Criar e gerenciar perfis de segurança de interceptação personalizados

Esta página descreve como criar e gerenciar perfis de segurança de interceptação personalizados.

Antes de começar

• Ative a API Network Security no seu projeto.
• Instale a CLI gcloud.

Papéis

Para receber as permissões necessárias de criação, visualização, atualização ou exclusão de perfis de segurança de interceptação personalizados, solicite ao seu administrador que conceda a você os papéis do IAM necessários na sua organização. Para mais informações sobre como conceder papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

Para verificar o progresso das operações listadas nesta página, verifique se seu função do usuário tem as seguintes permissões do papel Usuário da rede do Compute (roles/compute.networkUser):

• networksecurity.operations.get
• networksecurity.operations.list

Criar um perfil de segurança de interceptação personalizado

Para integração na banda, só é possível criar um perfil de segurança do tipo custom-intercept. É possível criar perfis de segurança no nível da organização ou do projeto.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões a seguir OU um dos papéis do IAM a seguir na sua organização ou projeto.

Permissões

• networksecurity.securityProfiles.create
• networksecurity.interceptEndpointGroups.use

Papéis

• Papel de administrador de perfil de segurança (networksecurity.securityProfileAdmin) no nível da organização para perfis de segurança da organização e no nível do projeto ou da organização para perfis de segurança para envolvidos no projeto.
• networksecurity.interceptEndpointAdmin

Console

Observação: se o Google Cloud projeto estiver em uma zona de residência de dados (DRZ) no Reino da Arábia Saudita (KSA) ou na Índia, não será possível visualizar, listar, criar, atualizar ou excluir perfis de segurança ou grupos de perfis de segurança para envolvidos no projeto usando o Google Cloud console. Para gerenciar perfis de segurança e grupos de perfis de segurança para envolvidos no projeto na KSA e na Índia, use a CLI gcloud ou a API.

1. No Google Cloud console do, acesse a página Perfis de segurança.

   Acessar perfis de segurança

2. No menu do seletor de projetos, selecione sua organização ou o projeto.

3. Na guia Perfis de segurança, clique em Criar perfil.

4. Em Nome, digite um nome.

5. Em Finalidade do perfil de segurança, selecione NSI na banda.

6. Em Projeto, selecione o projeto que hospeda o grupo de endpoints de interceptação.

7. Em Grupo de endpoints de interceptação, selecione o grupo de endpoints de interceptação.

8. Clique em Criar.

gcloud

Para criar um perfil de segurança de interceptação personalizado para integração na banda, use o gcloud network-security security-profiles custom-intercept create comando:

gcloud network-security security-profiles custom-intercept create CUSTOM_INTERCEPT_PROFILE_ID \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    --location global \
    [--billing-project QUOTA_PROJECT_ID ] \
    --intercept-endpoint-group \
        projects/ENDPOINT_GROUP_PROJECT_ID/locations/global/interceptEndpointGroups/ENDPOINT_GROUP_ID

Substitua:

• CUSTOM_INTERCEPT_PROFILE_ID: o nome do perfil de segurança.

  Se você não especificar o nome no formato de identificador de URL exclusivo, especifique a organização ou o nome do projeto e o local.

• ORGANIZATION_ID: ID da organização. Use essa flag para criar um perfil de segurança no nível da organização.

• PROJECT_ID: o ID do projeto. Use essa flag para criar um perfil de segurança para envolvidos no projeto.

• QUOTA_PROJECT_ID: o ID do projeto de cota. Use essa flag apenas para perfis de segurança no nível da organização.

• ENDPOINT_GROUP_PROJECT_ID: o ID do projeto em que você criou o grupo de endpoints de interceptação.

• ENDPOINT_GROUP_ID: o ID do grupo de endpoints.

Terraform

Para criar um perfil de segurança, use um google_network_security_security_profile recurso.

O exemplo a seguir mostra como criar um perfil de segurança no nível da organização:

resource "google_network_security_security_profile" "default" {
  name     = "security-profile"
  type     = "CUSTOM_INTERCEPT"
  parent   = "organizations/${data.google_organization.default.org_id}"
  location = "global"

  custom_intercept_profile {
    intercept_endpoint_group = google_network_security_intercept_endpoint_group.default.id
  }
}

O exemplo a seguir mostra como criar um perfil de segurança para envolvidos no projeto:

resource "google_network_security_security_profile" "default" {
  name     = "security-profile"
  type     = "CUSTOM_INTERCEPT"
  parent   = "projects/${data.google_project.default.project_id}"
  location = "global"

  custom_intercept_profile {
    intercept_endpoint_group = google_network_security_intercept_endpoint_group.default.id
  }
}

Para saber como aplicar ou remover uma configuração do Terraform, consulte Comandos básicos do Terraform.

Listar e visualizar detalhes de um perfil de segurança de interceptação personalizado

É possível listar perfis de segurança em uma organização ou projeto e visualizar os detalhes de um perfil, como o nome e o ID do grupo de endpoints.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões a seguir OU um dos papéis do IAM a seguir na sua organização ou projeto.

Permissões

• networksecurity.securityProfiles.list para conferir a lista de perfis de segurança.
• networksecurity.securityProfiles.get para conferir os detalhes de um perfil de segurança.

Papéis

• Papel de administrador de perfil de segurança (networksecurity.securityProfileAdmin) no nível da organização para perfis de segurança da organização e no nível do projeto ou da organização para perfis de segurança para envolvidos no projeto.

Console

Observação: se o Google Cloud projeto estiver em uma zona de residência de dados (DRZ) no Reino da Arábia Saudita (KSA) ou na Índia, não será possível visualizar, listar, criar, atualizar ou excluir perfis de segurança ou grupos de perfis de segurança para envolvidos no projeto usando o Google Cloud console. Para gerenciar perfis de segurança e grupos de perfis de segurança para envolvidos no projeto na KSA e na Índia, use a CLI gcloud ou a API.

1. No Google Cloud console do, acesse a página Perfis de segurança.

   Acessar perfis de segurança

2. No menu do seletor de projetos, selecione sua organização ou o projeto. A guia lista todos os perfis de segurança.

3. Na guia Perfis de segurança, clique no nome do perfil de segurança.

gcloud

Para listar todos os perfis de segurança de interceptação personalizados, use o gcloud network-security security-profiles custom-intercept list comando:

gcloud network-security security-profiles custom-intercept list \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    --location global \
    [--billing-project QUOTA_PROJECT_ID]

Para visualizar detalhes de um perfil de segurança de interceptação personalizado, use o gcloud network-security security-profiles custom-intercept describe comando:

gcloud network-security security-profiles custom-intercept describe CUSTOM_INTERCEPT_PROFILE_ID \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --location global

Substitua:

• CUSTOM_INTERCEPT_PROFILE_ID: o nome do perfil de segurança.

  Se você não especificar o nome no formato de identificador de URL exclusivo, especifique a organização ou o nome do projeto e o local.

• ORGANIZATION_ID: o ID da sua organização em que o perfil de segurança existe.

• PROJECT_ID: o ID do projeto em que o perfil de segurança existe.

• QUOTA_PROJECT_ID: o ID do projeto de cota. Use essa flag apenas para perfis de segurança no nível da organização.

O resultado será assim:

• Perfis de segurança no nível da organização: organizations/ORGANIZATION_ID/locations/global/securityProfiles/CUSTOM_INTERCEPT_PROFILE_ID
• Perfis de segurança para envolvidos no projeto: projects/PROJECT_ID/locations/global/securityProfiles/CUSTOM_INTERCEPT_PROFILE_ID

Excluir um perfil de segurança de interceptação personalizado

É possível excluir um perfil de segurança de interceptação personalizado especificando o nome, o local e a organização ou o projeto. Antes de excluir o perfil de segurança, verifique se ele não está sendo usado por um grupo de perfis de segurança.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões a seguir OU um dos papéis do IAM a seguir na sua organização ou projeto.

Permissões

• networksecurity.securityProfiles.delete

Papéis

• Papel de administrador de perfil de segurança (networksecurity.securityProfileAdmin) no nível da organização para perfis de segurança da organização e no nível do projeto ou da organização para perfis de segurança para envolvidos no projeto.

Console

Observação: se o Google Cloud projeto estiver em uma zona de residência de dados (DRZ) no Reino da Arábia Saudita (KSA) ou na Índia, não será possível visualizar, listar, criar, atualizar ou excluir perfis de segurança ou grupos de perfis de segurança para envolvidos no projeto usando o Google Cloud console. Para gerenciar perfis de segurança e grupos de perfis de segurança para envolvidos no projeto na KSA e na Índia, use a CLI gcloud ou a API.

1. No Google Cloud console do, acesse a página Perfis de segurança.

   Acessar perfis de segurança

2. No menu do seletor de projetos, selecione sua organização ou o projeto.

3. Na guia Perfis de segurança , selecione a caixa de seleção do perfil de segurança e clique em Excluir.

4. Clique em Excluir novamente para confirmar.

gcloud

Para excluir um perfil de segurança de interceptação personalizado, use o gcloud network-security security-profiles custom-intercept delete comando:

gcloud network-security security-profiles custom-intercept delete CUSTOM_INTERCEPT_PROFILE_ID \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    [--billing-project QUOTA_PROJECT_ID] \
    --location global

Substitua:

• CUSTOM_INTERCEPT_PROFILE_ID: o ID do perfil de segurança de interceptação personalizado que você quer excluir.

  Se você não especificar o nome no formato de identificador de URL exclusivo, especifique a organização ou o nome do projeto e o local.

• ORGANIZATION_ID: o ID da sua organização em que o perfil de segurança existe.

• PROJECT_ID: o ID do projeto em que o perfil de segurança existe.

• QUOTA_PROJECT_ID: o ID do projeto de cota. Use essa flag apenas para perfis de segurança no nível da organização.

A seguir

• Visão geral dos grupos de perfis de segurança
• Visão geral dos perfis de segurança