progetto.

Console

Nota: se il tuo Google Cloud progetto si trova in una zona di residenza dei dati (DRZ) nel Regno dell'Arabia Saudita (KSA) o in India, non puoi visualizzare, elencare, creare, aggiornare o eliminare profili di sicurezza o gruppi di profili di sicurezza a livello di progetto utilizzando la Google Cloud console. Per gestire i profili di sicurezza e i gruppi di profili di sicurezza a livello di progetto in Arabia Saudita e India, utilizza gcloud CLI o l'API.

1. Nella Google Cloud console, vai alla pagina Gruppi di profili di sicurezza.

   Vai a Gruppi di profili di sicurezza

2. Dal menu del selettore di progetti, seleziona l'organizzazione o il progetto. La scheda elenca tutti i gruppi di profili di sicurezza.

3. Nella scheda Gruppi di profili di sicurezza, fai clic sul nome del gruppo di profili di sicurezza per visualizzarne i dettagli.

gcloud

Per elencare i gruppi di profili di sicurezza, utilizza il gcloud network-security security-profile-groups list comando:

gcloud network-security security-profile-groups list \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    --location global \
    [--billing-project QUOTA_PROJECT_ID]

Per visualizzare i dettagli di un gruppo di profili di sicurezza, utilizza il gcloud network-security security-profile-groups describe comando:

gcloud network-security security-profile-groups describe SECURITY_PROFILE_GROUP_ID \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --location global

Sostituisci quanto segue:

• SECURITY_PROFILE_GROUP_ID: il nome del gruppo di profili di sicurezza.

  Se non specifichi il nome nel formato dell'identificatore URL univoco, devi specificare l'organizzazione o il nome del progetto e la località.

• ORGANIZATION_ID: l'ID della tua organizzazione in cui esiste il gruppo di profili di sicurezza.

• PROJECT_ID: l'ID del tuo progetto in cui esiste il gruppo di profili di sicurezza.

• QUOTA_PROJECT_ID: l'ID progetto della tua quota. Utilizza questo flag solo per i gruppi di profili di sicurezza a livello di organizzazione.

L'output mostra i nomi dei gruppi di profili di sicurezza nei seguenti formati:

• Gruppi di profili di sicurezza a livello di organizzazione: organizations/ORGANIZATION_ID/locations/global/securityProfileGroups/SECURITY_PROFILE_GROUP_ID
• Gruppi di profili di sicurezza a livello di progetto: projects/PROJECT_ID/locations/global/securityProfileGroups/SECURITY_PROFILE_GROUP_ID

Eliminare un gruppo di profili di sicurezza

Prima di eliminare un gruppo di profili di sicurezza, elimina il profilo di sicurezza di intercettazione personalizzato che fa riferimento al gruppo di profili di sicurezza.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni o di uno dei seguenti ruoli IAM nella tua organizzazione o nel tuo progetto.

Autorizzazioni

• networksecurity.securityProfileGroups.delete

Ruoli

• Ruolo Amministratore profili di sicurezza (networksecurity.securityProfileAdmin) a livello di organizzazione per i gruppi di profili di sicurezza a livello di organizzazione e a livello di progetto o organizzazione per i gruppi di profili di sicurezza a livello di progetto.

Console

Nota: se il tuo Google Cloud progetto si trova in una zona di residenza dei dati (DRZ) nel Regno dell'Arabia Saudita (KSA) o in India, non puoi visualizzare, elencare, creare, aggiornare o eliminare profili di sicurezza o gruppi di profili di sicurezza a livello di progetto utilizzando la Google Cloud console. Per gestire i profili di sicurezza e i gruppi di profili di sicurezza a livello di progetto in Arabia Saudita e India, utilizza gcloud CLI o l'API.

1. Nella Google Cloud console, vai alla pagina Gruppi di profili di sicurezza.

   Vai a Gruppi di profili di sicurezza

2. Dal menu del selettore di progetti, seleziona l'organizzazione o il progetto.

3. Nella scheda Gruppi di profili di sicurezza, seleziona la casella di controllo del gruppo di profili di sicurezza e fai clic su Elimina.

4. Fai di nuovo clic su Elimina per confermare.

gcloud

Per eliminare un gruppo di profili di sicurezza, utilizza il gcloud network-security security-profile-groups delete comando:

gcloud network-security security-profile-groups delete SECURITY_PROFILE_GROUP_ID \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --location global

Sostituisci quanto segue:

• SECURITY_PROFILE_GROUP_NAME: il nome del gruppo di profili di sicurezza che vuoi eliminare.

  Se non specifichi il nome nel formato dell'identificatore URL univoco, devi specificare l'organizzazione o il nome del progetto e la località.

• ORGANIZATION_ID: l'ID della tua organizzazione in cui esiste il gruppo di profili di sicurezza.

• PROJECT_ID: l'ID del tuo progetto in cui esiste il gruppo di profili di sicurezza.

• QUOTA_PROJECT_ID: l'ID del progetto di quota. Utilizza questo flag solo per i gruppi di profili di sicurezza a livello di organizzazione.

Passaggi successivi

• Creare e gestire gruppi di endpoint di intercettazione
• Panoramica dei gruppi di profili di sicurezza
• Creare e gestire profili di sicurezza di intercettazione personalizzati