Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

将 Secure Web Proxy 发布为 Private Service Connect 服务

如需集中管理多个 VPC 网络中的 Secure Web Proxy 部署，您可以通过 Private Service Connect 服务连接提供 Secure Web Proxy。

使用 Private Service Connect 部署 Secure Web Proxy 涉及以下步骤：

创建安全 Web 代理政策和规则。
创建使用您的政策的 Secure Web Proxy 实例。
创建服务连接，以将 Secure Web Proxy 实例发布为 Private Service Connect 服务。
在需要连接到 Secure Web Proxy 的每个 VPC 网络中创建 Private Service Connect 使用方端点。
将工作负载的出站流量指向区域内的集中式 Secure Web Proxy 实例。

以 Private Service Connect 服务连接模式部署 Secure Web Proxy。 — 将 Secure Web Proxy 发布为 Private Service Connect 服务，可让您集中管理多个 VPC 网络中工作负载的出站流量。（点击可放大）。

准备工作

在完成本页面中的步骤之前，请先完成初始设置步骤。

创建和配置 Secure Web Proxy 实例

本指南介绍了如何创建 Secure Web Proxy 政策和规则，以按会话匹配流量。

如需了解如何选择性地配置 TLS 检查，请参阅启用 TLS 检查。

如需了解如何选择性地配置应用级匹配，请参阅创建和部署 Secure Web Proxy 实例。

创建 Secure Web Proxy 政策

控制台

在 Google Cloud 控制台中，前往 SWP 政策 页面。

前往 SWP 政策
点击 创建政策。
输入要创建的政策的名称，例如 myswppolicy。
输入政策的说明。
在区域列表中，选择要在其中创建 Web 代理政策的区域。
点击创建。

Cloud Shell

创建 policy.yaml 文件。

description: basic Secure Web Proxy policy
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1

请替换以下内容：

PROJECT_ID：您的项目 ID
REGION：政策的区域

根据 policy.yaml 创建 Secure Web Proxy 政策。

gcloud network-security gateway-security-policies import policy1 \
    --source=policy.yaml \
    --location=REGION

向政策添加 Secure Web Proxy 规则

配置 Secure Web Proxy 规则，以允许来自每个工作负载的出站流量。

本部分介绍了如何创建规则，以允许来自通过 Resource Manager 标记或服务帐号标识的工作负载的流量。如需了解如何以其他方式匹配流量，请参阅 CEL 匹配器语言参考文档。

控制台

在 Google Cloud 控制台中，前往 SWP 政策 页面。

前往 SWP 政策
点击您的政策名称。
如需添加规则以允许工作负载访问互联网，请执行以下操作：
1. 点击 添加规则。
2. 输入优先级。系统会按从高到低的优先级评估规则，其中 0 是最高优先级。
3. 输入名称。
4. 请输入说明
5. 输入状态。
6. 对于操作，请选择允许。
7. 点击状态，然后选择已启用 。
8. 在会话匹配 部分中，指定用于匹配会话的条件。
  - 例如，如需允许来自 Resource Manager 标记值 ID 为 tagValues/123456 的工作负载的流量访问 google.com，请输入以下内容：
    
    source.matchTag('tagValues/123456') && host() == 'google.com'
  - 如需允许来自使用服务帐号 my-service-account@my-project.iam.gserviceaccount.com 的工作负载的流量访问 google.com，请输入以下内容：
    
    source.matchServiceAccount('my-service-account@my-project.iam.gserviceaccount.com') && host() == 'google.com'
9. 点击创建。

Cloud Shell

对于要添加的每条规则，请执行以下操作：

创建 rule.yaml 文件，并指定用于匹配会话的条件。
- 如需允许来自通过 Resource Manager 标记值 ID 标识的工作负载的流量访问特定网域，请创建以下文件：
```
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/RULE_NAME
description: Allow traffic based on tag
enabled: true
priority: PRIORITY
basicProfile: ALLOW
sessionMatcher: source.matchTag('TAG_VALUE_ID') && host() == 'DOMAIN_NAME'
```
  请替换以下内容：
  - PROJECT_ID：您的项目 ID
  - REGION：政策的区域
  - RULE_NAME：规则的名称
  - PRIORITY：规则的优先级 - 系统会按从高到低的优先级评估规则，其中 0 是最高优先级
  - TAG_VALUE_ID：要允许流量的工作负载的标记值 ID
  - DOMAIN_NAME：要允许流量访问的网域名称
- 如需允许来自使用服务帐号的工作负载的流量访问特定网域，请创建以下文件：
```
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/RULE_NAME
description: Allow traffic based on service account
enabled: true
priority: PRIORITY
basicProfile: ALLOW
sessionMatcher: source.matchServiceAccount('SERVICE_ACCOUNT') && host() == 'DOMAIN_NAME'
```
  将 SERVICE_ACCOUNT 替换为服务帐号的名称。

如需使用在 rule.yaml 中定义的规则更新政策，请使用以下命令：

gcloud network-security gateway-security-policies rules import RULE_NAME \
   --source=rule.yaml \
   --location=REGION \
   --gateway-security-policy=policy1

部署 Secure Web Proxy 实例

在要用于出站流量的 Virtual Private Cloud (VPC) 网络中以显式路由模式部署 Secure Web Proxy 实例。创建实例时，请将其与您在之前的步骤中创建的政策和规则相关联。

使用 Private Service Connect 服务连接发布 Secure Web Proxy 不支持下一个跃点路由模式。

如需了解如何配置实例，请参阅设置 Web 代理。您暂时无需完成该页面上的其他步骤。

在 hub 和 spoke 模型中将 Secure Web Proxy 部署为 Private Service Connect 服务

本部分介绍了如何使用 hub 和 spoke 模型将 Secure Web Proxy 部署为 Private Service Connect 服务，以集中管理出站流量。