אתם יכולים להגדיר מדיניות אבטחה ב-Google Cloud Armor כדי להגן על השירותים שלכם מפני התקפות מניעת שירות (DoS) והתקפות באינטרנט. המדיניות הזו משתמשת בתשתית הגלובלית של Google כדי לאבטח את האפליקציות שלכם ולשלוט בתנועה שעוברת דרך מאזני העומסים.
במאמר הזה מופיעות דוגמאות להגדרות של מדיניות אבטחה לסוגים שונים של מאזני עומסים.
אפשר להשתמש במסוף Google Cloud או ב-CLI של gcloud כדי ליצור מדיניות אבטחה. ההוראות האלה מניחות שאתם מגדירים מדיניות עבור איזון עומסים ושירות קצה עורפי קיימים. דוגמה מופיעה בקטע יצירת הדוגמה.
כדי ליצור כללים ולצרף מדיניות אבטחה לשירות קצה עורפי:
נכנסים לדף Cloud Armor policies במסוף Google Cloud .
לוחצים על יצירת מדיניות.
בשדה Name, מזינים את שם המדיניות.
אופציונלי: מזינים תיאור של המדיניות.
בקטע סוג המדיניות בוחרים באפשרות מדיניות אבטחה של ה-Backend או מדיניות אבטחה של Edge.
בקטע פעולת ברירת מחדל של כלל, בוחרים באפשרות אישור כדי לאפשר גישה כברירת מחדל, או באפשרות דחייה כדי לדחות גישה כברירת מחדל.
כלל ברירת המחדל הוא כלל בעדיפות הכי נמוכה, והוא נכנס לתוקף רק אם אף כלל אחר לא חל.
אם מגדירים כלל Deny (דחייה), בוחרים סטטוס דחייה Response code (קוד תגובה). קוד הסטטוס הזה מוחזר על ידי Cloud Armor אם בקשה נדחית.
לוחצים על השלב הבא.
להוסיף עוד כללים:
בוחרים את המצב:
בשדה התאמה, מציינים את התנאים שהכלל חל עליהם:
בקטע פעולה, בוחרים באפשרות אישור או דחייה.
כדי להפעיל את מצב התצוגה המקדימה, בוחרים באפשרות הפעלה. במצב תצוגה מקדימה, Cloud Armor מתעד את ההשפעה של הכלל בלי לאכוף אותו.
מזינים את העדיפות של הכלל (0 עד 2,147,483,646). סדר ההערכה של הכללים
לוחצים על סיום.
כדי להוסיף עוד כללים, לוחצים על הוספת כלל. אחרת, לוחצים על השלב הבא.
החלת המדיניות על יעדים:
כדי ליצור כללי מדיניות אבטחה של Cloud Armor, משתמשים בפקודה gcloud compute security-policies create.
משתמשים בדגל --type כדי לציין CLOUD_ARMOR (backend) או CLOUD_ARMOR_EDGE (edge). אם לא מציינים את הדגל,
Cloud Armor יוצר מדיניות אבטחה של קצה עורפי:
gcloud compute security-policies create NAME \
[--type=CLOUD_ARMOR|CLOUD_ARMOR_EDGE] \
[--file-format=FILE_FORMAT | --description=DESCRIPTION] \
[--file-name=FILE_NAME]
מחליפים את מה שכתוב בשדות הבאים:
NAME: השם של מדיניות האבטחהFILE_FORMAT: הפורמט של הקובץ שצוין ב---file-name. מציינים yaml או jsonDESCRIPTION: תיאור מדיניות האבטחהFILE_NAME: השם של קובץ שמכיל ייצוא של מדיניות האבטחה בפורמט YAML או JSONהפקודה הבאה מעדכנת מדיניות, מפעילה ניתוח של JSON ומשנה את רמת היומן ל-VERBOSE:
gcloud compute security-policies update my-policy \
--json-parsing=STANDARD \
--log-level=VERBOSE
כדי להוסיף כללים למדיניות אבטחה, משתמשים בפקודה gcloud
compute security-policies rules create PRIORITY.
gcloud compute security-policies rules create PRIORITY \
[--security-policy POLICY_NAME] \
[--description DESCRIPTION] \
--src-ip-ranges IP_RANGE,... | --expression EXPRESSION \
--action=[ allow | deny-403 | deny-404 | deny-502 ] \
[--preview]
מחליפים את מה שכתוב בשדות הבאים:
PRIORITY: העדיפות של הכלל. סדר ההערכה של הכלליםPOLICY_NAME: השם של מדיניות האבטחהDESCRIPTION: תיאור הכללIP_RANGE,...: רשימה מופרדת בפסיקים של טווחי כתובות IPEXPRESSION: ביטוי בשפת הכללים של Cloud Armorלדוגמה, הפקודה הבאה מוסיפה כלל לחסימת תנועה מ-192.0.2.0/24 ומ-198.51.100.0/24. העדיפות של הכלל היא 1000:
gcloud compute security-policies rules create 1000 \
--security-policy my-policy \
--description "block traffic from 192.0.2.0/24 and 198.51.100.0/24" \
--src-ip-ranges "192.0.2.0/24","198.51.100.0/24" \
--action "deny-403"
אם מוסיפים את הדגל --preview, הכלל נוסף למדיניות אבל לא נאכף, וכל תנועה שמפעילה את הכלל מתועדת בלבד.
gcloud compute security-policies rules create 1000 \
--security-policy my-policy \
--description "block traffic from 192.0.2.0/24 and 198.51.100.0/24" \
--src-ip-ranges "192.0.2.0/24","198.51.100.0/24" \
--action "deny-403" \
--preview
משתמשים בדגל --expression כדי לציין תנאי בהתאמה אישית. מידע על מאפייני שפה של כללים מותאמים אישית
הפקודה הבאה מוסיפה כלל שמאפשר תנועה מכתובת ה-IP 1.2.3.4 שמכילה את המחרוזת example בכותרת User-Agent:
gcloud compute security-policies rules create 1000 \
--security-policy my-policy \
--expression "inIpRange(origin.ip, '1.2.3.4/32') && has(request.headers['user-agent']) && request.headers['user-agent'].contains('example')" \
--action allow \
--description "Block User-Agent 'example'"
הפקודה הבאה מוסיפה כלל לחסימת בקשות אם קובץ ה-Cookie של הבקשה מכיל ערך ספציפי:
gcloud compute security-policies rules create 1000 \
--security-policy my-policy \
--expression "has(request.headers['cookie']) && request.headers['cookie'].contains('cookie_name=cookie_value')" \
--action "deny-403" \
--description "Cookie Block"
הפקודה הבאה מוסיפה כלל לחסימת בקשות מהאזור AU:
gcloud compute security-policies rules create 1000 \
--security-policy my-policy \
--expression "origin.region_code == 'AU'" \
--action "deny-403" \
--description "AU block"
הפקודה הבאה מוסיפה כלל לחסימת בקשות מהאזור AU שלא נמצאות בטווח כתובות ה-IP שצוין:
gcloud compute security-policies rules create 1000 \
--security-policy my-policy \
--expression "origin.region_code == 'AU' && !inIpRange(origin.ip, '1.2.3.0/24')" \
--action "deny-403" \
--description "country and IP block"
הפקודה הבאה מוסיפה כלל לחסימת בקשות עם URI שתואם לביטוי רגולרי:
gcloud compute security-policies rules create 1000 \
--security-policy my-policy \
--expression "request.path.matches('/example_path/')" \
--action "deny-403" \
--description "regex block"
הפקודה הבאה מוסיפה כלל לחסימת בקשות אם הערך המפוענח ב-Base64 של הכותרת user-id מכיל ערך ספציפי:
gcloud compute security-policies rules create 1000 \
--security-policy my-policy \
--expression "has(request.headers['user-id']) && request.headers['user-id'].base64Decode().contains('myValue')" \
--action "deny-403" \
--description "country and IP block"
הפקודה הבאה מוסיפה כלל שמשתמש בקבוצת ביטויים שהוגדרה מראש כדי לצמצם את הסיכון להתקפות SQLi:
gcloud compute security-policies rules create 1000 \
--security-policy my-policy \
--expression "evaluatePreconfiguredWaf('sqli-v422-stable')" \
--action "deny-403"
הפקודה הבאה מוסיפה כלל שמשתמש בביטוי שהוגדר מראש כדי לאפשר גישה מכל כתובות ה-IP ברשימת כתובות IP עם שם:
gcloud compute security-policies rules create 1000 \
--security-policy my-policy \
--expression "evaluatePreconfiguredWaf('sourceiplist-fastly')" \
--action "allow"
כדי להגדיר מדיניות אבטחה של Cloud Armor בהיקף אזורי למאזני עומסים אזוריים חיצוניים של אפליקציות, פועלים לפי השלבים שמפורטים בקטע הזה.
כדי להגדיר מדיניות אבטחה לשירות קצה עורפי בהיקף אזורי:
יוצרים מדיניות אבטחה בהיקף אזורי.
gcloud compute security-policies create POLICY_NAME \
--type=CLOUD_ARMOR \
--region=REGION
מחליפים את מה שכתוב בשדות הבאים:
POLICY_NAME: השם של מדיניות האבטחהREGION: האזור שבו רוצים ליצור את מדיניות האבטחהמצרפים את מדיניות האבטחה בהיקף אזורי לשירות לקצה העורפי בהיקף אזורי. מחליפים את BACKEND_NAME בשם של שירות לקצה העורפי הקיים שלכם בהיקף אזורי.
gcloud compute backend-services update BACKEND_NAME \
--security-policy=POLICY_NAME \
--region=REGION
בדוגמה הזו, אדמין אבטחה רוצה לעמוד בדרישת מיקום נתונים, שלפיה כל עומסי העבודה של ה-Backend וכללי ה-WAF צריכים להיות פרוסים באזור מסוים. נניח שכבר עמדתם בתנאים הבאים:
אפשר להוסיף כללי WAF וכללים מתקדמים אחרים למדיניות באמצעות הפקודות הבאות:
מוסיפים כלל WAF למדיניות:
gcloud compute security-policies rules create 1000 --action=deny-404 \
--expression="evaluatePreconfiguredWaf('xss-v422-stable', ['owasp-crs-v042200-id941100-xss', 'owasp-crs-v042200-id941160-xss'])" \
--security-policy=POLICY_NAME \
--region=REGION
מחליפים את מה שכתוב בשדות הבאים:
POLICY_NAME: השם של מדיניות האבטחהREGION: האזור של מדיניות האבטחהמוסיפים כלל מתקדם למדיניות:
gcloud compute security-policies rules create 1000 --action=allow \
--expression="has(request.headers['cookie']) && request.headers['cookie'].contains('80=EXAMPLE')" \
--security-policy=POLICY_NAME \
--region=REGION
מוסיפים כלל להגבלת קצב הבקשות למדיניות:
gcloud compute security-policies rules create 1000 --action=throttle \
--src-ip-ranges="1.1.1.1/32" \
--rate-limit-threshold-count=1000 \
--rate-limit-threshold-interval-sec=120 \
--conform-action="allow" \
--exceed-action="deny-429" \
--enforce-on-key=IP \
--ban-duration-sec=999 \
--ban-threshold-count=5000 \
--ban-threshold-interval-sec=60 \
--security-policy=POLICY_NAME \
--region=REGION
מחליפים את מה שכתוב בשדות הבאים:
POLICY_NAME: השם של מדיניות האבטחהREGION: האזור של מדיניות האבטחהאלא אם צוין אחרת, התוכן של דף זה הוא ברישיון Creative Commons Attribution 4.0 ודוגמאות הקוד הן ברישיון Apache 2.0. לפרטים, ניתן לעיין במדיניות האתר Google Developers. Java הוא סימן מסחרי רשום של חברת Oracle ו/או של השותפים העצמאיים שלה.
עדכון אחרון: 2026-09-18 (שעון UTC).