将 Secure Web Proxy 发布为 Private Service Connect 服务

如需集中管理多个 VPC 网络中的 Secure Web Proxy 部署，您可以通过 Private Service Connect 服务连接提供 Secure Web Proxy。

使用 Private Service Connect 部署 Secure Web Proxy 涉及以下步骤：

创建安全 Web 代理政策和规则。
创建使用您的政策的安全 Web 代理实例。
创建服务连接，以将 Secure Web Proxy 实例发布为 Private Service Connect 服务。
在需要连接到安全 Web 代理的每个 VPC 网络中创建 Private Service Connect 使用方端点。
将工作负载的出站流量指向区域内的集中式 Secure Web Proxy 实例。

以 Private Service Connect 服务连接模式部署 Secure Web Proxy。 — 将安全 Web 代理发布为 Private Service Connect 服务，可让您集中管理多个 VPC 网络中工作负载的出站流量。（点击可放大。）

准备工作

在完成本页面中的步骤之前，请先完成初始设置步骤。

创建和配置安全 Web 代理实例

本指南介绍了如何创建安全 Web 代理政策和按会话匹配流量的规则。

如需了解如何选择性地配置 TLS 检查，请参阅启用 TLS 检查。

如需了解如何选择性地配置应用级匹配，请参阅创建和部署 Secure Web Proxy 实例。

创建安全 Web 代理政策

控制台

在 Google Cloud 控制台中，前往 SWP 政策页面。

前往“SWP 政策”页面
点击 创建政策。
输入您要创建的政策的名称，例如 myswppolicy。
输入政策说明。
在区域列表中，选择要在其中创建 Web 代理政策的区域。
点击创建。

Cloud Shell

创建 policy.yaml 文件。

description: basic Secure Web Proxy policy
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1

替换以下内容：

PROJECT_ID：您的项目的 ID
REGION：政策的区域

基于 policy.yaml 创建安全 Web 代理政策。

gcloud network-security gateway-security-policies import policy1 \
    --source=policy.yaml \
    --location=REGION

向政策添加安全 Web 代理规则

配置安全 Web 代理规则，以允许来自每个工作负载的出站流量。

本部分介绍了如何创建规则，以允许来自由 Resource Manager 标记或服务账号标识的工作负载的流量。如需了解以其他方式匹配流量，请参阅 CEL 匹配器语言参考文档。

控制台

在 Google Cloud 控制台中，前往 SWP 政策页面。

前往“SWP 政策”页面
点击您的政策名称。
如需添加规则以允许工作负载访问互联网，请执行以下操作：
1. 点击 添加规则。
2. 输入优先级。规则按照从最高到最低的优先级进行评估，其中 0 是最高优先级。
3. 输入名称。
4. 请输入说明
5. 输入状态。
6. 对于操作，请选择允许。
7. 点击状态，然后选择已启用。
8. 在会话匹配部分，指定会话匹配条件。
  - 例如，如需允许来自具有 Resource Manager 标记值 ID tagValues/123456 的工作负载的流量访问 google.com，请输入以下内容：
    
    source.matchTag('tagValues/123456') && host() == 'google.com'
  - 如需允许使用服务账号 my-service-account@my-project.iam.gserviceaccount.com 的工作负载访问 google.com，请输入以下内容：
    
    source.matchServiceAccount('my-service-account@my-project.iam.gserviceaccount.com') && host() == 'google.com'
9. 点击创建。

Cloud Shell

对于要添加的每条规则，请执行以下操作：

创建一个 rule.yaml 文件，并指定会话匹配条件。
- 如需允许流量从由 Resource Manager 标记值 ID 标识的工作负载流向特定网域，请创建以下文件：
```
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/RULE_NAME
description: Allow traffic based on tag
enabled: true
priority: PRIORITY
basicProfile: ALLOW
sessionMatcher: source.matchTag('TAG_VALUE_ID') && host() == 'DOMAIN_NAME'
```
  替换以下内容：
  - PROJECT_ID：您的项目的 ID
  - REGION：您的政策的区域
  - RULE_NAME：规则的名称
  - PRIORITY：规则的优先级 - 规则按照从最高到最低的优先级进行评估，其中 0 是最高优先级
  - TAG_VALUE_ID：要允许流量的工作负载的标记值 ID
  - DOMAIN_NAME：允许流量流向的域名
- 如需允许流量从使用服务账号的工作负载流向特定网域，请创建以下文件：
```
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/RULE_NAME
description: Allow traffic based on service account
enabled: true
priority: PRIORITY
basicProfile: ALLOW
sessionMatcher: source.matchServiceAccount('SERVICE_ACCOUNT') && host() == 'DOMAIN_NAME'
```
  将 SERVICE_ACCOUNT 替换为服务账号的名称。

如需使用您在 rule.yaml 中定义的规则更新政策，请使用以下命令：

gcloud network-security gateway-security-policies rules import RULE_NAME \
   --source=rule.yaml \
   --location=REGION \
   --gateway-security-policy=policy1

部署安全 Web 代理实例

在您要用于出站流量的 Virtual Private Cloud (VPC) 网络中，以显式路由模式部署 Secure Web Proxy 实例。创建实例时，请将其与您在前面步骤中创建的政策和规则相关联。

通过 Private Service Connect 服务连接发布安全 Web 代理不支持下一个跃点路由模式。

如需了解如何配置实例，请参阅设置 Web 代理。您目前无需完成该页面上的其他步骤。

在 Hub-Spoke 模型中将 Secure Web Proxy 部署为 Private Service Connect 服务

本部分介绍了如何使用枢纽辐射型模型将安全 Web 代理部署为 Private Service Connect 服务，以集中管理出站流量。