Criar e gerenciar grupos de endpoints de espelhamento

Nesta página, explicamos como configurar e gerenciar os grupos de endpoints de espelhamento na conta do consumidor para representar os grupos de implantação de espelhamento do produtor.

Recomendamos que você crie o grupo de endpoints de espelhamento em um projeto de propriedade do administrador de segurança. Para criar as associações de grupo de endpoints de espelhamento, o administrador de segurança precisa atribuir os papéis de administrador do endpoint de espelhamento (roles/networksecurity.mirroringAdmin) e administrador da rede do endpoint de espelhamento (roles/networksecurity.mirroringEndpointNetworkAdmin) ao projeto ou ao administrador de rede.

Se você ativou a ação da regra de espelhamento como MIRROR na política de firewall associada à sua rede de nuvem privada virtual (VPC) e criou as associações de grupo de endpoints de espelhamento, o tráfego espelhado será encaminhado para o grupo de endpoints de espelhamento.

Antes de começar

• É necessário ativar a API Compute Engine no projeto do Google Cloud .

• É necessário ativar a API Network Security no projeto Google Cloud que você quer usar para faturamento.

• Instale a gcloud CLI se você quiser executar os exemplos de linhas de comando gcloud neste guia.

• Você precisa ter um grupo de implantação de espelhamento.

Papéis

Para receber as permissões necessárias de criação, visualização ou exclusão de grupos de endpoints de espelhamento, peça ao administrador para conceder a você os papéis do Identity and Access Management (IAM) no seu projeto Google Cloud . Para mais informações sobre a concessão de papéis, consulte Gerenciar o acesso a projetos, pastas e organizações.

Para verificar o progresso das operações listadas nesta página, confira se seu função do usuário tem as funções e permissões de Administrador do endpoint de espelhamento (roles/networksecurity.mirroringEndpointAdmin) e Usuário da implantação de espelhamento (roles/networksecurity.mirroringDeploymentUser).

A função de usuário de implantação de espelhamento (roles/networksecurity.mirroringDeploymentUser) é necessária no projeto do produtor para que você possa conectar o grupo de endpoints de espelhamento do consumidor ao grupo de implantação de espelhamento do produtor.

Cotas

Para conferir as cotas associadas aos grupos de endpoints de espelhamento, consulte Cotas e limites.

Criar um grupo de endpoints de espelhamento

Crie um grupo de endpoints de espelhamento em uma zona específica.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões abaixo ou um dos papéis do IAM a seguir no seu projeto.

Permissões

• networksecurity.mirroringEndpointGroups.create

Papéis

• Administrador do endpoint de espelhamento (roles/networksecurity.mirroringEndpointAdmin)

Console

1. No console do Google Cloud , acesse a página Grupos de endpoints.

   Acessar "Grupos de endpoints"

2. Clique em Criar grupo de endpoints.

3. Em Nome, insira um nome para o grupo de endpoints de espelhamento.

4. Em Grupo de implantação, selecione uma das seguintes opções:

   • Selecionar projeto: selecione se você souber o nome do projeto em que o grupo de implantação de espelhamento existe.

     Se você selecionar essa opção, escolha o nome do projeto.

   • Selecionar projeto atual: selecione se o grupo de implantação de espelhamento existe no projeto atual.

     Se você selecionar essa opção, especifique o nome do grupo de implantação de espelhamento.

   • Inserir grupo de implantação manualmente: selecione se o grupo de implantação de espelhamento existe em um projeto diferente.

     Se você selecionar essa opção, especifique o ID do projeto e o nome do grupo de implantação de espelhamento.

5. Clique em Continuar.

6. Opcional: clique em Adicionar associação de grupo de endpoints.

   Especifique o nome do projeto e da rede VPC que hospeda o grupo de endpoints de espelhamento e clique em Concluído.

   Observação: verifique se a rede VPC associada ao grupo de endpoints não é a mesma do grupo de implantação.

7. Clique em Criar.

gcloud

Para criar um grupo de endpoints de espelhamento, use o comando gcloud network-security mirroring-endpoint-groups create:

 gcloud network-security mirroring-endpoint-groups create ENDPOINT_GROUP \
     --location global \
     --project PROJECT_NAME \
     --mirroring-deployment-group DEPLOYMENT_GROUP \
     --no-async

Substitua:

• ENDPOINT_GROUP: o nome do grupo de endpoints de espelhamento

  O nome do grupo de endpoints é visível para os produtores a quem o consumidor concedeu acesso explicitamente. Por isso, não inclua informações sensíveis, como informações de identificação pessoal ou dados de segurança, no nome do grupo de endpoints de espelhamento.

• PROJECT_NAME: o nome do projeto em que você quer criar o grupo de endpoints de espelhamento

• DEPLOYMENT_GROUP: o nome do grupo de implantação de espelhamento.

Para associar o grupo de endpoints de espelhamento a uma rede VPC, consulte Criar e gerenciar associações de grupos de endpoints de espelhamento.

Terraform

Para criar um grupo de endpoints de espelhamento, use um recurso google_network_security_mirroring_endpoint_group.

resource "google_network_security_mirroring_endpoint_group" "default" {
  mirroring_endpoint_group_id = "mirroring-endpoint-group"
  location                    = "global"
  mirroring_deployment_group  = google_network_security_mirroring_deployment_group.default.id
}

Para saber como aplicar ou remover uma configuração do Terraform, consulte Comandos básicos do Terraform.

Conferir um grupo de endpoints de espelhamento

É possível conferir os detalhes de um grupo de endpoints de espelhamento específico.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões abaixo ou um dos papéis do IAM a seguir no seu projeto.

Permissões

• networksecurity.mirroringEndpointgroups.get

Papéis

• Administrador do endpoint de espelhamento (roles/networksecurity.mirroringEndpointAdmin)
• Leitor de endpoint de espelhamento (roles/networksecurity.mirroringEndpointViewer)

Console

1. No console do Google Cloud , acesse a página Grupos de endpoints.

   Acessar "Grupos de endpoints"

2. Clique no nome do grupo de endpoints de espelhamento.

gcloud

Para ver os detalhes de um grupo de endpoints de espelhamento, use o comando gcloud network-security mirroring-endpoint-groups describe:

 gcloud network-security mirroring-endpoint-groups \
     describe ENDPOINT_GROUP \
     --location global

Substitua ENDPOINT_GROUP pelo nome do grupo de endpoints de espelhamento.

Listar grupos de endpoints de espelhamento

É possível listar todos os grupos de endpoints de espelhamento em um projeto.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões abaixo ou um dos papéis do IAM a seguir no seu projeto.

Permissões

• networksecurity.mirroringEndpointGroups.list

Papéis

• Administrador do endpoint de espelhamento (roles/networksecurity.mirroringEndpointAdmin)
• Leitor de endpoint de espelhamento (roles/networksecurity.mirroringEndpointViewer)
• Usuário do endpoint de espelhamento (roles/networksecurity.mirroringEndpointUser)

Console

Para conferir todos os grupos de endpoints de espelhamento do projeto, siga esta etapa:

1. No console do Google Cloud , acesse a página Grupos de endpoints.

   Acessar "Grupos de endpoints"

2. Para listar os grupos de endpoints de espelhamento, clique em filter_listFiltrar.

3. Na lista Propriedades, selecione Finalidade e, em Valor, selecione NSI fora da banda.

gcloud

Para listar todos os grupos de endpoints de espelhamento, use o comando gcloud network-security mirroring-endpoint-groups list:

 gcloud network-security mirroring-endpoint-groups list \
     --project PROJECT_NAME \
     --location global

Substitua PROJECT_NAME pelo nome do projeto em que o grupo de endpoints de espelhamento foi criado.

Excluir um grupo de endpoints de espelhamento

É possível excluir um grupo de endpoints de espelhamento especificando o nome, o local e o projeto dele.

Observação: só é possível excluir um grupo de endpoints de espelhamento se ele não estiver associado a nenhuma rede VPC.

Permissões exigidas para a tarefa

Para executar esta tarefa, é preciso que o recurso tenha as permissões abaixo ou um dos papéis do IAM a seguir no seu projeto.

Permissões

• networksecurity.mirroringEndpointGroups.delete

Papéis

• Administrador do endpoint de espelhamento (roles/networksecurity.mirroringEndpointAdmin)

Console

1. No console do Google Cloud , acesse a página Grupos de endpoints.

   Acessar "Grupos de endpoints"

2. Marque a caixa de seleção do grupo de endpoints de espelhamento e clique em Excluir.

3. Clique em Excluir novamente para confirmar.

gcloud

Para excluir um grupo de endpoints de espelhamento, use o comando gcloud network-security mirroring-endpoint-groups delete:

 gcloud network-security mirroring-endpoint-groups delete ENDPOINT_GROUP
     --project PROJECT_NAME \
     --location global \
     --no-async

Substitua:

• ENDPOINT_GROUP: o nome do grupo de endpoints de espelhamento.

• PROJECT_NAME: o nome do projeto em que o grupo de endpoints de espelhamento foi criado.

A seguir

• Visão geral dos grupos de endpoints de espelhamento
• Visão geral da integração fora da banda
• Criar e gerenciar associações de grupo de endpoints de espelhamento