將 Secure Web Proxy 發布為 Private Service Connect 服務

如要集中管理多個虛擬私有雲網路的 Secure Web Proxy 部署作業，可以透過 Private Service Connect 服務附件提供 Secure Web Proxy。

透過 Private Service Connect 部署 Secure Web Proxy 的步驟如下：

建立 Secure Web Proxy 政策和規則。
建立使用政策的 Secure Web Proxy 執行個體。
建立服務連結，將 Secure Web Proxy 執行個體發布為 Private Service Connect 服務。
在每個需要連線至 Secure Web Proxy 的虛擬私有雲網路中，建立 Private Service Connect 用戶端端點。
將工作負載的外送流量導向區域內的集中式 Secure Web Proxy 執行個體。

在 Private Service Connect 服務連結模式中部署 Secure Web Proxy。 — 將安全網頁 Proxy 發布為 Private Service Connect 服務，即可集中管理多個虛擬私有雲網路中工作負載的外送流量。(按一下可放大)。

事前準備

完成本頁的步驟前，請先完成初始設定步驟。

建立及設定 Secure Web Proxy 執行個體

本指南說明如何建立 Secure Web Proxy 政策和規則，根據工作階段比對流量。

如要瞭解如何選擇性設定 TLS 檢查功能，請參閱「啟用 TLS 檢查功能」。

如要瞭解如何視需要設定應用程式層級比對，請參閱「部署 Secure Web Proxy 執行個體」。

建立 Secure Web Proxy 政策

控制台

前往 Google Cloud 控制台的「SWP Policies」(SWP 政策) 頁面。

前往 SWP 政策
按一下「建立政策」。
輸入要建立的政策名稱，例如 myswppolicy。
輸入政策說明。
在「區域」清單中，選取要建立網頁 Proxy 政策的區域。
點選「建立」。

Cloud Shell

建立 policy.yaml 檔案。

description: basic Secure Web Proxy policy
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1

更改下列內容：

PROJECT_ID：專案的專案 ID
REGION：政策的區域

根據 policy.yaml 建立 Secure Web Proxy 政策。

gcloud network-security gateway-security-policies import policy1 \
    --source=policy.yaml \
    --location=REGION

在政策中新增 Secure Web Proxy 規則

設定 Secure Web Proxy 規則，允許每個工作負載的輸出流量。

本節說明如何建立規則，允許來自以 Resource Manager 標記或服務帳戶識別的工作負載的流量。如要瞭解如何以其他方式比對流量，請參閱 CEL 比對器語言參考資料。

控制台

前往 Google Cloud 控制台的「SWP Policies」(SWP 政策) 頁面。

前往 SWP 政策
按一下政策名稱。
如要新增規則，允許工作負載存取網際網路，請按照下列步驟操作：
1. 按一下「新增規則」。
2. 輸入優先順序。系統會從最高優先順序到最低優先順序評估規則，其中 0 為最高優先順序。
3. 輸入名稱。
4. 輸入說明。
5. 輸入狀態。
6. 在「動作」部分選取「允許」。
7. 按一下「狀態」，然後選取「已啟用」。
8. 在「工作階段比對」部分，指定工作階段比對條件。
  - 舉例來說，如要允許來自工作負載的流量前往 google.com，且工作負載的 Resource Manager 標記值 ID 為 tagValues/123456，請輸入下列內容：
    
    source.matchTag('tagValues/123456') && host() == 'google.com'
  - 如要允許使用服務帳戶 account-name@my-project.iam.gserviceaccount.com 的工作負載存取 google.com，請輸入下列內容：
    
    source.matchServiceAccount('account-name@my-project.iam.gserviceaccount.com') && host() == 'google.com'
9. 點選「建立」。

Cloud Shell

針對要新增的每項規則，執行下列操作：

建立 rule.yaml 檔案，並指定工作階段比對條件。
- 如要允許來自特定網域的流量，且該流量來自以 Resource Manager 標記值 ID 識別的工作負載，請建立下列檔案：
```
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/RULE_NAME
description: Allow traffic based on tag
enabled: true
priority: PRIORITY
basicProfile: ALLOW
sessionMatcher: source.matchTag('TAG_VALUE_ID') && host() == 'DOMAIN_NAME'
```
  更改下列內容：
  - PROJECT_ID：專案的專案 ID
  - REGION：政策的區域
  - RULE_NAME：規則名稱
  - PRIORITY：規則的優先順序。系統會從最高優先順序到最低優先順序評估規則，其中 0 是最高優先順序
  - TAG_VALUE_ID：要允許流量的工作負載的標記值 ID
  - DOMAIN_NAME：允許流量前往的網域名稱
- 如要允許使用服務帳戶的工作負載將流量傳輸至特定網域，請建立下列檔案：
```
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/RULE_NAME
description: Allow traffic based on service account
enabled: true
priority: PRIORITY
basicProfile: ALLOW
sessionMatcher: source.matchServiceAccount('SERVICE_ACCOUNT') && host() == 'DOMAIN_NAME'
```
  將 SERVICE_ACCOUNT 替換為服務帳戶名稱。

如要使用 rule.yaml 中定義的規則更新政策，請使用下列指令：

gcloud network-security gateway-security-policies rules import RULE_NAME \
   --source=rule.yaml \
   --location=REGION \
   --gateway-security-policy=policy1

部署 Secure Web Proxy 執行個體

在您要用於輸出流量的虛擬私有雲 (VPC) 網路中，以明確轉送模式部署 Secure Web Proxy 執行個體。建立執行個體時，請將其與您在先前步驟中建立的政策和規則建立關聯。

透過 Private Service Connect 服務附件發布 Secure Web Proxy 時，不支援下一個躍點轉送模式。

如要瞭解如何設定執行個體，請參閱「設定網頁 Proxy」。目前不需要完成該頁面的其他步驟。

在中心輻射模型中，將 Secure Web Proxy 部署為 Private Service Connect 服務

本節說明如何使用中樞輻射模型，將 Secure Web Proxy 部署為 Private Service Connect 服務，集中管理輸出流量。