Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Adressgruppen konfigurieren

Mit Adressgruppen können Sie mehrere IP-Adressen und IP-Adressbereiche in einer einzigen benannten logischen Einheit kombinieren, die Sie in mehreren Produkten verwenden können. In diesem Dokument erfahren Sie, wie Sie Adressgruppen mit Google Cloud Armor-Sicherheitsrichtlinien verwenden. Sie benötigen ein aktives Google Cloud Armor Enterprise-Abo, um Adressgruppen verwenden zu können.

Hinweis

Bevor Sie Adressgruppen konfigurieren, müssen Sie die Network Security API networksecurity.googleapis.com aktivieren.

IAM-Rollen

Zum Erstellen und Verwalten einer Adressgruppe benötigen Sie die Rolle „Compute-Netzwerkadministrator“ (roles/compute.networkAdmin). Sie können auch eine benutzerdefinierte Rolle mit einem entsprechenden Satz von Berechtigungen definieren.

In der folgenden Tabelle finden Sie eine Liste der IAM-Berechtigungen (Identity and Access Management), die zum Ausführen einer Reihe von Aufgaben für Adressgruppen erforderlich sind.

Aufgabe	Name der IAM-Rolle	IAM-Berechtigungen
-Adressgruppen erstellen und verwalten	Compute-Netzwerkadministrator (`roles/compute.networkAdmin`)	networksecurity.addressGroups.*
-Adressgruppen suchen und ansehen	Compute-Netzwerknutzer (`roles/compute.networkUser`)	networksecurity.addressGroups.list networksecurity.addressGroups.get networksecurity.addressGroups.use

Weitere Informationen dazu, welche Rollen bestimmte IAM-Berechtigungen enthalten, finden Sie im Index für IAM-Rollen und -Berechtigungen.

Projektbezogene Adressgruppen verwenden

In den folgenden Abschnitten wird erläutert, wie Sie mit der Google Cloud Console oder der Google Cloud CLI projektbezogene Adressgruppen erstellen und ändern und wie Sie projektbezogene Adressgruppen mit Ihren Sicherheitsrichtlinien verwenden.

Projektbezogene Adressgruppen erstellen oder ändern

In den folgenden Abschnitten wird erläutert, wie Sie projektbezogene Adressgruppen erstellen, Adressen zu projektbezogenen Adressgruppen hinzufügen und daraus entfernen und projektbezogene Adressgruppen löschen.

Projektbezogene Adressgruppe erstellen

Wenn Sie eine Adressgruppe erstellen, müssen Sie die Kapazität und die IP-Adressversion mit den Flags --capacity bzw. --type angeben. Sie können diese Werte nach dem Erstellen der Adressgruppe nicht mehr ändern.

Außerdem kann die maximale Kapazität für Cloud Armor höher sein als die maximale Kapazität für andere Produkte wie die Cloud Next Generation Firewall. Wenn Sie also dieselbe Adressgruppe für mehrere Produkte verwenden möchten, müssen Sie die Kapazität so festlegen, dass sie kleiner oder gleich der niedrigsten maximalen Kapazität dieser Produkte ist.

Console

Rufen Sie in der Google Cloud Console die Seite Adressgruppen auf.
Zu „Adressgruppen“
Wählen Sie im Menü „Projektauswahl“ Ihr Projekt aus, falls verfügbar.
Klicken Sie auf Adressengruppe erstellen.
Geben Sie im Feld Name einen Namen ein.
Optional: Geben Sie im Feld Beschreibung eine Beschreibung ein.
Wählen Sie unter Umfang die Option Global aus.
Wählen Sie unter Typ die Option IPv4 oder IPv6 aus.
Wählen Sie als Zweck die Option Cloud Armor aus. Alternativ können Sie Firewall und Cloud Armor auswählen, wenn Sie die Adressgruppe auch mit Cloud Next Generation Firewall-Richtlinien verwenden möchten.

Weitere Informationen zur Auswahl eines Zwecks finden Sie unter Spezifikation für Adressgruppen.
Geben Sie im Feld Kapazität die Kapazität der Adressgruppe ein.

Hinweis: Nachdem die Kapazität der Adressgruppe festgelegt wurde, kann sie nicht mehr geändert werden. Achten Sie darauf, dass Sie die Kapazität auf einen für Ihren Anwendungsfall geeigneten Wert festlegen.
Geben Sie im Feld IP-Adressen die IP-Adressen oder IP-Bereiche, die Sie in die Adressgruppe aufnehmen möchten, durch Kommas getrennt ein. Beispiel: 1.1.1.0/24,1.2.0.0

Die Anzahl der IP-Adressen oder -Bereiche darf die konfigurierte Kapazität nicht überschreiten.
Klicken Sie auf Erstellen.

gcloud

Im folgenden Beispiel wird der Befehl gcloud network-security address-groups create verwendet,um eine Adressgruppe mit dem Namen GROUP_NAME und einer Kapazität von 1.000 IPv4-Adressen zu erstellen, die sowohl mit Cloud Armor als auch mit Cloud NGFW verwendet werden kann:

 gcloud network-security address-groups create GROUP_NAME \
     --location global \
     --description  "address group description" \
     --capacity 1000 \
     --type IPv4 \
     --purpose DEFAULT,CLOUD_ARMOR

Alternativ können Sie eine Adressgruppe mit einer größeren Kapazität erstellen, indem Sie den Zweck ausschließlich auf CLOUD_ARMOR festlegen. Im folgenden Beispiel erstellen Sie eine Adressgruppe mit einer Kapazität von 10.000 IPv6-IP-Adressbereichen:

 gcloud network-security address-groups create GROUP_NAME \
     --location global \
     --description  "address group description" \
     --capacity 10000 \
     --type IPv6 \
     --purpose CLOUD_ARMOR

Einer projektbezogenen Adressgruppe Elemente hinzufügen

Nachdem Sie eine Adressgruppe erstellt haben, können Sie Elemente hinzufügen.

Console

Rufen Sie in der Google Cloud Console die Seite Adressgruppen auf.
Zu „Adressgruppen“
Wählen Sie im Menü „Projektauswahl“ Ihr Projekt aus, falls verfügbar.
Klicken Sie auf den Namen der Adressgruppe, um sie zu bearbeiten.
Klicken Sie auf Bearbeiten.
Fügen Sie im Feld IP-Adressen die neuen Elemente der durch Kommas getrennten Liste von IP-Adressen hinzu. Alternativ können Sie auf Adressen importieren klicken, um eine CSV-Datei mit einer Liste von IP-Adressen hochzuladen.
Klicken Sie auf Speichern.

gcloud

Im folgenden Beispiel verwenden Sie den Befehl gcloud network-security address-groups add-items, um die IP-Adressen 192.168.1.2, 192.168.1.8 und 192.168.1.9 zur Adressgruppe GROUP_NAME hinzuzufügen. Sie geben eine durch Kommas getrennte Liste von Elementen mit dem Flag --item an:

 gcloud network-security address-groups add-items GROUP_NAME \
     --location global \
     --items 192.168.1.2,192.168.1.8,192.168.1.9

Elemente aus einer projektbezogenen Adressgruppe entfernen

So entfernen Sie Elemente aus einer Adressgruppe:

Console

Rufen Sie in der Google Cloud Console die Seite Adressgruppen auf.
Zu „Adressgruppen“
Wählen Sie im Menü „Projektauswahl“ Ihr Projekt aus, falls verfügbar.
Klicken Sie auf den Namen der Adressgruppe, um sie zu bearbeiten.
Klicken Sie auf Bearbeiten.
Löschen Sie im Feld IP-Adressen die Elemente, die Sie aus der durch Kommas getrennten Liste der IP-Adressen entfernen möchten.
Klicken Sie auf Speichern.

gcloud

Im folgenden Beispiel wird der Befehl gcloud network-security address-groups remove-items verwendet, um die IP-Adressen 192.168.1.2, 192.168.1.8 und 192.168.1.9 zu entfernen, die Sie im vorherigen Befehl hinzugefügt haben:

 gcloud network-security address-groups remove-items GROUP_NAME \
     --location global \
     --items 192.168.1.2,192.168.1.8,192.168.1.9

Projektbezogene Adressgruppe klonen

So klonen Sie Elemente aus einer Adressgruppe:

Console

Rufen Sie in der Google Cloud Console die Seite Adressgruppen auf.
Zu „Adressgruppen“
Wählen Sie im Menü „Projektauswahl“ Ihr Projekt aus, falls verfügbar.
Wenn Sie eine Adressgruppe klonen möchten, klicken Sie auf den Namen der Adressgruppe.
Klicken Sie auf Klonen.
Geben Sie im Feld Name den Namen der zu erstellenden geklonten Adressgruppe ein.
Klicken Sie auf Klonen.

gcloud

Im folgenden Beispiel verwenden Sie den gcloud network-security address-groups clone-items-Befehl, um die IP-Adressen aus einer Quelladressgruppe SOURCE_GROUP_NAME in eine Zieladressgruppe GROUP_NAME zu klonen:

 gcloud network-security address-groups clone-items GROUP_NAME \
     --location global \
     --source SOURCE_GROUP_NAME

Projektbezogene Adressgruppe löschen

Sie können eine Adressgruppe nicht löschen, wenn eine Ressource, einschließlich einer Firewallrichtlinie oder Sicherheitsrichtlinie, darauf verweist. So löschen Sie eine Adressgruppe:

Console

Rufen Sie in der Google Cloud Console die Seite Adressgruppen auf.
Zu „Adressgruppen“
Wählen Sie im Menü „Projektauswahl“ Ihr Projekt aus, falls verfügbar.
Markieren Sie das Kästchen neben der Adressgruppe, die Sie löschen möchten. Achten Sie darauf, dass die ausgewählte Adressgruppe nicht von einer Firewall- oder Sicherheitsrichtlinie referenziert wird.
Klicken Sie auf Löschen und dann zur Bestätigung noch einmal auf Löschen.

gcloud

Im folgenden Beispiel wird der Befehl gcloud network-security address-groups delete verwendet, um eine Adressgruppe mit dem Namen GROUP_NAME zu löschen.

 gcloud network-security address-groups delete GROUP_NAME \
     --location global

Projektbezogene Adressgruppen mit Sicherheitsrichtlinien verwenden

Nachdem Sie eine Adressgruppe erstellt und ihr IP-Adressen hinzugefügt haben, können Sie sie mit jeder vorhandenen Cloud Armor-Backend-Sicherheitsrichtlinie verwenden. Die folgenden Beispiele zeigen zwei verschiedene Möglichkeiten, Adressgruppen zu verwenden.

Gruppe von IP-Adressen ablehnen

In diesem Beispiel wird davon ausgegangen, dass Sie eine IP-Adressgruppe namens MALICIOUS_IPS mit 10.000 IP-Adressen haben, von denen Sie wissen, dass sie schädlich sind. Sie können alle diese IP-Adressen mit einer einzigen Sicherheitsrichtlinienregel deny mit der folgenden Übereinstimmungsbedingung ablehnen:

evaluateAddressGroup('MALICIOUS_IPS', origin.ip)

Gruppe von IP-Adressbereichen in mehreren Sicherheitsrichtlinien wiederverwenden

In diesem Beispiel gehen wir davon aus, dass Sie dieselbe Liste mit 10.000 IP-Adressen wie im vorherigen Beispiel haben, aber einige der IP-Adressen als Web-Crawler bekannt sind. Sie möchten alle diese IP-Adressen für einige Backend-Dienste blockieren, aber den Web-Crawlern den Zugriff auf andere Backend-Dienste erlauben, um die Suchmaschinenoptimierung (SEO) zu verbessern. Gehen Sie so vor, um allen Adressen den Zugriff auf BACKEND_SERVICE_1 zu verweigern, während die IP-Adressbereiche 66.249.77.32/27 und 66.249.77.64/27 auf BACKEND_SERVICE_2 zugreifen dürfen:

Erstellen Sie eine Backend-Sicherheitsrichtlinie mit dem Namen POLICY_1 und hängen Sie sie an BACKEND_SERVICE_1 an.
Erstellen Sie in POLICY_1 eine deny-Regel mit der folgenden Übereinstimmungsbedingung:
```
evaluateAddressGroup('MALICIOUS_IPS', origin.ip)
```
Erstellen Sie eine zweite Backend-Sicherheitsrichtlinie mit dem Namen POLICY_2 und hängen Sie sie an BACKEND_SERVICE_2 an.
Erstellen Sie in POLICY_2 eine deny-Regel mit der folgenden Übereinstimmungsbedingung, die 66.249.77.32/27 und 66.249.77.64/27 ausschließt:
```
evaluateAddressGroup('MALICIOUS_IPS', origin.ip, [66.249.77.32/27, 66.249.77.64/27])
```

Adressgruppe für den Abgleich mit Nutzer-IP-Adressen verwenden

Wenn Sie eine Adressgruppe für den Abgleich mit den IP-Adressen des ursprünglichen Clients („Nutzer“) verwenden möchten, müssen Sie userIpRequestHeaders[] in der Sicherheitsrichtlinie konfigurieren.

Beachten Sie, dass Sie unter den folgenden Bedingungen die Quell-IP-Adresse der Anfrage und nicht die IP-Adresse des ursprünglichen Clients erhalten, da der Wert von origin.user_ip standardmäßig auf den Wert von origin.ip gesetzt ist:

Sie konfigurieren die Option userIpRequestHeaders[] nicht.
Die konfigurierten Header sind nicht vorhanden.
Die konfigurierten Header enthalten ungültige IP-Adresswerte.

In diesem Beispiel wird davon ausgegangen, dass Sie eine IP-Adressgruppe namens MALICIOUS_IPS mit 10.000 IP-Adressen haben, von denen Sie wissen, dass sie schädlich sind. Außerdem verwenden Sie einen Upstream-Proxy, der Informationen zu den ursprünglichen Clients im Header enthält. Sie können alle diese IP-Adressen mit einer einzigen Sicherheitsrichtlinienregel deny mit der folgenden Übereinstimmungsbedingung ablehnen:

evaluateAddressGroup('MALICIOUS_IPS', origin.user_ip)

Weitere Informationen zu IP-Adressen finden Sie unter Attribute.

Weitere Informationen zu Nutzer-IP-Adressen finden Sie unter Nutzer-IP-Adressen – Übersicht.

Adressgruppen auf Organisationsebene verwenden

In den folgenden Abschnitten wird erläutert, wie Sie Adressgruppen auf Organisationsebene mit der Google Cloud Console oder der Google Cloud CLI erstellen und ändern und wie Sie Adressgruppen auf Organisationsebene mit Ihren Sicherheitsrichtlinien verwenden.

Adressgruppen auf Organisationsebene erstellen oder ändern

Sie können Adressgruppen auf Organisationsebene sowohl mit Sicherheitsrichtlinien auf Dienstebene als auch mit hierarchischen Sicherheitsrichtlinien verwenden.

In den folgenden Abschnitten wird erläutert, wie Sie Adressgruppen auf Organisationsebene erstellen, Adressen zu Adressgruppen auf Organisationsebene hinzufügen und daraus entfernen und Adressgruppen auf Organisationsebene löschen.

Adressgruppe auf Organisationsebene erstellen

Console

Rufen Sie in der Google Cloud Console die Seite Adressgruppen auf.
Zu „Adressgruppen“
Wählen Sie im Menü „Projektauswahl“ Ihre Organisation aus, falls verfügbar.
Klicken Sie auf Adressengruppe erstellen.
Geben Sie im Feld Name einen Namen ein.
Optional: Geben Sie im Feld Beschreibung eine Beschreibung ein.
Wählen Sie unter Umfang die Option Global aus.
Wählen Sie unter Typ die Option IPv4 oder IPv6 aus.
Wählen Sie als Zweck die Option Cloud Armor aus. Alternativ können Sie Cloud NGFW und Cloud Armor auswählen, wenn Sie die Adressgruppe auch mit Cloud Next Generation Firewall-Richtlinien verwenden möchten.

Weitere Informationen zur Auswahl eines Zwecks für eine Adressgruppe finden Sie unter Spezifikation.
Geben Sie im Feld Kapazität die Kapazität der Adressgruppe ein.

Hinweis: Nachdem die Kapazität der Adressgruppe festgelegt wurde, kann sie nicht mehr geändert werden. Achten Sie darauf, dass Sie die Kapazität auf einen für Ihren Anwendungsfall geeigneten Wert festlegen.
Geben Sie im Feld IP-Adressen die IP-Adressen oder IP-Bereiche, die Sie in die Adressgruppe aufnehmen möchten, durch Kommas getrennt ein. Beispiel: 1.1.1.0/24,1.2.0.0

Die Anzahl der IP-Adressen oder -Bereiche darf die konfigurierte Kapazität nicht überschreiten.
Klicken Sie auf Erstellen.

gcloud

Im folgenden Beispiel wird der Befehl gcloud network-security org-address-groups create verwendet,um eine Adressgruppe auf Organisationsebene mit dem Namen GROUP_NAME und einer Kapazität von 1.000 IPv4-Adressen zu erstellen, die sowohl mit Cloud Armor als auch mit Cloud NGFW verwendet werden kann:

 gcloud network-security org-address-groups create GROUP_NAME \
     --location global \
     --description  "org address group description" \
     --capacity 1000 \
     --type IPv4 \
     --purpose DEFAULT,CLOUD_ARMOR

Alternativ können Sie eine Adressgruppe auf Organisationsebene mit einer größeren Kapazität erstellen, indem Sie den Zweck ausschließlich auf CLOUD_ARMOR festlegen. Im folgenden Beispiel erstellen Sie eine Adressgruppe mit einer Kapazität von 10.000 IPv6-Adressbereichen:

 gcloud network-security org-address-groups create GROUP_NAME \
     --location global \
     --description  "org address group description" \
     --capacity 10000 \
     --type IPv6 \
     --purpose CLOUD_ARMOR

Einer Adressgruppe auf Organisationsebene Elemente hinzufügen

Nachdem Sie eine Adressgruppe auf Organisationsebene erstellt haben, können Sie Elemente hinzufügen.

Console

Rufen Sie in der Google Cloud Console die Seite Adressgruppen auf.
Zu „Adressgruppen“
Wählen Sie im Menü „Projektauswahl“ Ihre Organisation aus, falls verfügbar.
Klicken Sie auf den Namen der Adressgruppe, um sie zu bearbeiten.
Klicken Sie auf Bearbeiten.
Fügen Sie im Feld IP-Adressen die neuen Elemente der durch Kommas getrennten Liste von IP-Adressen hinzu. Alternativ können Sie auf Adressen importieren klicken, um eine CSV-Datei mit einer Liste von IP-Adressen hochzuladen.
Klicken Sie auf Speichern.

gcloud

Im folgenden Beispiel verwenden Sie den gcloud network-security org-address-groups add-items-Befehl, um die IP-Adressen 192.168.1.2, 192.168.1.8 und 192.168.1.9 zur Adressgruppe GROUP_NAME auf Organisationsebene hinzuzufügen. Sie geben eine durch Kommas getrennte Liste von Elementen mit dem Flag --items an:

 gcloud network-security org-address-groups add-items GROUP_NAME \
     --location global \
     --items 192.168.1.2,192.168.1.8,192.168.1.9

Elemente aus einer Adressgruppe auf Organisationsebene entfernen

So entfernen Sie Elemente aus einer Adressgruppe auf Organisationsebene:

Console

Rufen Sie in der Google Cloud Console die Seite Adressgruppen auf.
Zu „Adressgruppen“
Wählen Sie im Menü „Projektauswahl“ Ihre Organisation aus, falls verfügbar.
Klicken Sie auf den Namen der Adressgruppe, um sie zu bearbeiten.
Klicken Sie auf Bearbeiten.
Löschen Sie im Feld IP-Adressen die Elemente, die Sie aus der durch Kommas getrennten Liste der IP-Adressen entfernen möchten.
Klicken Sie auf Speichern.

gcloud

Im folgenden Beispiel wird der Befehl gcloud network-security org-address-groups remove-items verwendet, um die IP-Adressen 192.168.1.2, 192.168.1.8 und 192.168.1.9 zu entfernen, die Sie im vorherigen Befehl hinzugefügt haben:

 gcloud network-security org-address-groups remove-items GROUP_NAME \
     --location global \
     --items 192.168.1.2,192.168.1.8,192.168.1.9

Adressgruppe auf Organisationsebene klonen

So klonen Sie Elemente aus einer Adressgruppe:

Console

Rufen Sie in der Google Cloud Console die Seite Adressgruppen auf.
Zu „Adressgruppen“
Wählen Sie im Menü „Projektauswahl“ Ihre Organisation aus, falls verfügbar.
Wenn Sie eine Adressgruppe klonen möchten, klicken Sie auf den Namen der Adressgruppe.
Klicken Sie auf Klonen.
Geben Sie im Feld Name den Namen der zu erstellenden geklonten Adressgruppe ein.
Klicken Sie auf Klonen.

gcloud

Im folgenden Beispiel verwenden Sie den gcloud network-security org-address-groups clone-items-Befehl, um die IP-Adressen aus einer Quelladressgruppe SOURCE_GROUP_NAME in eine Zieladressgruppe GROUP_NAME zu klonen:

 gcloud network-security org-address-groups clone-items GROUP_NAME \
     --location global \
     --source SOURCE_GROUP_NAME

Adressgruppe auf Organisationsebene löschen

Sie können eine Adressgruppe auf Organisationsebene nicht löschen, wenn eine Ressource, einschließlich einer Firewallrichtlinie oder Sicherheitsrichtlinie, darauf verweist. So löschen Sie eine Adressgruppe:

Console

Rufen Sie in der Google Cloud Console die Seite Adressgruppen auf.
Zu „Adressgruppen“
Wählen Sie im Menü „Projektauswahl“ Ihre Organisation aus, falls verfügbar.
Markieren Sie das Kästchen neben der Adressgruppe, die Sie löschen möchten. Achten Sie darauf, dass die ausgewählte Adressgruppe nicht von einer Firewall- oder Sicherheitsrichtlinie referenziert wird.
Klicken Sie auf Löschen und dann zur Bestätigung noch einmal auf Löschen.

gcloud

Im folgenden Beispiel wird der Befehl gcloud network-security org-address-groups delete verwendet, um eine Adressgruppe mit dem Namen GROUP_NAME zu löschen.

 gcloud network-security org-address-groups delete GROUP_NAME \
     --location global

Adressgruppen auf Organisationsebene mit Sicherheitsrichtlinien verwenden

Eine Gruppe von IP-Adressen für alle Backend-Dienste in einer Organisation ablehnen

Stellen Sie sich für dieses Beispiel vor, dass Sie eine IP-Adressgruppe mit dem Bereich „Organisation“ namens MALICIOUS_IPS mit 10.000 IP-Adressen haben, von denen Sie wissen, dass sie bösartig sind. Sie können alle diese IP-Adressen für alle Backend-Dienste in Ihrer Organisation mithilfe einer einzigen hierarchischen Sicherheitsrichtlinie ablehnen. Erstellen Sie eine hierarchische Sicherheitsrichtlinie und fügen Sie dann eine deny-Regel mit der folgenden Übereinstimmungsbedingung hinzu:

evaluateOrganizationAddressGroup('MALICIOUS_IPS', origin.ip)

Verknüpfen Sie schließlich die hierarchische Sicherheitsrichtlinie mit allen Backend-Diensten in Ihrer Organisation. Ersetzen Sie dabei POLICY_NAME durch den Namen Ihrer hierarchischen Sicherheitsrichtlinie und ORGANIZATION_ID durch die ID Ihrer Organisation:

  gcloud compute org-security-policies associations create \
      --security-policy=POLICY_NAME \
      --organization=ORGANIZATION_ID

Eine Gruppe von IP-Adressbereichen für alle Backend-Dienste innerhalb einer Organisation wiederverwenden

In diesem Beispiel gehen wir davon aus, dass Sie dieselbe Liste mit 10.000 IP-Adressen wie im vorherigen Beispiel haben, aber einige der IP-Adressen als Web-Crawler bekannt sind. Sie möchten den Zugriff von IP-Adressen, die nicht zu Web-Crawlern gehören, auf alle Backend-Dienste in Ihrer Organisation blockieren. Sie möchten jedoch zulassen, dass projektspezifische Sicherheitsrichtlinien bestimmen, ob die Web-Crawler auf Ihre Backend-Dienste zugreifen können, um die Suchmaschinenoptimierung (SEO) zu verbessern.

Gehen Sie so vor, um allen Adressen den Zugriff auf BACKEND_SERVICE_1 zu verweigern, während die IP-Adressbereiche 66.249.77.32/27 und 66.249.77.64/27 auf BACKEND_SERVICE_2 zugreifen dürfen:

Erstellen Sie eine Backend-Sicherheitsrichtlinie mit dem Namen BACKEND_POLICY_1.
Fügen Sie BACKEND_POLICY_1 eine deny-Regel mit der folgenden Abgleichbedingung hinzu, die alle IP-Adressen in MALICIOUS_IPS blockiert:
```
evaluateOrganizationAddressGroup('MALICIOUS_IPS', origin.ip)
```

Verwenden Sie den folgenden Befehl, um BACKEND_POLICY_1 mit BACKEND_SERVICE_1 zu verknüpfen:

 gcloud compute backend-services update BACKEND_SERVICE_1 \
     --security-policy BACKEND_POLICY_1

Erstellen Sie eine zweite Backend-Sicherheitsrichtlinie mit dem Namen BACKEND_POLICY_2.
Fügen Sie BACKEND_POLICY_2 eine deny-Regel mit der folgenden Übereinstimmungsbedingung hinzu, die alle IP-Adressen in MALICIOUS_IPS mit Ausnahme von 66.249.77.32/27 und 66.249.77.64/27 blockiert:
```
evaluateOrganizationAddressGroup('MALICIOUS_IPS', origin.ip, [`66.249.77.32/27`, `66.249.77.64/27`])
```
Verwenden Sie den folgenden Befehl, um BACKEND_POLICY_2 mit BACKEND_SERVICE_2 zu verknüpfen. Ersetzen Sie ORG_ID durch die ID Ihrer Organisation:
```
 gcloud compute backend-services update BACKEND_SERVICE_2 \
     --security-policy BACKEND_POLICY_2
```

Adressgruppe verwenden, um Nutzer-IP-Adressen für alle Backend-Dienste in einer Organisation abzugleichen

Achtung: Wenn Sie origin.user_ip als zweites Argument in evaluateOrganizationAddressGroup verwenden, müssen Sie userIpRequestHeaders[] in der Sicherheitsrichtlinie konfigurieren. Der Wert von origin.user_ip ist standardmäßig der Wert von origin.ip, wenn eine der folgenden Bedingungen erfüllt ist:

Sie konfigurieren die Option userIpRequestHeaders[] nicht.
Die konfigurierten Header sind nicht vorhanden.
Die konfigurierten Header enthalten ungültige IP-Adresswerte.

In diesem Beispiel wird davon ausgegangen, dass Sie eine IP-Adressgruppe namens MALICIOUS_IPS mit 10.000 IP-Adressen haben, von denen Sie wissen, dass sie schädlich sind. Außerdem verwenden Sie einen Upstream-Proxy, der Informationen zur ursprünglichen Client-IP-Adresse im Header enthält. Sie können allen diesen IP-Adressen den Zugriff auf alle Backend-Dienste in Ihrer Organisation verweigern. Verwenden Sie dazu eine einzelne Sicherheitsrichtlinien-deny-Regel mit der folgenden Übereinstimmungsbedingung:

evaluateOrganizationAddressGroup('MALICIOUS_IPS', origin.user_ip)

Weitere Informationen zu IP-Adressen finden Sie unter Attribute.

Weitere Informationen zu Nutzer-IP-Adressen finden Sie unter Nutzer-IP-Adressen – Übersicht.

Nächste Schritte

Sicherheitsrichtlinienregeln erstellen und ansehen

Adressgruppen konfigurieren Mit Sammlungen den Überblick behalten Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.

Hinweis

IAM-Rollen

Projektbezogene Adressgruppen verwenden

Projektbezogene Adressgruppen erstellen oder ändern

Projektbezogene Adressgruppe erstellen

Console

gcloud

Einer projektbezogenen Adressgruppe Elemente hinzufügen

Console

gcloud

Elemente aus einer projektbezogenen Adressgruppe entfernen

Console

gcloud

Projektbezogene Adressgruppe klonen

Console

gcloud

Projektbezogene Adressgruppe löschen

Console

gcloud

Projektbezogene Adressgruppen mit Sicherheitsrichtlinien verwenden

Gruppe von IP-Adressen ablehnen

Gruppe von IP-Adressbereichen in mehreren Sicherheitsrichtlinien wiederverwenden

Adressgruppe für den Abgleich mit Nutzer-IP-Adressen verwenden

Adressgruppen auf Organisationsebene verwenden

Adressgruppen auf Organisationsebene erstellen oder ändern

Adressgruppe auf Organisationsebene erstellen

Console

gcloud

Einer Adressgruppe auf Organisationsebene Elemente hinzufügen

Console

gcloud

Elemente aus einer Adressgruppe auf Organisationsebene entfernen

Console

gcloud

Adressgruppe auf Organisationsebene klonen

Console

gcloud

Adressgruppe auf Organisationsebene löschen

Console

gcloud

Adressgruppen auf Organisationsebene mit Sicherheitsrichtlinien verwenden

Eine Gruppe von IP-Adressen für alle Backend-Dienste in einer Organisation ablehnen

Eine Gruppe von IP-Adressbereichen für alle Backend-Dienste innerhalb einer Organisation wiederverwenden

Adressgruppe verwenden, um Nutzer-IP-Adressen für alle Backend-Dienste in einer Organisation abzugleichen

Nächste Schritte

Adressgruppen konfigurieren