서비스 계정은 특수한 유형의 계정이며, 일반적으로 인간이 아닌 애플리케이션 또는 컴퓨팅 워크로드(예: Compute Engine 인스턴스)에서 사용합니다. 이 계정은 계정 고유의 이메일 주소로 식별됩니다.
애플리케이션은 서비스 계정을 사용해 인증된 API 호출을 수행하는데, 이 인증은 서비스 계정 자체로 이루어지거나 Google Workspace 또는 도메인 전체 위임을 통해 Cloud ID 사용자로서 이루어집니다. 애플리케이션이 서비스 계정으로 인증되면 서비스 계정에 액세스 권한이 있는 모든 리소스에 액세스할 수 있습니다.
서비스 계정을 사용하여 트래픽 소스를 식별하고 필요에 따라 보안 웹 프록시 정책을 구성할 수 있습니다.
이 가이드에서는 다음을 수행하는 방법을 보여줍니다.
- 빈 정책으로 보안 웹 프록시 인스턴스를 만듭니다.
- 서비스 계정을 만들고 리소스에 연결합니다.
- 서비스 계정을 사용하여 보안 웹 프록시 정책을 만듭니다.
- 보안 웹 프록시 인스턴스를 만듭니다.
- VM에서 연결을 테스트합니다.
시작하기 전에
초기 설정 단계를 완료합니다.
조직 관리자에게 서비스 계정에 대한 액세스 권한을 부여합니다.
Google Cloud CLI 버전 406.0.0 이상이 설치되었는지 확인합니다.
gcloud version | head -n1이전 gcloud CLI 버전이 설치되어 있는 경우 버전을 업데이트합니다.
gcloud components update --version=406.0.0
빈 정책으로 보안 웹 프록시 인스턴스 만들기
보안 웹 프록시 인스턴스를 만들려면 먼저 빈 보안 정책을 만든 다음 정책을 사용하는 웹 프록시를 만들어야 합니다.
빈 보안 정책 만들기
콘솔
Google Cloud 콘솔에서 SWP 정책 페이지로 이동합니다.
정책 만들기를 클릭합니다.
이름 필드에 정책 이름(예:
myswppolicy)을 입력합니다.설명 필드에 정책에 대한 설명을 입력합니다(예:
My new swp policy).리전에서 정책을 만들 리전(예:
us-central1)을 선택합니다.만들기를 클릭합니다.
Cloud Shell
원하는 텍스트 편집기를 사용하여
policy.yaml파일을 만듭니다.만든
policy.yaml파일에 다음을 추가합니다.name: projects/PROJECT_NAME/locations/REGION/gatewaySecurityPolicies/POLICY_NAME description: POLICY_DESCRIPTION다음을 바꿉니다.
PROJECT_NAME: 프로젝트 이름REGION: 정책이 생성된 리전(예:us-central1)POLICY_NAME: 정책 이름POLICY_DESCRIPTION: 정책에 대한 설명
gcloud network-security gateway-security-policies import명령어를 사용하여 보안 정책을 가져옵니다.gcloud network-security gateway-security-policies import POLICY_NAME \ --source=POLICY_FILE.yaml \ --location=REGION
웹 프록시 만들기
콘솔
Google Cloud 콘솔에서 웹 프록시 페이지로 이동합니다.
보안 웹 프록시 만들기를 클릭합니다.
이름 필드에 웹 프록시의 이름(예:
myswp)을 입력합니다.설명 필드에 웹 프록시에 대한 설명(예:
My new swp)을 입력합니다.라우팅 모드에서 명시적 옵션을 선택합니다.
리전에서 웹 프록시를 만들 리전을 선택합니다(예:
us-central1).네트워크에서 웹 프록시를 만들 네트워크를 선택합니다.
(선택사항) 웹 프록시 IP 주소 필드에 보안 웹 프록시 IP 주소를 입력합니다.
이전 단계에서 만든 서브네트워크에 있는 보안 웹 프록시 IP 주소 범위의 IP 주소를 입력할 수 있습니다. IP 주소를 입력하지 않으면 보안 웹 프록시 인스턴스가 선택한 서브네트워크에서 IP 주소를 자동으로 선택합니다.
인증서에서 웹 프록시를 만드는 데 사용할 인증서를 선택합니다.
정책에서 웹 프록시를 연결하기 위해 만든 정책을 선택합니다.
만들기를 클릭합니다.
Cloud Shell
원하는 텍스트 편집기를 사용하여
gateway.yaml파일을 만듭니다.gateway.yaml파일에 다음을 추가합니다.name: projects/PROJECT_NAME/locations/REGION/gateways/GATEWAY_NAME type: SECURE_WEB_GATEWAY ports: [GATEWAY_PORT_NUMBERS] certificateUrls: [CERTIFICATE_URLS] gatewaySecurityPolicy: projects/PROJECT_NAME/locations/REGION/gatewaySecurityPolicies/POLICY_NAME network: projects/PROJECT_NAME/global/networks/NETWORK_NAME subnetwork: projects/PROJECT_NAME/regions/REGION/subnetworks/SUBNETWORK addresses: [GATEWAY_IP_ADDRESS] scope: samplescope다음을 바꿉니다.
GATEWAY_NAME: 이 보안 웹 프록시 인스턴스의 이름GATEWAY_PORT_NUMBERS: 이 게이트웨이의 포트 번호 목록(예:[80,443])CERTIFICATE_URLS: SSL 인증서 URL 목록GATEWAY_IP_ADDRESS: 이전에 초기 설정 단계에서 만든 프록시 서브넷 내의 보안 웹 프록시 인스턴스에 대한 IP 주소 목록(선택사항)IP 주소를 나열하지 않도록 선택한 경우 웹 프록시가 자동으로 IP 주소를 선택하도록 필드를 생략합니다.
gcloud network-services gateways import명령어를 사용하여 보안 웹 프록시 인스턴스를 만듭니다.gcloud network-services gateways import GATEWAY_NAME \ --source=gateway.yaml \ --location=REGION
연결 테스트
연결을 테스트하려면 Virtual Private Cloud (VPC) 네트워크 내의 모든 가상 머신 (VM) 인스턴스에서 curl 명령어를 사용합니다.
curl -x https://GATEWAY_IP_ADDRESS:PORT_NUMBER https://www.example.com --proxy-insecure
모든 것이 올바르게 작동하면 보안 웹 프록시 인스턴스가 403 Forbidden 상태 코드를 반환합니다. 이 오류는 다음을 확인합니다.
보안 웹 프록시 인스턴스가 성공적으로 배포되었으며 트래픽을 수신하고 있습니다.
보안 웹 프록시 정책은 다음 섹션에서 특정
allow규칙을 정의할 때까지 모든 트래픽을 거부하는 기본 보안 자세를 올바르게 적용합니다.
서비스 계정을 만들고 리소스에 연결
서비스 계정을 만들고 연결하려면 다음을 수행합니다.
보안 웹 프록시 규칙 만들기
보안 웹 프록시 규칙을 만들려면 다음을 수행합니다.
원하는 텍스트 편집기를 사용하여
RULE_FILE.yaml 파일을 만듭니다.RULE_FILE을 선택한 파일 이름으로 바꿉니다.선택한 서비스 계정의 URL에 대한 액세스를 허용하려면 YAML 파일에 다음을 추가합니다.
name: projects/PROJECT_NAME/locations/REGION/gatewaySecurityPolicies/POLICY_NAME/rules/RULE_NAME description: RULE_DESCRIPTION enabled: true priority: RULE_PRIORITY sessionMatcher: CEL_EXPRESSION basicProfile: ALLOW다음을 바꿉니다.
RULE_NAME: 이 규칙의 이름RULE_DESCRIPTION: 만들려는 규칙에 대한 설명RULE_PRIORITY: 이 규칙의 우선순위입니다. 숫자가 작을수록 우선순위가 높습니다.CEL_EXPRESSION: Common Expression Language(CEL) 표현식자세한 내용은 CEL 일치자 언어 참조를 참조하세요.
예를 들어 원하는 서비스 계정이 연결된 리소스에서
example.com에 대한 액세스를 허용하려면sessionMatcher에 대해 만든 YAML 파일에 다음을 추가합니다.sessionMatcher: "source.matchServiceAccount('SERVICE_ACCOUNT') && host() == 'example.com'"SERVICE_ACCOUNT를 허용하려는 서비스 계정으로 바꿉니다. 서비스 계정의 이메일 주소여야 합니다.
만든 규칙을 가져옵니다.
gcloud network-security gateway-security-policies rules import RULE_NAME \ --source=RULE_FILE.yaml \ --location=REGION \ --gateway-security-policy=POLICY_NAME
연결 테스트
연결을 테스트하려면 연결된 SERVICE_ACCOUNT가 있는 리소스에서 curl 명령어를 사용합니다.
curl -x https://IPv4_ADDRESS:443 http://example.com
--proxy-insecure
IPv4_ADDRESS를 보안 웹 프록시 인스턴스의 IPv4 주소로 바꿉니다.