セキュリティ ポリシー

このページでは、ゲートウェイ セキュリティ ポリシーとその作成方法について説明します。

ゲートウェイ セキュリティ ポリシー

ゲートウェイ セキュリティ ポリシーは、Secure Web Proxy インスタンスを通過するトラフィック フローを制御するすべてのセキュリティ ルールの一元管理コンテナとして機能します。ポリシーを使用すると、プロキシのアウトバウンド ウェブ トラフィックのアクセス制御を効果的に管理できます。

ポリシーを定義して、Secure Web Proxy インスタンスに関連付けることができます。これにより、ネットワークからのすべての送信ウェブ トラフィックが、一貫したセキュリティ標準に準拠していることを確認できます。

ゲートウェイ セキュリティ ポリシーは、次の 3 つのパラメータに基づいています。

ソース属性

Secure Web Proxy ポリシーは、次のクラウド ID とネットワーク ロケーション データを使用してトラフィックの送信元を識別します。

  • サービス アカウント: アプリケーションまたはワークロードに割り当てられる一意の ID。サービス アカウントを使用すると、アプリケーションの特定の機能に基づいてポリシーを作成できます。
  • 安全なタグ: 仮想マシン（VM）インスタンスなどの Google Cloud リソースに適用できるラベル。タグを使用すると、関数または環境別にワークロードをグループ化できます。たとえば、「Production とラベル付けされたすべてのリソースが承認済みドメインにアクセスできるようにする」などです。
  • IP アドレス: 送信者のネットワーク アドレス。Secure Web Proxy がアウトバウンド トラフィックに使用するエンタープライズまたは静的 Google Cloud IP アドレスを割り当てることができます。

ソース属性でサポートされている ID

Secure Web Proxy は、サービス アカウントやセキュアタグなどの送信元 ID ベースのポリシーを使用してウェブ トラフィックを制御します。これらのポリシーを使用すると、IP アドレスだけでなく、トラフィックの送信元 ID に基づいてルールを適用できます。

次の表に、ソース ID ベースのポリシーをサポートする Google Cloud サービスを示します。

Google Cloud サービス サービス アカウントのサポート セキュアタグのサポート
Compute Engine 仮想マシン（VM）
Google Kubernetes Engine（GKE）ノード
Google Kubernetes Engine（GKE）コンテナ 1 1
Cloud Run のダイレクト VPC 1
サーバーレス VPC アクセス コネクタ 2 2
Cloud VPN 1 1
オンプレミスの Cloud Interconnect 1 1
アプリケーション ロードバランサ
ネットワーク ロードバランサ
1 Google Cloudは対象外です。
2 送信元 IP アドレスは一意であるため、代わりに使用できます。

次の表に、送信元 ID ベースのセキュリティ ポリシーをサポートする Virtual Private Cloud（VPC）アーキテクチャを示します。

VPC VPC アーキテクチャ サポート
VPC 内 プロジェクト間（共有 VPC）
VPC 間 ピアリング間リンク（ピア VPC）
VPC 間 Private Service Connect 間
VPC 間 Network Connectivity Center スポーク間

デスティネーション属性

Secure Web Proxy ポリシーは、ターゲット ウェブサイトまたはサービスの次の属性を分析して、宛先が承認されるかどうかを判断します。

  • 宛先ドメイン: ウェブサイトのアドレス（example.com など）。

  • URL リスト: ポリシー管理を簡素化する、承認済みまたはブロック済みの URL の事前定義リスト。

  • 宛先ポート: Secure Web Proxy インスタンスがトラフィックを送信するネットワーク ポート。たとえば、HTTPS の場合は 443。

  • 完全な URL パス: ウェブサイトの正確なパス。特定のウェブページのコンテンツ全体を表示するには、TLS インスペクションを有効にする必要があります。

HTTP および HTTPS の宛先トラフィックの場合、アプリケーションに host 宛先属性と、request.method などのさまざまな request.* 宛先関連属性を使用できます。

HTTP トラフィックと HTTPS トラフィックに使用できる宛先属性の詳細については、属性をご覧ください。

セキュリティ ポリシーの作成

ゲートウェイ セキュリティ ポリシーを作成する前に、次の初期設定手順を完了してください。

ポリシーを作成したら、ルールを作成してポリシーに追加できます。ポリシーを Secure Web Proxy インスタンスに関連付ける方法については、ウェブプロキシを設定するをご覧ください。

コンソール

  1. Google Cloud コンソールで、[SWP ポリシー] ページに移動します。

    SWP ポリシーに移動

  2. [ポリシーを作成] をクリックします。

  3. 作成するポリシーの名前を入力します（例: policy1）。

  4. レスポンス ポリシーの説明（My new swp policy など）を入力します。

  5. [リージョン] リストで、ポリシーを作成するリージョン（us-central1 など）を選択します。

  6. ポリシーのルールを作成する場合は、[ルールを追加] をクリックします。詳細については、Secure Web Proxy ルールを作成するをご覧ください。

  7. [作成] をクリックします。

Cloud Shell

  1. 任意のテキスト エディタを使用して、policy.yaml ファイルを作成します。

  2. 作成した policy.yaml ファイルに次の内容を追加します。

    description: basic Secure Web Proxy policy
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1

    次のように置き換えます。

    • PROJECT_ID: プロジェクトの ID
    • REGION: ポリシーが作成されるリージョン（us-central1 など）

  3. Secure Web Proxy ポリシーを作成します。

    gcloud network-security gateway-security-policies import policy1 \
    --source=policy.yaml \
    --location=REGION

次のステップ