Questa pagina descrive come gestire le regole all'interno delle policy di sicurezza di Google Cloud Armor, tra cui l'aggiornamento di singole regole, l'aggiornamento atomico di più regole e l'eliminazione di regole.
Per creare nuove regole o visualizzare quelle esistenti in una policy di sicurezza, consulta Crea e visualizza le regole delle policy di sicurezza di Cloud Armor. Per gestire il container delle policy di sicurezza, consulta Gestisci le policy di sicurezza di Cloud Armor.
Gestisci le regole delle policy di sicurezza
Le sezioni seguenti descrivono come aggiornare o eliminare le regole delle policy di sicurezza.
Aggiorna una singola regola in una policy di sicurezza
Questa sezione descrive come aggiornare una singola regola in una policy di sicurezza di Cloud Armor. Per aggiornare più regole in modo atomico, vedi Aggiorna più regole in una policy di sicurezza in modo atomico.
Console
Nella console Google Cloud , vai alla pagina Policy di Cloud Armor.
Fai clic sul nome della policy di sicurezza per aprire la pagina Dettagli policy.
Fai clic sulla scheda Regole.
Accanto alla regola che vuoi aggiornare, fai clic su Modifica. Viene visualizzata la pagina Modifica regola.
Apporta le modifiche e fai clic su Aggiorna.
gcloud
Utilizza il seguente comando per aggiornare una regola. Puoi aggiornare una sola policy di sicurezza alla volta:
gcloud compute security-policies rules update PRIORITY [ \
--security-policy POLICY_NAME \
--description DESCRIPTION \
--src-ip-ranges IP_RANGES | --expression EXPRESSION \
--action=[ allow | deny-403 | deny-404 | deny-502 ] \
--preview
]
Ad esempio, il comando seguente aggiorna una regola con priorità 1111 per consentire il traffico dall'intervallo di indirizzi IP 192.0.2.0/24:
gcloud compute security-policies rules update 1111 \
--security-policy my-policy \
--description "allow traffic from 192.0.2.0/24" \
--src-ip-ranges "192.0.2.0/24" \
--action "allow"
Per ulteriori informazioni sul comando precedente, consulta gcloud compute
security-policies rules
update.
Per aggiornare la priorità di una regola, utilizza l'API REST. Consulta securityPolicies.patchRule.
Aggiorna in modo atomico più regole in una policy di sicurezza
Puoi utilizzare la funzionalità di aggiornamento atomico per applicare le modifiche a più regole in un unico aggiornamento. Gli aggiornamenti di una singola regola potrebbero causare comportamenti imprevisti, come errori, perché le regole vecchie e nuove potrebbero sovrapporsi per un breve periodo.
Per aggiornare più regole in modo atomico, esporta la policy di sicurezza corrente in un file JSON o YAML, quindi modificalo. Utilizza il file modificato per creare una policy di sicurezza, quindi cambia la policy di sicurezza per i servizi di backend.
gcloud
Esporta la policy da aggiornare, come mostrato nell'esempio seguente:
gcloud compute security-policies export my-policy \ --file-name my-file \ --file-format yamlLa policy esportata è simile all'esempio seguente:
description: my description fingerprint: PWfLGDWQDLY= id: '123' name: my-policy rules: - action: deny(404) description: my-rule-1 match: expr: expression: evaluatePreconfiguredWaf('xss-v422-stable') versionedExpr: SRC_IPS_V1 preview: false priority: 1 - action: allow description: my-rule-2 match: config: srcIpRanges: - '1.2.3.4' versionedExpr: SRC_IPS_V1 preview: false priority: 2 - action: deny description: default rule kind: compute#securityPolicyRule match: config: srcIpRanges: - '*' versionedExpr: SRC_IPS_V1 preview: false priority: 2147483647 selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/securityPolicies/my-policyUtilizza un editor di testo per modificare la policy. Ad esempio, puoi modificare le priorità delle regole esistenti e aggiungere una regola:
description: my description fingerprint: PWfLGDWQDLY= id: '123' name: my-policy rules: - action: deny(404) description: my-rule-1 match: expr: expression: evaluatePreconfiguredWaf('xss-v422-stable') versionedExpr: SRC_IPS_V1 preview: false priority: 1 - action: allow description: my-new-rule match: config: srcIpRanges: - '1.2.3.1' versionedExpr: SRC_IPS_V1 preview: false priority: 10 - action: allow description: my-rule-2 match: config: srcIpRanges: - '1.2.3.4' versionedExpr: SRC_IPS_V1 preview: false priority: 11 - action: deny description: default rule kind: compute#securityPolicyRule match: config: srcIpRanges: - '*' versionedExpr: SRC_IPS_V1 preview: false priority: 2147483647 selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/securityPolicies/my-policyCrea una nuova policy di sicurezza di Cloud Armor e specifica il nome file e il formato modificati, come mostrato nell'esempio seguente:
gcloud compute security-policies create new-policy \ --file-name modified-policy \ --file-format yamlRimuovi la vecchia policy di sicurezza dal servizio di backend pertinente, come mostrato nell'esempio seguente:
gcloud compute backend-services update my-backend \ --security-policy ""Aggiungi la nuova policy di sicurezza al servizio di backend, come mostrato nell'esempio seguente:
gcloud compute backend-services update my-backend \ --security-policy new-policySe la vecchia policy non viene utilizzata, eliminala:
gcloud compute security-policies delete my-policy
Elimina le regole da una policy di sicurezza
Segui i passaggi descritti in questa sezione per eliminare le regole da una policy di sicurezza di Cloud Armor.
Console
Nella console Google Cloud , vai alla pagina Policy di Cloud Armor.
Fai clic sul nome della policy di sicurezza per aprire la pagina Dettagli policy.
Nella scheda Regole, seleziona la casella di controllo accanto alla regola che vuoi eliminare.
Fai clic su Elimina.
gcloud
Utilizza il seguente comando per rimuovere una regola. Puoi modificare una sola policy di sicurezza alla volta, ma puoi eliminare più regole contemporaneamente:
gcloud compute security-policies rules delete PRIORITY [...] [
--security-policy POLICY_NAME \
]
Ad esempio:
gcloud compute security-policies rules delete 1000 \
--security-policy my-policy