Crea e visualizza le policy di sicurezza di Cloud Armor

Questa pagina descrive come creare policy di sicurezza di Google Cloud Armor per filtrare il traffico in entrata verso la tua applicazione. Per informazioni sui concetti relativi alle policy di sicurezza, consulta la panoramica delle policy di sicurezza di Cloud Armor.

Prima di iniziare

Prima di configurare le policy di sicurezza:

  • Assicurati di avere familiarità con i concetti del bilanciatore del carico delle applicazioni esterno.

  • Esamina i servizi di backend esistenti per determinare quali non hanno una policy di sicurezza allegata. Questi servizi di backend e i relativi backend non sono protetti. Per aggiungere la protezione di Cloud Armor, collega una policy di sicurezza nuova o esistente al servizio di backend.

Configura le autorizzazioni IAM per le policy di sicurezza di Cloud Armor

Le seguenti operazioni richiedono il ruolo Identity and Access Management (IAM) Compute Security Admin (roles/compute.securityAdmin):

  • Configurare, modificare, aggiornare ed eliminare una policy di sicurezza Cloud Armor
  • Utilizzare i seguenti metodi API:
    • SecurityPolicies insert
    • SecurityPolicies delete
    • SecurityPolicies patch
    • SecurityPolicies addRule
    • SecurityPolicies patchRule
    • SecurityPolicies removeRule

Un utente con il ruolo Compute Network Admin (roles/compute.networkAdmin) può eseguire le seguenti operazioni:

  • Impostare una policy di sicurezza di Cloud Armor per un servizio di backend
  • Utilizzare i seguenti metodi API:
    • BackendServices setSecurityPolicy
    • BackendServices list (solo gcloud)

Gli utenti con il ruolo Security Admin (roles/iam.securityAdmin) e il ruolo Compute Network Admin (roles/compute.networkAdmin) possono visualizzare le policy di sicurezza di Cloud Armor utilizzando i metodi dell'API SecurityPolicies get, list e getRule.

Configura le autorizzazioni IAM per i ruoli personalizzati

La tabella seguente elenca le autorizzazioni di base dei ruoli IAM, i metodi API associati e i ruoli che concedono l'autorizzazione.

Autorizzazioni IAM Metodi dell'API Ruoli
compute.securityPolicies.create SecurityPolicies insert Compute Security Admin (roles/compute.securityAdmin)
compute.securityPolicies.delete SecurityPolicies delete Compute Security Admin (roles/compute.securityAdmin)
compute.securityPolicies.get SecurityPolicies get
SecurityPolicies getRule		 Security Admin (roles/iam.securityAdmin)
compute.securityPolicies.list SecurityPolicies list Security Admin (roles/iam.securityAdmin)
Entrambi i seguenti:
  • compute.securityPolicies.use
  • compute.backendServices.
    setSecurityPolicy
 BackendServices
setSecurityPolicy		 Compute Network Admin (roles/compute.networkAdmin)
compute.securityPolicies.update SecurityPolicies patch
SecurityPolicies addRule
SecurityPolicies patchRule
SecurityPolicies removeRule		 Compute Security Admin (roles/compute.securityAdmin)

Crea policy di sicurezza

Utilizza la console Google Cloud , Google Cloud CLI o l'API REST per configurare le policy, le regole e le espressioni di sicurezza di Cloud Armor. Quando utilizzi gcloud CLI, utilizza il flag --type per specificare se la policy di sicurezza è una policy di sicurezza del backend o una policy di sicurezza perimetrale.

Se non hai familiarità con la configurazione delle policy di sicurezza, consulta le policy di sicurezza di esempio. Per aggiungere regole a una policy di sicurezza o visualizzare le espressioni delle regole, consulta Crea e visualizza le regole delle policy di sicurezza.

Elenca policy di sicurezza

Segui i passaggi descritti in questa sezione per elencare le policy di sicurezza di Cloud Armor nel tuo progetto.

Console

  1. Nella console Google Cloud , vai alla pagina Policy di Cloud Armor.

    Vai alle policy di Cloud Armor

  2. Per visualizzare una policy, fai clic sul nome della policy specifica nell'elenco delle policy.

gcloud 

gcloud compute security-policies list

Ad esempio:

gcloud compute security-policies list

Output: 

NAME: my-policy
REGION: us-central1

Per saperne di più, consulta gcloud compute security-policies list.

Passaggi successivi