Criar e gerenciar grupos de perfis de segurança

Esta página descreve como criar e gerenciar grupos de perfis de segurança com um perfil de segurança de interceptação personalizado.

Antes de começar

• Ative a API Network Security no seu projeto.
• Instale a CLI gcloud.
• Crie um perfil de segurança de interceptação personalizado.

Papéis

Para receber as permissões necessárias de criação, visualização, atualização ou exclusão de grupos de perfis de segurança, peça ao administrador para conceder a você os papéis necessários do Identity and Access Management (IAM) na sua organização ou projeto. Para mais informações sobre como conceder papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

Para verificar o progresso das operações listadas nesta página, verifique se seu função do usuário tem as seguintes permissões do papel Usuário da rede do Compute (roles/compute.networkUser):

• networksecurity.operations.get
• networksecurity.operations.list

Criar um grupo de perfis de segurança

É possível criar grupos de perfis de segurança no nível da organização ou do projeto. Recomendamos que você crie o grupo de perfis de segurança em um projeto de propriedade do administrador de segurança.

Permissões exigidas para a tarefa

Para realizar essa tarefa, você precisa ter recebido as seguintes permissões ou um dos seguintes papéis do IAM na sua organização ou projeto.

Permissões

• networksecurity.securityProfileGroups.create

Papéis

• Papel de administrador de perfil de segurança (networksecurity.securityProfileAdmin) no nível da organização para grupos de perfis de segurança da organização e no nível do projeto ou da organização para grupos de perfis de segurança do projeto.

Console

Observação: se o seu Google Cloud projeto estiver em uma zona de residência de dados (DRZ, na sigla em inglês) no Reino da Arábia Saudita (KSA) ou na Índia, não será possível visualizar, listar, criar, atualizar ou excluir perfis de segurança ou grupos de perfis de segurança no nível do projeto usando o Google Cloud console. Para gerenciar perfis de segurança e grupos de perfis de segurança para envolvidos no projeto na KSA e na Índia, use a CLI gcloud ou a API.

1. No Google Cloud console, acesse a página Grupos de perfis de segurança.

   Acessar grupos de perfis de segurança

2. No menu do seletor de projetos, selecione sua organização ou o projeto.

3. Na guia Grupos de perfis de segurança, clique em Criar grupo de perfis.

4. Em Nome, insira o nome do grupo de perfis de segurança.

5. Em Finalidade do grupo de perfis de segurança, selecione NSI na banda.

6. Em Perfil de interceptação personalizado, selecione o perfil de segurança personalizado para integração na banda.

7. Clique em Criar.

gcloud

Para criar um grupo de perfis de segurança, use o gcloud network-security security-profile-groups create comando:

gcloud network-security security-profile-groups create SECURITY_PROFILE_GROUP_NAME \
    --custom-intercept-profile CUSTOM_INTERCEPT_PROFILE_ID \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --location global

Substitua:

• SECURITY_PROFILE_GROUP_ID: o nome do grupo de perfis de segurança.

  Se você não especificar o nome no formato de identificador de URL exclusivo, especifique a organização ou o nome do projeto e o local.

• CUSTOM_INTERCEPT_PROFILE_ID: o ID do perfil de segurança de interceptação personalizado.

• ORGANIZATION_ID: o ID da sua organização. Use essa flag para criar um grupo de perfis de segurança no nível da organização.

• PROJECT_ID: o ID do projeto. Use essa flag para criar um grupo de perfis de segurança para envolvidos no projeto.

• QUOTA_PROJECT_ID: o ID do projeto de cota. Use essa flag apenas para grupos de perfis de segurança no nível da organização.

Terraform

Para criar um grupo de perfis de segurança, use um google_network_security_security_profile_group recurso.

O exemplo a seguir mostra como criar um grupo de perfis de segurança no nível da organização:

resource "google_network_security_security_profile_group" "default" {
  name                     = "security-profile-group"
  parent                   = "organizations/${data.google_organization.default.org_id}"
  location                 = "global"
  custom_intercept_profile = google_network_security_security_profile.default.id
}

O exemplo a seguir mostra como criar um grupo de perfis de segurança para envolvidos no projeto:

resource "google_network_security_security_profile_group" "default" {
  name                     = "security-profile-group"
  parent                   = "projects/${data.google_project.default.project_id}"
  location                 = "global"
  custom_intercept_profile = google_network_security_security_profile.default.id
}

Para saber como aplicar ou remover uma configuração do Terraform, consulte Comandos básicos do Terraform.

Listar e visualizar detalhes de um grupo de perfis de segurança

É possível listar grupos de perfis de segurança em uma organização ou projeto e visualizar os detalhes de um grupo, como o nome e o perfil de interceptação personalizado.

Permissões exigidas para a tarefa

Para realizar essa tarefa, você precisa ter recebido as seguintes permissões ou um dos seguintes papéis do IAM na sua organização ou projeto.

Permissões

• networksecurity.securityProfileGroups.list para ver grupos de perfis de segurança.
• networksecurity.securityProfileGroups.get para ver os detalhes de um grupo de perfis.

Papéis

• Papel de administrador de perfil de segurança (networksecurity.securityProfileAdmin) no nível da organização para grupos de perfis de segurança da organização e no nível do projeto ou da organização para grupos de perfis de segurança do projeto.

Console

Observação: se o seu Google Cloud projeto estiver em uma zona de residência de dados (DRZ, na sigla em inglês) no Reino da Arábia Saudita (KSA) ou na Índia, não será possível visualizar, listar, criar, atualizar ou excluir perfis de segurança ou grupos de perfis de segurança no nível do projeto usando o Google Cloud console. Para gerenciar perfis de segurança e grupos de perfis de segurança para envolvidos no projeto na KSA e na Índia, use a CLI gcloud ou a API.

1. No Google Cloud console, acesse a página Grupos de perfis de segurança.

   Acessar grupos de perfis de segurança

2. No menu do seletor de projetos, selecione sua organização ou o projeto. A guia lista todos os grupos de perfis de segurança.

3. Na guia Grupos de perfis de segurança, clique no nome do grupo de perfis de segurança para conferir os detalhes.

gcloud

Para listar grupos de perfis de segurança, use o gcloud network-security security-profile-groups list comando:

gcloud network-security security-profile-groups list \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    --location global \
    [--billing-project QUOTA_PROJECT_ID]

Para ver os detalhes de um grupo de perfis de segurança, use o gcloud network-security security-profile-groups describe comando:

gcloud network-security security-profile-groups describe SECURITY_PROFILE_GROUP_ID \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --location global

Substitua:

• SECURITY_PROFILE_GROUP_ID: o nome do grupo de perfis de segurança.

  Se você não especificar o nome no formato de identificador de URL exclusivo, especifique a organização ou o nome do projeto e o local.

• ORGANIZATION_ID: o ID da sua organização em que o grupo de perfis de segurança existe.

• PROJECT_ID: o ID do projeto em que o grupo de perfis de segurança existe.

• QUOTA_PROJECT_ID: o ID do projeto de cota. Use essa flag apenas para grupos de perfis de segurança no nível da organização.

A saída mostra nomes de grupos de perfis de segurança nos seguintes formatos:

• Grupos de perfis de segurança no nível da organização: organizations/ORGANIZATION_ID/locations/global/securityProfileGroups/SECURITY_PROFILE_GROUP_ID
• Grupos de perfis de segurança para envolvidos no projeto: projects/PROJECT_ID/locations/global/securityProfileGroups/SECURITY_PROFILE_GROUP_ID

Excluir um grupo de perfis de segurança

Antes de excluir um grupo de perfis de segurança, exclua o perfil de segurança de interceptação personalizado que faz referência ao grupo de perfis de segurança.

Permissões exigidas para a tarefa

Para realizar essa tarefa, você precisa ter recebido as seguintes permissões ou um dos seguintes papéis do IAM na sua organização ou projeto.

Permissões

• networksecurity.securityProfileGroups.delete

Papéis

• Papel de administrador de perfil de segurança (networksecurity.securityProfileAdmin) no nível da organização para grupos de perfis de segurança da organização e no nível do projeto ou da organização para grupos de perfis de segurança do projeto.

Console

Observação: se o seu Google Cloud projeto estiver em uma zona de residência de dados (DRZ, na sigla em inglês) no Reino da Arábia Saudita (KSA) ou na Índia, não será possível visualizar, listar, criar, atualizar ou excluir perfis de segurança ou grupos de perfis de segurança no nível do projeto usando o Google Cloud console. Para gerenciar perfis de segurança e grupos de perfis de segurança para envolvidos no projeto na KSA e na Índia, use a CLI gcloud ou a API.

1. No Google Cloud console, acesse a página Grupos de perfis de segurança.

   Acessar grupos de perfis de segurança

2. No menu do seletor de projetos, selecione sua organização ou o projeto.

3. Na guia Grupos de perfis de segurança, selecione a caixa de seleção do grupo de perfis de segurança e clique em Excluir.

4. Clique em Excluir novamente para confirmar.

gcloud

Para excluir um grupo de perfis de segurança, use o gcloud network-security security-profile-groups delete comando:

gcloud network-security security-profile-groups delete SECURITY_PROFILE_GROUP_ID \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --location global

Substitua:

• SECURITY_PROFILE_GROUP_NAME: o nome do grupo de perfis de segurança que você quer excluir.

  Se você não especificar o nome no formato de identificador de URL exclusivo, especifique a organização ou o nome do projeto e o local.

• ORGANIZATION_ID: o ID da sua organização em que o grupo de perfis de segurança existe.

• PROJECT_ID: o ID do projeto em que o grupo de perfis de segurança existe.

• QUOTA_PROJECT_ID: o ID do projeto de cota. Use essa flag apenas para grupos de perfis de segurança no nível da organização.

A seguir

• Criar e gerenciar grupos de endpoints de interceptação
• Visão geral dos grupos de perfis de segurança
• Criar e gerenciar perfis de segurança de interceptação personalizados