このガイドでは、URL リストを使用して、ユーザーがアクセスできる URL を定義する方法について説明します。
準備
初期設定の手順を完了します。
Google Cloud CLI バージョン 406.0.0 以降がインストールされていることを確認します。
gcloud version | head -n1以前のバージョンの gcloud CLI がインストールされている場合は、バージョンを更新します。
gcloud components update --version=406.0.0
空のポリシーを使用して Secure Web Proxy インスタンスを作成する
Secure Web Proxy インスタンスを作成するには、まず空のセキュリティ ポリシーを作成してから、そのポリシーを使用するウェブプロキシを作成する必要があります。
空のセキュリティ ポリシーを作成する
コンソール
Google Cloud コンソールで、[SWP ポリシー] ページに移動します。
[ポリシーを作成] をクリックします。
[名前] フィールドに、ポリシーの名前（
myswppolicyなど）を入力します。[説明] フィールドに、ポリシーの説明（
My new swp policyなど）を入力します。[リージョン] で、ポリシーを作成するリージョン（
us-central1など）を選択します。[作成] をクリックします。
Cloud Shell
任意のテキスト エディタを使用して、
policy.yamlファイルを作成します。作成した
policy.yamlファイルに次の内容を追加します。name: projects/PROJECT_NAME/locations/REGION/gatewaySecurityPolicies/POLICY_NAME description: POLICY_DESCRIPTION次のように置き換えます。
PROJECT_NAME: プロジェクトの名前REGION: ポリシーが作成されるリージョン（us-central1など）POLICY_NAME: ポリシーの名前POLICY_DESCRIPTION: ポリシーの説明
gcloud network-security gateway-security-policies importコマンドを使用して、セキュリティ ポリシーをインポートします。gcloud network-security gateway-security-policies import POLICY_NAME \ --source=POLICY_FILE.yaml \ --location=REGION
ウェブプロキシを作成する
コンソール
Google Cloud コンソールで、[ウェブ プロキシ] ページに移動します。
[セキュア ウェブプロキシを作成] をクリックします。
[名前] フィールドに、ウェブ プロキシの名前（例:
myswp）を入力します。[説明] フィールドに、ウェブプロキシの説明（
My new swpなど）を入力します。[ルーティング モード] で、[明示的] オプションを選択します。
[リージョン] で、ウェブプロキシを作成するリージョン（
us-central1など）を選択します。[ネットワーク] で、ウェブプロキシを作成するネットワークを選択します。
省略可: [ウェブプロキシの IP アドレス] フィールドに、Secure Web Proxy の IP アドレスを入力します。
前の手順で作成したサブネットワークに存在する Secure Web Proxy IP アドレスの範囲から IP アドレスを入力できます。IP アドレスを入力しない場合、Secure Web Proxy インスタンスは選択したサブネットワークから IP アドレスを自動的に選択します。
[証明書] で、ウェブプロキシの作成に使用する証明書を選択します。
[ポリシー] で、ウェブプロキシに関連付けるために作成したポリシーを選択します。
[作成] をクリックします。
Cloud Shell
任意のテキスト エディタを使用して、
gateway.yamlファイルを作成します。gateway.yamlファイルに以下を追加します。name: projects/PROJECT_NAME/locations/REGION/gateways/GATEWAY_NAME type: SECURE_WEB_GATEWAY ports: [GATEWAY_PORT_NUMBERS] certificateUrls: [CERTIFICATE_URLS] gatewaySecurityPolicy: projects/PROJECT_NAME/locations/REGION/gatewaySecurityPolicies/POLICY_NAME network: projects/PROJECT_NAME/global/networks/NETWORK_NAME subnetwork: projects/PROJECT_NAME/regions/REGION/subnetworks/SUBNETWORK addresses: [GATEWAY_IP_ADDRESS] scope: samplescope次のように置き換えます。
GATEWAY_NAME: この Secure Web Proxy インスタンスの名前GATEWAY_PORT_NUMBERS: このゲートウェイのポート番号のリスト（例:[80,443]）CERTIFICATE_URLS: SSL 証明書の URL のリストGATEWAY_IP_ADDRESS: 初期設定手順で以前に作成したプロキシ サブネット内の Secure Web Proxy インスタンスの IP アドレスのオプションのリストIP アドレスを一覧表示しない場合は、フィールドを省略して、ウェブプロキシによって IP アドレスが選択されるようにします。
gcloud network-services gateways importコマンドを使用して、Secure Web Proxy インスタンスを作成します。gcloud network-services gateways import GATEWAY_NAME \ --source=gateway.yaml \ --location=REGION
接続をテストする
接続をテストするには、Virtual Private Cloud（VPC）ネットワーク内の任意の仮想マシン（VM）インスタンスから curl コマンドを使用します。
curl -x https://GATEWAY_IP_ADDRESS:PORT_NUMBER https://www.example.com --proxy-insecure
すべてが正しく機能している場合、Secure Web Proxy インスタンスは 403 Forbidden ステータス コードを返します。このエラーは、次のことを確認します。
Secure Web Proxy インスタンスが正常にデプロイされ、トラフィックをアクティブに受信しています。
Secure Web Proxy ポリシーは、次のセクションで特定の
allowルールを定義するまで、すべてのトラフィックを拒否するというデフォルトのセキュリティ ポスチャーを正しく適用しています。
URL リストを作成する
URL リストを作成してルールを追加するには、次のセクションのタスクを完了します。
URL リストを作成して構成する
コンソール
Google Cloud コンソールで、[URL リスト] ページに移動します。
[URL リストを作成] をクリックします。
作成する URL リストの名前を入力します（例:
myurllist）。URL リストの説明を入力します（例:
My new URL list）。[リージョン] リストで、URL リストを作成するリージョンを選択します。
[リストをアップロード] をクリックして、照合するホスト、URL、パターンのリストをアップロードします。詳細については、UrlList 構文リファレンスをご覧ください。
[作成] をクリックします。
Cloud Shell
任意のテキスト エディタを使用して、任意のファイル名で URL_LIST_FILE
.yaml. ReplaceURL_LIST_FILE` というファイルを作成します。name: projects/PROJECT_ID/locations/REGION/urlLists/URL_LIST_NAME values: URL_LIST以下を置き換えます。
PROJECT_ID: プロジェクトの番号REGION: この URL リストが適用されるリージョンURL_LIST_NAME: 作成する URL リストの名前URL_LIST: 照合するホスト、URL、パターンのリスト
詳細については、UrlList 構文リファレンスをご覧ください。
URL リストのルールファイルの例を次に示します。
name: projects/PROJECT_ID/locations/REGION/urlLists/example-org-allowed-list values: - www.example.com - about.example.com - "*.google.com" - "github.com/example-org/*"アスタリスク（
*）文字は、YAML で特別な意味を持ちます。そのため、*の文字を含む URL は引用符で囲む必要があります。Secure Web Proxy ルールで参照できるように、URL リストを追加します。
gcloud network-security url-lists import URL_LIST_NAME \ --location=REGION \ --project=PROJECT_ID \ --source=URL_LIST_FILE.yaml
ルールの追加
コンソール
Google Cloud コンソールで、[SWP ポリシー] ページに移動します。
プロジェクト セレクタのメニューで、組織 ID またはポリシーを含むフォルダを選択します。
ポリシーの名前をクリックします。
[ルールを追加] をクリックします。
ルール フィールドに、次の内容を入力します。
- 名前
- 説明
- ステータス
- 優先度: ルールの数値評価順序。ルールは、最も高い優先度から順番に評価されます（最も高い優先度は
0）。 - [アクション] セクションで、ルールに一致する接続を許可する（許可）か、拒否する（拒否）かを指定します。
[Session Match] セクションで、以前に作成した URL リストの名前を指定します。次に例を示します。
sessionMatcher: "inUrlList(host(), 'projects/PROJECT_ID/locations/REGION/urlLists/URL_LIST_NAME')"TLS インスペクションを有効にするには、[TLS インスペクションを有効にする] を選択します。
[アプリケーションの一致] セクションで、リクエストの一致条件を指定します。
[作成] をクリックします。
[ルールを追加] をクリックして別のルールを追加します。
[Create] をクリックしてポリシーを作成します。
Cloud Shell
任意のテキスト エディタを使用して、
RULE_FILE.yaml ファイルを作成します。RULE_FILEは、任意のファイル名に置き換えます。name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/POLICY_NAME/rules/RULE_NAME basicProfile: ALLOW enabled: true priority: PRIORITY_VALUE description: RULE_DESCRIPTION sessionMatcher: SESSION_CEL_EXPRESSION applicationMatcher: APPLICATION_CEL_EXPRESSION以下を置き換えます。
PROJECT_ID: プロジェクトの番号REGION: このルールが適用されるリージョンPOLICY_NAME: Secure Web Proxy インスタンスで使用される既存のGatewaySecurityPolicyの名前RULE_NAME: 作成するGatewaySecurityPolicyRuleの名前PRIORITY_VALUE: このルールの優先度値です。数字が小さいほど優先度が高くなりますRULE_DESCRIPTION: 作成するポリシーの説明SESSION_CEL_EXPRESSION: セッションの Common Expression Language（CEL）式APPLICATION_CEL_EXPRESSION: アプリケーションの CEL 式
ルールファイルの例を次に示します。
name: projects/PROJECT_ID/locations/REGION/urlLists/allow-repos basicProfile: ALLOW enabled: true priority: 100 description: Allow access to our list of known code repos. sessionMatcher: "inUrlList(host(), 'projects/PROJECT_ID/locations/REGION/urlLists/URL_LIST_NAME')"先ほど作成した URL リストを使用して、Secure Web Proxy のルールを追加します。
gcloud network-security gateway-security-policies rules import RULE_NAME \ --location=REGION \ --project=PROJECT_ID \ --source=RULE_FILE.yaml \ --gateway-security-policy=POLICY_NAME
接続をテストする
接続をテストするには、次の curl コマンドを使用します。
curl -x https://SWP_IP_ADDRESS:SWP_PORT_NUMBER HTTP_TEST_ADDRESS
--proxy-insecure
以下を置き換えます。
SWP_IP_ADDRESS: ウェブプロキシの IP アドレスSWP_PORT_NUMBER: ウェブプロキシのポート番号（例:443）HTTP_TEST_ADDRESS:URL_LISTのホストまたは URL エントリに一致するテスト対象のアドレス（例:https://www.example.com）
リクエストは成功レスポンスを返します。