Cloud Armor セキュリティ ポリシーを作成して表示する

このページでは、アプリケーションの受信トラフィックをフィルタリングする Google Cloud Armor セキュリティ ポリシーを作成する方法について説明します。セキュリティ ポリシーのコンセプトについては、Cloud Armor のセキュリティ ポリシーの概要をご覧ください。

始める前に

セキュリティ ポリシーを構成する前に、次のようにします。

  • 外部アプリケーション ロードバランサのコンセプトについて理解します。

  • 既存のバックエンド サービスを調べて、セキュリティ ポリシーが接続されていないものを確認します。そのようなバックエンド サービスと、それに関連付けれらたバックエンドは、保護されていません。Cloud Armor による保護を追加するには、新規または既存のセキュリティ ポリシーをバックエンド サービスに接続します。

Cloud Armor セキュリティ ポリシー用の IAM 権限を設定する

次の操作を行うには、Identity and Access Management（IAM）の Compute セキュリティ管理者のロール（roles/compute.securityAdmin）が必要です。

  • Cloud Armor セキュリティ ポリシーの構成、変更、更新、削除
  • 次の API メソッドの使用:
    • SecurityPolicies insert
    • SecurityPolicies delete
    • SecurityPolicies patch
    • SecurityPolicies addRule
    • SecurityPolicies patchRule
    • SecurityPolicies removeRule

Compute ネットワーク管理者のロール（roles/compute.networkAdmin）を付与されたユーザーは、次の操作を実行できます。

  • バックエンド サービスに Cloud Armor セキュリティ ポリシーを設定する
  • 次の API メソッドの使用:
    • BackendServices setSecurityPolicy
    • BackendServices list（gcloud のみ）

セキュリティ管理者のロール（roles/iam.securityAdmin）と Compute ネットワーク管理者のロール（roles/compute.networkAdmin）を持つユーザーは、SecurityPolicies API メソッドの get、list、getRule を使用して Cloud Armor のセキュリティ ポリシーを参照できます。

カスタムロールの IAM 権限を設定する

次の表に、IAM のロールの基本的な権限、関連する API メソッド、その権限を付与するロールを示します。

IAM 権限 API メソッド ロール
compute.securityPolicies.create SecurityPolicies insert Compute セキュリティ管理者（roles/compute.securityAdmin）
compute.securityPolicies.delete SecurityPolicies delete Compute セキュリティ管理者（roles/compute.securityAdmin）
compute.securityPolicies.get SecurityPolicies get
SecurityPolicies getRule		 セキュリティ管理者（roles/iam.securityAdmin）
compute.securityPolicies.list SecurityPolicies list セキュリティ管理者（roles/iam.securityAdmin）
次の両方。
  • compute.securityPolicies.use
  • compute.backendServices.
    setSecurityPolicy
 BackendServices
setSecurityPolicy		 Compute ネットワーク管理者（roles/compute.networkAdmin）
compute.securityPolicies.update SecurityPolicies patch
SecurityPolicies addRule
SecurityPolicies patchRule
SecurityPolicies removeRule		 Compute セキュリティ管理者（roles/compute.securityAdmin）

セキュリティ ポリシーを作成する

Google Cloud コンソール、Google Cloud CLI、または REST API を使用して、Cloud Armor セキュリティ ポリシー、ルール、式を構成します。gcloud CLI を使用する場合は、--type フラグを使用して、セキュリティ ポリシーがバックエンド セキュリティ ポリシーかエッジ セキュリティ ポリシーかを指定します。

セキュリティ ポリシーの構成についてよく知らない場合は、セキュリティ ポリシーの例をご覧ください。セキュリティ ポリシーにルールを追加する、またはルール式を表示するには、セキュリティ ポリシー ルールを作成して表示するをご覧ください。

セキュリティ ポリシーを一覧表示する

このセクションの手順に沿って、プロジェクト内の Cloud Armor セキュリティ ポリシーを一覧表示します。

コンソール

  1. Google Cloud コンソールで、[Cloud Armor ポリシー] ページに移動します。

    [Cloud Armor ポリシー] に移動

  2. ポリシーを表示するには、ポリシーのリストで特定のポリシーの名前をクリックします。

gcloud

gcloud compute security-policies list

次に例を示します。

gcloud compute security-policies list

出力:

NAME: my-policy
REGION: us-central1

詳細については、gcloud compute security-policies list をご覧ください。

次のステップ