Anwendungssicherheit

Regions-ID

REGION_ID ist ein abgekürzter Code, den Google anhand der Region zuweist, die Sie beim Erstellen Ihrer Anwendung ausgewählt haben. Der Code bezieht sich nicht auf ein Land oder eine Provinz, auch wenn einige Regions-IDs häufig verwendeten Länder- und Provinzcodes ähneln können. Bei Anwendungen, die nach Februar 2020 erstellt wurden, ist REGION_ID.r in den App Engine-URLs enthalten. Bei Anwendungen, die vor diesem Datum erstellt wurden, ist die Regions-ID in der URL optional.

Hier finden Sie weitere Informationen zu Regions-IDs.

Sicherheit ist eine Hauptfunktion von Google Cloud. Dennoch sollten Sie Vorkehrungen treffen, um Ihre App Engine-Anwendung zu schützen und Sicherheitslücken zu identifizieren.

Mit den hier aufgeführten Funktionen können Sie dafür sorgen, dass Ihre App Engine-Anwendung sicher ist. Weitere Informationen zum Sicherheitsmodell von Google und den möglichen Schritten zur Absicherung Ihrer Google Cloud -Projekte finden Sie unter Sicherheit in derGoogle Cloud .

HTTPS-Anfragen

Mit HTTPS-Anfragen können Sie sicher auf Ihre App Engine-Anwendung zugreifen. Je nachdem, wie Ihre Anwendung konfiguriert ist, haben Sie die folgenden Möglichkeiten:

appspot.com-Domains
  • Verwenden Sie das URL-Präfix https, um eine HTTPS-Anfrage an den Dienst default Ihres Google Cloud -Projekts zu senden. Beispiel:
    https://PROJECT_ID.REGION_ID.r.appspot.com

  • Wenn Sie bestimmte Ressourcen in Ihrer App Engine-Anwendung als Ziel angeben möchten, trennen Sie diese mit der Syntax -dot-. Beispiel:
    https://VERSION-dot-SERVICE-dot-PROJECT_ID.REGION_ID.r.appspot.com

  • Wenn Sie eine HTTP-URL in eine HTTPS-URL konvertieren möchten, ersetzen Sie die Punkte zwischen den einzelnen Ressourcen durch -dot-. Beispiel:
    http://SERVICE_ID.PROJECT_ID.REGION_ID.r.appspot.com
    https://SERVICE_ID-dot-PROJECT_ID.REGION_ID.r.appspot.com

Weitere Informationen zu HTTPS-URLs und Ressourcenzielen finden Sie unter Anfragerouting.

Benutzerdefinierte Domains

Sie können die verwalteten SSL-Zertifikate von App Engine verwenden, um HTTPS-Anfragen mit Ihrer benutzerdefinierten Domain zu senden. Weitere Informationen finden Sie unter Benutzerdefinierte Domains mit SSL sichern.

Zugriffssteuerung

Richten Sie in jedem Google Cloud -Projekt die Zugriffssteuerung ein. Damit können Sie festlegen, wer auf die Dienste innerhalb des Projekts zugreifen kann, einschließlich App Engine. Sie können unterschiedlichen Konten unterschiedliche Rollen zuweisen, damit jedes Konto nur die zur Anwendungsunterstützung erforderlichen Berechtigungen hat. Details finden Sie unter Zugriffssteuerung einrichten.

App Engine-Firewall

Mit der App Engine-Firewall können Sie den Zugriff auf Ihre App Engine-App über eine Reihe von Regeln steuern, die Anfragen von den angegebenen IP-Adressbereichen zulassen oder ablehnen. Sie müssen keine Gebühren für von der Firewall blockierten Traffic bzw. blockierte Bandbreite zahlen. Eine Firewall kann für folgende Szenarien erstellt werden:

Traffic nur innerhalb eines bestimmten Netzwerks zulassen
Damit wird sichergestellt, dass nur ein konkreter Bereich von IP-Adressen bestimmter Netzwerke auf die Anwendung zugreifen kann. Beispielsweise können Sie Regeln erstellen, die festlegen, dass während der Testphase der Anwendung nur der angegebene Bereich von IP-Adressen aus dem privaten Netzwerk Ihres Unternehmens zulässig ist. Sie können dann Firewallregeln erstellen und bearbeiten, um den Umfang des Zugriffs während des gesamten Veröffentlichungsprozesses zu steuern. Dann haben nur bestimmte Organisationen innerhalb oder außerhalb Ihres Unternehmens die Möglichkeit, auf die Anwendung zuzugreifen, bis diese öffentlich verfügbar ist.
Traffic nur von einem bestimmten Dienst zulassen
Damit wird sichergestellt, dass der gesamte Traffic zur App Engine-Anwendung zuerst über einen bestimmten Dienst geleitet wird. Wenn Sie beispielsweise als Proxy für Anfragen, die direkt an die Anwendung gerichtet werden, die Web Application Firewall (WAF) eines Drittanbieters verwenden, können Sie mit Firewallregeln alle Anfragen mit Ausnahme derjenigen ablehnen, die von Ihrer WAF weitergeleitet werden.
Missbräuchliche IP-Adressen blockieren
Google Cloud verfügt über viele Mechanismen, um Angriffe zu verhindern. Sie können die App Engine-Firewall verwenden, um Traffic von IP-Adressen mit böswilligen Absichten zu blockieren oder Ihre Anwendung vor Denial-of-Service-Angriffen und ähnlichen Formen des Missbrauchs zu schützen. Sie können IP-Adressen oder Subnetzwerke zu einer Sperrliste hinzufügen, damit Anfragen, die von diesen Adressen und Subnetzwerken weitergeleitet werden, abgelehnt werden, bevor sie Ihre App Engine-Anwendung erreichen.

Wie Sie Regeln erstellen und die Firewall konfigurieren, erfahren Sie unter Zugriff auf Anwendungen mit Firewalls steuern.

Steuerelemente für eingehenden Traffic

Sie können mit Ingress-Steuerelementen den eingehenden Traffic für Ihre App Engine-Anwendung einschränken. Standardmäßig akzeptiert Ihre App Engine-Anwendung Traffic von allen Netzwerkquellen. Informationen zum Ändern der Standardeinstellungen sowie zum Bearbeiten und Aufrufen der verfügbaren Einstellungen finden Sie unter Einstellungen für eingehenden Traffic festlegen.

Steuerelemente für ausgehenden Traffic

Mit den Einstellungen für ausgehenden Traffic wird festgelegt, welcher ausgehende Traffic von Ihrem App Engine-Dienst über Ihr Virtual Private Cloud-Netzwerk (VPC) geleitet wird, wenn Sie Direct VPC Egress (Vorschau) oder einen Connector für serverlosen VPC-Zugriff verwenden. Standardmäßig werden nur Anfragen an private IP-Adressen über Ihr VPC-Netzwerk weitergeleitet, während Anfragen an öffentliche Ziele direkt an das Internet weitergeleitet werden. Mit den Einstellungen für die Steuerung des ausgehenden Traffics können Sie den gesamten ausgehenden Traffic (all-traffic) von Ihrem App Engine-Dienst über Ihr VPC-Netzwerk weiterleiten. Informationen zum Konfigurieren von Einstellungen für ausgehenden Traffic für Ihre Anwendung finden Sie unter Einstellungen für ausgehenden Traffic.

Risiken bei gemeinsam genutztem ausgehendem Internet-Traffic und zulässige Verwendung

Standardmäßig wird für ausgehenden Traffic an das öffentliche Internet ein regionaler Pool dynamischer IP-Adressen verwendet, der mit anderen serverlosen Arbeitslasten geteilt wird. Beachten Sie die folgenden Risiken und Verantwortlichkeiten:

  • Störender oder missbräuchlicher Traffic von einer anderen Arbeitslast in der Region kann die Reputation des freigegebenen IP-Adresspools beeinträchtigen. Externe Firewalls und Web Application Firewalls (WAFs) von Drittanbietern können Anfragen von diesen freigegebenen IP-Adressen drosseln oder blockieren, was zu Verbindungszeitüberschreitungen oder HTTP 403-Fehlern führt.
  • Verwenden Sie den standardmäßigen freigegebenen IP-Pool nicht für reputationssensitive externe Endpunkte wie Zahlungs-Gateways, gehostete Datenbanken oder Partner-APIs hinter WAFs. Leiten Sie stattdessen den gesamten ausgehenden Traffic (all-traffic) über Ihr VPC-Netzwerk weiter und verwenden Sie Cloud NAT mit dedizierten statischen ausgehenden IP-Adressen.
  • Führen Sie keine Netzwerkscans, Portaufzählungen, Host-Fingerprinting, Sicherheitslückenprüfungen, Web-Scraping oder Lasttests über den standardmäßigen freigegebenen ausgehenden Internetpfad aus. Diese Aktivität beeinträchtigt die Reputation der gemeinsam genutzten IP-Adresse, kann den Dienst für andere Kunden stören, was gegen die Richtlinien zur zulässigen Verwendung vonGoogle Cloud verstößt, und kann dazu führen, dass Google Ihre Arbeitslast drosselt oder sperrt.

  • Wenn Sie autorisierte Sicherheitsscans, Host-Fingerprinting oder Lasttests ausführen, müssen Sie den ausgehenden Traffic isolieren. Leiten Sie alle ausgehenden Anfragen (all-traffic) über Ihr VPC-Netzwerk und Cloud NAT mit Ihren eigenen statischen ausgehenden IP-Adressen weiter.

Sicherheitsscanner

Der Google Cloud Web Security Scanner durchsucht Ihre App Engine-Anwendung auf Sicherheitslücken. Dafür folgt er allen Links im Bereich der Start-URLs und versucht, so viele Nutzereingaben und Event-Handler wie möglich anzuwenden.

Sie müssen Inhaber desGoogle Cloud -Projekts sein, um den Sicherheitsscanner verwenden zu können. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriffssteuerung einrichten.

Ermitteln Sie Sicherheitslücken in Ihrer App Engine-Anwendung mit den Sicherheitsscans der Google Cloud Console. Weitere Informationen zum Ausführen des Security Scanners finden Sie unter Web Security Scanner einsetzen.

VPC Service Controls

In der App Engine-Standardumgebung nicht unterstützt.