サービス アカウントは、アプリケーション、自動プロセス、Compute Engine インスタンスなどのコンピューティング ワークロードが承認された API 呼び出しを行うために使用する、人間以外の特別な Google アカウントです。ユーザー アカウントとは異なり、サービス アカウントは固有のメールアドレスでのみ識別されます。
アプリケーションは、サービス アカウントを使用して認証を行い、Google Cloud リソースへのアクセス権を取得します。アプリケーションがサービス アカウントを使用して認証されると、サービス アカウントに明示的な Identity and Access Management 権限が割り当てられているリソースにアクセスできるようになります。これにより、マシン間の承認のための安全で監査可能な一元化された方法が提供されます。
Secure Web Proxy では、サービス アカウントは認可とポリシーの適用において重要な役割を果たします。サービス アカウントを使用してワークロードのトラフィック ソースを識別することで、IP アドレスだけでなくアプリケーションの ID に基づいてウェブ トラフィックを明示的に許可または拒否する、きめ細かい Secure Web Proxy ポリシーを作成できます。
このページでは、次の方法について説明します。
- 空のポリシーを使用して Secure Web Proxy インスタンスを作成する
- サービス アカウントを作成して IAM ロールを付与する
- Secure Web Proxy ルールを作成する
- Secure Web Proxy 構成全体の接続をテストする
始める前に
初期設定の手順を完了します。
組織管理者にサービス アカウントへのアクセス権の付与をリクエストします。
Google Cloud CLI バージョン 406.0.0 以降がインストールされていることを確認します。
gcloud version | head -n1以前のバージョンの gcloud CLI がインストールされている場合は、バージョンを更新します。
gcloud components update --version=406.0.0
空のポリシーを使用して Secure Web Proxy インスタンスを作成する
Secure Web Proxy インスタンスを作成するには、まず空のセキュリティ ポリシーを作成してから、そのポリシーを使用するウェブプロキシを作成する必要があります。
空のセキュリティ ポリシーを作成する
コンソール
Google Cloud コンソールで、[SWP ポリシー] ページに移動します。
[ポリシーを作成] をクリックします。
[名前] フィールドに、ポリシーの名前（
myswppolicyなど）を入力します。[説明] フィールドに、ポリシーの説明（
My new swp policyなど）を入力します。[リージョン] で、ポリシーを作成するリージョン（
us-central1など）を選択します。[作成] をクリックします。
Cloud Shell
任意のテキスト エディタを使用して
policy.yamlファイルを作成します。作成した
policy.yamlファイルに次の内容を追加します。name: projects/PROJECT_NAME/locations/REGION/gatewaySecurityPolicies/POLICY_NAME description: POLICY_DESCRIPTION次のように置き換えます。
PROJECT_NAME: プロジェクトの名前REGION: ポリシーが作成されるリージョン（us-central1など）POLICY_NAME: ポリシーの名前POLICY_DESCRIPTION: ポリシーの説明
gcloud network-security gateway-security-policies importコマンドを使用して、セキュリティ ポリシーをインポートします。gcloud network-security gateway-security-policies import POLICY_NAME \ --source=POLICY_FILE.yaml \ --location=REGION
ウェブプロキシを作成する
コンソール
Google Cloud コンソールで、[ウェブ プロキシ] ページに移動します。
[セキュア ウェブプロキシを作成] をクリックします。
[名前] フィールドに、ウェブ プロキシの名前（
myswpなど）を入力します。[説明] フィールドに、ウェブプロキシの説明（
My new swpなど）を入力します。[ルーティング モード] で、[明示的] オプションを選択します。
[リージョン] で、ウェブプロキシを作成するリージョン（
us-central1など）を選択します。[ネットワーク] で、ウェブプロキシを作成するネットワークを選択します。
省略可: [ウェブプロキシの IP アドレス] フィールドに、Secure Web Proxy の IP アドレスを入力します。
前の手順で作成したサブネットワークに存在する Secure Web Proxy IP アドレスの範囲から IP アドレスを入力できます。IP アドレスを入力しない場合、Secure Web Proxy インスタンスは選択したサブネットワークから IP アドレスを自動的に選択します。
[証明書] で、ウェブプロキシの作成に使用する証明書を選択します。
[ポリシー] で、ウェブプロキシに関連付けるために作成したポリシーを選択します。
[作成] をクリックします。
Cloud Shell
任意のテキスト エディタを使用して
gateway.yamlファイルを作成します。gateway.yamlファイルに以下を追加します。name: projects/PROJECT_NAME/locations/REGION/gateways/GATEWAY_NAME type: SECURE_WEB_GATEWAY ports: [GATEWAY_PORT_NUMBERS] certificateUrls: [CERTIFICATE_URLS] gatewaySecurityPolicy: projects/PROJECT_NAME/locations/REGION/gatewaySecurityPolicies/POLICY_NAME network: projects/PROJECT_NAME/global/networks/NETWORK_NAME subnetwork: projects/PROJECT_NAME/regions/REGION/subnetworks/SUBNETWORK addresses: [GATEWAY_IP_ADDRESS] scope: samplescope次のように置き換えます。
GATEWAY_NAME: この Secure Web Proxy インスタンスの名前GATEWAY_PORT_NUMBERS: このゲートウェイのポート番号のリスト（例:[80,443]）CERTIFICATE_URLS: SSL 証明書の URL のリストGATEWAY_IP_ADDRESS: 初期設定手順で以前に作成したプロキシ サブネット内の Secure Web Proxy インスタンスの IP アドレスのオプションのリストIP アドレスを一覧表示しない場合は、フィールドを省略して、ウェブプロキシによって IP アドレスが選択されるようにします。
gcloud network-services gateways importコマンドを使用して、Secure Web Proxy インスタンスを作成します。gcloud network-services gateways import GATEWAY_NAME \ --source=gateway.yaml \ --location=REGION
接続をテストする
接続をテストするには、Virtual Private Cloud（VPC）ネットワーク内の任意の仮想マシン（VM）インスタンスから curl コマンドを使用します。
curl -x https://GATEWAY_IP_ADDRESS:PORT_NUMBER https://www.example.com --proxy-insecure
すべてが正常に機能している場合、Secure Web Proxy インスタンスは 403 Forbidden ステータス コードを返します。このエラーは、次のことを確認します。
Secure Web Proxy インスタンスが正常にデプロイされ、トラフィックをアクティブに受信しています。
Secure Web Proxy ポリシーは、次のセクションで特定の
allowルールを定義するまで、すべてのトラフィックを拒否するというデフォルトのセキュリティ ポスチャーを正しく適用しています。
サービス アカウントの作成と IAM ロールの付与
サービス アカウントを作成する:
gcloud iam service-accounts createコマンドを使用して、 Google Cloudプロジェクトにmy-swp-saという名前のサービス アカウントを作成します。gcloud iam service-accounts create my-swp-sa \ --display-name="Secure Web Proxy service account" \ --description="Service account for Secure Web Proxy instances"
サービス アカウントに IAM ロールを付与する:
gcloud projects add-iam-policy-bindingコマンドを使用して、 Google Cloud プロジェクト内のリソースを管理または使用できるように、必要な IAM ロールをサービス アカウントに付与します。たとえば、サービス アカウントがネットワーク リソースを使用できるようにするには、Compute ネットワーク ユーザーロール（
roles/compute.networkUser）を付与します。gcloud projects add-iam-policy-binding PROJECT_ID \ --member="serviceAccount:my-swp-sa@PROJECT_ID.iam.gserviceaccount.com" \ --role="roles/compute.networkUser"
PROJECT_IDは、Google Cloud プロジェクトの ID に置き換えます。
Secure Web Proxy ルールを作成する
コンソール
Google Cloud コンソールで、[SWP ポリシー] ページに移動します。
以前に作成したポリシーの名前（
myswppolicyなど）をクリックします。[ルールを追加] をクリックします。
ルールごとに次の操作を行います。
[優先度] フィールドに、ルールの数値評価順序を入力します。ルールは、最も高い優先度から順番に評価されます（最も高い優先度は
0）。[名前] フィールドに、ルールの名前を入力します。
[説明] フィールドに、ルールの説明を入力します。
[アクション] で、次のいずれかのオプションを選択します。
- 許可: ルールに一致する接続リクエストを許可します。
- 拒否: ルールに一致する接続リクエストを拒否します。
[ステータス] フィールドで、ルールの適用について次のいずれかのオプションを選択します。
- 有効: Secure Web Proxy インスタンスにルールを適用します。
- 無効: Secure Web Proxy インスタンスにルールを適用しない場合。
[セッション一致] セクションで、以前に作成したサービス アカウントのメールアドレスを指定します。次に例を示します。
sessionMatcher: "source.matchServiceAccount(SERVICE_ACCOUNT) && host() == 'example.com'"SessionMatcherの構文の詳細については、CEL マッチャーの言語リファレンスをご覧ください。[アプリケーションの一致] セクションで、リクエストの一致条件を指定します。
[ルールを追加] をクリックします。
別のルールを追加するには、[ルールを追加] をクリックします。
Cloud Shell
任意のテキスト エディタを使用して
rule.yamlファイルを作成します。適切なサービス アカウントから URL へのアクセスを許可するには、作成した
rule.yamlファイルに次の行を追加します。name: projects/PROJECT_NAME/locations/REGION/gatewaySecurityPolicies/POLICY_NAME/rules/RULE_NAME description: RULE_DESCRIPTION enabled: true priority: RULE_PRIORITY sessionMatcher: CEL_EXPRESSION basicProfile: ALLOW次のように置き換えます。
RULE_NAME: このルールの名前RULE_DESCRIPTION: ルールの説明RULE_PRIORITY: このルールの優先度。数値が小さいほど優先度が高くなりますCEL_EXPRESSION: Common Expression Language（CEL）式。詳細については、CEL マッチャーの言語リファレンスをご覧ください。
たとえば、必要なサービス アカウントを持つリソースから
example.comへのアクセスを許可するには、sessionMatcher用に作成した YAML ファイルに以下を追加します。```yaml sessionMatcher: "source.matchServiceAccount('SERVICE_ACCOUNT') && host() == 'example.com'" ```SERVICE_ACCOUNTは、許可するサービス アカウントに置き換えます。これはサービス アカウントのメールアドレスである必要があります。gcloud network-security gateway-security-policies rules importコマンドを使用して、作成したルールをインポートします。gcloud network-security gateway-security-policies rules import RULE_NAME \ --source=RULE_FILE.yaml \ --location=REGION \ --gateway-security-policy=POLICY_NAME
接続をテストする
接続を再度テストして、サービス アカウント、セキュリティ ポリシー ルール、ゲートウェイなど、Secure Web Proxy 構成全体が意図したとおりに機能していることを確認できます。
接続をテストするには、SERVICE_ACCOUNT がアタッチされたリソース（VM インスタンスなど）から curl コマンドを使用します。
curl -x https://IPv4_ADDRESS:443 http://example.com
--proxy-insecure
IPv4_ADDRESS は、Secure Web Proxy インスタンスの IPv4 アドレスに置き換えます。
すべてが正常に機能している場合は、200 OK ステータス コードが返されます。このステータス コードは、次の主な結果を確認します。
認証の成功: リソースから発信されたトラフィックが、割り当てられたサービス アカウントによって正しく識別され、この ID がセキュリティ ポリシーに追加した
allowルールと正常に一致したことを証明します。エンドツーエンド機能: 構成されたパス（リソース > Secure Web Proxy インスタンス > セキュリティ ポリシーの通過 > 外部宛先）をトラフィックが正しく流れていることを検証します。