Anwendungssicherheit

Regions-ID

REGION_ID ist ein abgekürzter Code, den Google anhand der Region zuweist, die Sie beim Erstellen Ihrer Anwendung ausgewählt haben. Der Code bezieht sich nicht auf ein Land oder eine Provinz, auch wenn einige Regions-IDs häufig verwendeten Länder- und Provinzcodes ähneln können. Bei Anwendungen, die nach Februar 2020 erstellt wurden, ist REGION_ID.r in den App Engine-URLs enthalten. Bei Anwendungen, die vor diesem Datum erstellt wurden, ist die Regions-ID in der URL optional.

Hier finden Sie weitere Informationen zu Regions-IDs.

OK

Sicherheit ist eine Hauptfunktion von Google Cloud. Dennoch sollten Sie Vorkehrungen treffen, um Ihre App Engine-Anwendung zu schützen und Sicherheitslücken zu identifizieren.

Mit den hier aufgeführten Funktionen können Sie dafür sorgen, dass Ihre App Engine-Anwendung sicher ist. Weitere Informationen zum Sicherheitsmodell von Google und den möglichen Schritten zur Absicherung Ihrer Google Cloud -Projekte finden Sie unter Sicherheit in derGoogle Cloud .

HTTPS-Anfragen

Mit HTTPS-Anfragen können Sie sicher auf Ihre App Engine-Anwendung zugreifen. Je nachdem, wie Ihre Anwendung konfiguriert ist, haben Sie die folgenden Möglichkeiten:

appspot.com-Domains

• Verwenden Sie das URL-Präfix https, um eine HTTPS-Anfrage an den Dienst default Ihres Google Cloud -Projekts zu senden. Beispiel:
  https://PROJECT_ID.REGION_ID.r.appspot.com

• Wenn Sie bestimmte Ressourcen in Ihrer App Engine-Anwendung als Ziel angeben möchten, trennen Sie diese mit der Syntax -dot-. Beispiel:
  https://VERSION-dot-SERVICE-dot-PROJECT_ID.REGION_ID.r.appspot.com

• Wenn Sie eine HTTP-URL in eine HTTPS-URL konvertieren möchten, ersetzen Sie die Punkte zwischen den einzelnen Ressourcen durch -dot-. Beispiel:
  http://SERVICE_ID.PROJECT_ID.REGION_ID.r.appspot.com
https://SERVICE_ID-dot-PROJECT_ID.REGION_ID.r.appspot.com

Weitere Informationen zu HTTPS-URLs und Ressourcenzielen finden Sie unter Anfragerouting.

Benutzerdefinierte Domains

Sie können die verwalteten SSL-Zertifikate von App Engine verwenden, um HTTPS-Anfragen mit Ihrer benutzerdefinierten Domain zu senden. Weitere Informationen finden Sie unter Benutzerdefinierte Domains mit SSL sichern.

Zugriffssteuerung

Richten Sie in jedem Google Cloud -Projekt die Zugriffssteuerung ein. Damit können Sie festlegen, wer auf die Dienste innerhalb des Projekts zugreifen kann, einschließlich App Engine. Sie können unterschiedlichen Konten unterschiedliche Rollen zuweisen, damit jedes Konto nur die zur Anwendungsunterstützung erforderlichen Berechtigungen hat. Details finden Sie unter Zugriffssteuerung einrichten.

App Engine-Firewall

Mit der App Engine-Firewall können Sie den Zugriff auf Ihre App Engine-App über eine Reihe von Regeln steuern, die Anfragen von den angegebenen IP-Adressbereichen zulassen oder ablehnen. Sie müssen keine Gebühren für von der Firewall blockierten Traffic bzw. blockierte Bandbreite zahlen. Eine Firewall kann für folgende Szenarien erstellt werden:

Traffic nur innerhalb eines bestimmten Netzwerks zulassen

Damit wird sichergestellt, dass nur ein konkreter Bereich von IP-Adressen bestimmter Netzwerke auf die Anwendung zugreifen kann. Beispielsweise können Sie Regeln erstellen, die festlegen, dass während der Testphase der Anwendung nur der angegebene Bereich von IP-Adressen aus dem privaten Netzwerk Ihres Unternehmens zulässig ist. Sie können dann Firewallregeln erstellen und bearbeiten, um den Umfang des Zugriffs während des gesamten Veröffentlichungsprozesses zu steuern. Dann haben nur bestimmte Organisationen innerhalb oder außerhalb Ihres Unternehmens die Möglichkeit, auf die Anwendung zuzugreifen, bis diese öffentlich verfügbar ist.

Traffic nur von einem bestimmten Dienst zulassen

Damit wird sichergestellt, dass der gesamte Traffic zur App Engine-Anwendung zuerst über einen bestimmten Dienst geleitet wird. Wenn Sie beispielsweise als Proxy für Anfragen, die direkt an die Anwendung gerichtet werden, die Web Application Firewall (WAF) eines Drittanbieters verwenden, können Sie mit Firewallregeln alle Anfragen mit Ausnahme derjenigen ablehnen, die von Ihrer WAF weitergeleitet werden.

Missbräuchliche IP-Adressen blockieren

Google Cloud verfügt über viele Mechanismen, um Angriffe zu verhindern. Sie können die App Engine-Firewall verwenden, um Traffic von IP-Adressen mit böswilligen Absichten zu blockieren oder Ihre Anwendung vor Denial-of-Service-Angriffen und ähnlichen Formen des Missbrauchs zu schützen. Sie können IP-Adressen oder Subnetzwerke zu einer Sperrliste hinzufügen, damit Anfragen, die von diesen Adressen und Subnetzwerken weitergeleitet werden, abgelehnt werden, bevor sie Ihre App Engine-Anwendung erreichen.

Wie Sie Regeln erstellen und die Firewall konfigurieren, erfahren Sie unter Zugriff auf Anwendungen mit Firewalls steuern.

Steuerelemente für eingehenden Traffic

Sie können mit Ingress-Steuerelementen den eingehenden Traffic für Ihre App Engine-Anwendung einschränken. Standardmäßig akzeptiert Ihre App Engine-Anwendung Traffic von allen Netzwerkquellen. Informationen zum Ändern der Standardeinstellungen sowie zum Bearbeiten und Aufrufen der verfügbaren Einstellungen finden Sie unter Einstellungen für eingehenden Traffic festlegen.

Steuerelemente für ausgehenden Traffic

Standardmäßig erhalten Instanzen in der flexiblen Umgebung eine sitzungsspezifische externe IP-Adresse, um ausgehende Anfragen an Ressourcen im Internet zu senden. Wenn Sie verhindern möchten, dass Instanzen standardmäßige sitzungsspezifische externe IP-Adressen verwenden, legen Sie instance_ip_mode: internal in Ihrer app.yaml-Datei fest und leiten Sie ausgehenden Internettraffic über Cloud NAT mit reservierten statischen IP-Adressen weiter. Die Konfigurationsschritte finden Sie unter Externe Anfragen ohne externe IP-Adresse senden.

Risiken bei gemeinsam genutztem ausgehendem Internet-Traffic und zulässige Verwendung

Standardmäßig werden für ausgehenden Traffic zum öffentlichen Internet sitzungsspezifische externe IP-Adressen aus einem freigegebenen Google Cloud -Pool verwendet. Beachten Sie die folgenden Risiken und Verantwortlichkeiten:

Früherer oder störender Traffic im freigegebenen IP-Adresspool kann die Reputation sitzungsspezifischer externer IP-Adressen beeinträchtigen. Externe Firewalls und Web Application Firewalls (WAFs) von Drittanbietern können Anfragen von diesen IP-Adressen drosseln oder blockieren, was zu Verbindungszeitüberschreitungen oder HTTP 403-Fehlern führt.

Verwenden Sie keine standardmäßigen sitzungsspezifischen externen IP-Adressen für reputationssensitive externe Endpunkte wie Zahlungsgateways, gehostete Datenbanken oder Partner-APIs hinter WAFs. Legen Sie stattdessen instance_ip_mode: internal fest und verwenden Sie Cloud NAT mit dedizierten statischen externen IP-Adressen, wie unter Externe Anfragen ohne externe IP-Adresse senden beschrieben.

Führen Sie keine Netzwerkscans, Portaufzählungen, Host-Fingerprinting, Sicherheitslückenprüfungen, Web-Scraping oder Lasttests über standardmäßige sitzungsspezifische externe IP-Adressen aus. Nicht isolierte Scanaktivitäten beeinträchtigen die IP-Reputation, können den Dienst für andere Kunden stören und verstoßen gegen die Google Cloud Richtlinien zur zulässigen Verwendung. Außerdem kann Google Ihre Arbeitslast drosseln oder sperren.

Wenn Sie autorisierte Sicherheitsscans, Host-Fingerprinting oder Lasttests ausführen, müssen Sie den ausgehenden Traffic isolieren. Konfigurieren Sie Instanzen mit instance_ip_mode: internal und leiten Sie ausgehende Anfragen über Cloud NAT mit Ihren eigenen statischen externen IP-Adressen weiter.

Sicherheitsscanner

Der Google Cloud Web Security Scanner durchsucht Ihre App Engine-Anwendung auf Sicherheitslücken. Dafür folgt er allen Links im Bereich der Start-URLs und versucht, so viele Nutzereingaben und Event-Handler wie möglich anzuwenden.

Sie müssen Inhaber desGoogle Cloud -Projekts sein, um den Sicherheitsscanner verwenden zu können. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriffssteuerung einrichten.

Ermitteln Sie Sicherheitslücken in Ihrer App Engine-Anwendung mit den Sicherheitsscans der Google Cloud Console. Weitere Informationen zum Ausführen des Security Scanners finden Sie unter Web Security Scanner einsetzen.

VPC Service Controls

In der flexiblen App Engine-Umgebung nicht unterstützt.