ניהול משאבים של כללי חומת אש ב-VPC באמצעות אילוצים מותאמים אישית

Google Cloud שירות מדיניות הארגון נותן לכם שליטה מרוכזת ופרוגרמטית על המשאבים של הארגון. אדמינים של מדיניות הארגון יכולים להגדיר מדיניות לארגון, שהיא קבוצה של הגבלות שנקראות אילוצים. האילוצים האלה חלים על משאביGoogle Cloud ועל הצאצאים של המשאבים האלה בGoogle Cloud היררכיית המשאבים. אפשר לאכוף את מדיניות הארגון ברמת הארגון, התיקייה או הפרויקט.

מדיניות הארגון מספקת אילוצים מוגדרים מראש לשירותים שונים שלGoogle Cloud . עם זאת, אם אתם רוצים שליטה פרטנית יותר וניתנת להתאמה אישית על השדות הספציפיים שמוגבלים במדיניות הארגון, אתם יכולים גם ליצור אילוצים בהתאמה אישית ולאכוף אותם במדיניות ארגון בהתאמה אישית.

ירושה של מדיניות

כברירת מחדל, מדיניות הארגון עוברת בירושה לצאצאים של המשאבים שעליהם אתם אוכפים את המדיניות. לדוגמה, אם אוכפים מדיניות בתיקייה, Google Cloud אוכף את המדיניות בכל הפרויקטים שבתיקייה. למידע נוסף על ההתנהגות הזו ואיך לשנות אותה, קראו את המאמר כללי הערכה של היררכיה.

משאבים נתמכים ב-Cloud NGFW

בכללי חומת אש של VPC, אפשר להגדיר אילוצים בהתאמה אישית במשאבים ובשדות הבאים.

• חומת אש: compute.googleapis.com/Firewall
  • שם: resource.name
  • תיאור: resource.description
  • רשת: resource.network
  • עדיפות: resource.priority
  • טווחי המקור: resource.sourceRanges[]
  • טווחי היעד: resource.destinationRanges[]
  • תגי מקור: resource.sourceTags[]
  • תגי יעד: resource.targetTags[]
  • כללי הרשאות: resource.allowed[]
    • פרוטוקול: resource.allowed[].IPProtocol
    • יציאות: resource.allowed[].ports[]
  • כללי דחייה: resource.denied[]
    • פרוטוקול: resource.denied[].IPProtocol
    • יציאות: resource.denied[].ports[]
  • כיוון: resource.direction
  • מושבת: resource.disabled

הערה: כדי ליצור אילוצים בהתאמה אישית על סמך פרוטוקולים או יציאות, מומלץ להשתמש בפונקציית CEL בהתאמה אישית containsFirewallPort. מידע נוסף מופיע במאמר הגדרת אילוצים בהתאמה אישית.

הגדרת אילוצים בהתאמה אישית

אילוץ בהתאמה אישית מוגדר על ידי המשאבים, השיטות, התנאים והפעולות שנתמכים על ידי השירות שבו אתם אוכפים את מדיניות הארגון. התנאים של האילוצים המותאמים אישית מוגדרים באמצעות Common Expression Language (CEL). למידע נוסף על יצירת תנאים באילוצים מותאמים אישית באמצעות CEL, קראו את הקטע בנושא CEL במאמר יצירה וניהול של מדיניות הארגון.

בנוסף לפונקציות הרגילות של CEL, אתם יכולים להשתמש בפונקציה המותאמת אישית של CEL‏ containsFirewallPort כדי ליצור אילוצים מותאמים אישית לכללי חומת האש. אתם יכולים להשתמש בפונקציה הזו כדי ליצור אילוץ שמתייחס לפרוטוקול מסוים, או לשילוב של פרוטוקול ויציאה.

• פרוטוקול בלבד: resource.allowed.containsFirewallPort('PROTOCOL')
• פרוטוקול ויציאה: resource.allowed.containsFirewallPort('PROTOCOL', 'PORT_NUMBER')

למידע על הפרוטוקולים המותרים, ראו פרוטוקולים ויציאות.

לפני שמתחילים

• אם עדיין לא עשיתם את זה, תצטרכו להגדיר אימות. אימות הוא התהליך שבו מאמתים את הזהות שלכם כדי לקבל גישה לממשקי API ולשירותים של Google Cloud . כדי להריץ קוד או דוגמאות מסביבת פיתוח מקומית, אפשר לבצע אימות ל-Compute Engine באחת מהדרכים האלה:

  צריך לבחור את הכרטיסייה הרלוונטית לאופן שבו תכננתם להשתמש בדוגמאות בדף הזה:

  המסוף

  כשמשתמשים במסוף Google Cloud כדי לגשת לשירותים ולממשקי ה-API של Google Cloud , לא צריך להגדיר אימות.

  gcloud

  1. התקינו את ה-CLI של Google Cloud ואז היכנסו ל-CLI של gcloud באמצעות הזהות המאוחדת שלכם. אחרי שנכנסתם לחשבון, אתחלו את ה-CLI של Google Cloud באמצעות הפקודה הבאה:

     gcloud init

     הערה: אם התקנתם את ה-CLI של gcloud, השתמשו בפקודה gcloud components update כדי לבדוק אם הגרסה העדכנית מותקנת.
• הגדרת אזור ותחום כברירת מחדל.

REST

כדי להשתמש בסביבת פיתוח מקומית בדוגמאות של API בארכיטקטורת REST שבדף הזה, צריך להשתמש בפרטי הכניסה שאתם נותנים ל-CLI של gcloud.

התקינו את ה-CLI של Google Cloud ואז היכנסו ל-CLI של gcloud באמצעות הזהות המאוחדת שלכם.

מידע נוסף מופיע במאמר אימות לשימוש ב-REST במסמכי האימות של Google Cloud .

* ודאו שאתם יודעים מהו מזהה הארגון שלכם.

התפקידים הנדרשים

כדי לקבל את ההרשאות שדרושות לניהול מדיניות הארגון למשאבי Cloud Next Generation Firewall ‏ (Cloud NGFW), אתם צריכים לבקש מהאדמין להקצות לכם את התפקידים הבאים ב-IAM:

• אדמין של מדיניות הארגון (roles/orgpolicy.policyAdmin) במשאב הארגון
• כדי לבדוק את האילוצים:
  • אדמין של רשת Compute ‏(roles/compute.networkAdmin) בפרויקט
  • משתמש בחשבון שירות (roles/iam.serviceAccountUser) בפרויקט

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

התפקידים המוגדרים מראש האלה כוללים את ההרשאות שנדרשות כדי לנהל את מדיניות הארגון למשאבים של Cloud Next Generation Firewall ‏ (Cloud NGFW). כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

ההרשאות הנדרשות

כדי לנהל את מדיניות הארגון למשאבים של Cloud Next Generation Firewall ‏ (Cloud NGFW), נדרשות ההרשאות הבאות:

• orgpolicy.constraints.list
• orgpolicy.policies.create
• orgpolicy.policies.delete
• orgpolicy.policies.list
• orgpolicy.policies.update
• orgpolicy.policy.get
• orgpolicy.policy.set

יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

הגדרת אילוץ בהתאמה אישית

אפשר ליצור אילוץ בהתאמה אישית ולהגדיר אותו לשימוש בכללי מדיניות של הארגון באמצעות מסוף Google Cloud או Google Cloud CLI.

המסוף

1. במסוף Google Cloud , נכנסים לדף מדיניות הארגון.

   כניסה לדף Organization policies

2. בוחרים את הפרויקט בחלק העליון של הדף.

3. בכלי לבחירת פרויקטים, בוחרים את המשאב שרוצים להגדיר לו את מדיניות הארגון.

4. לוחצים על Custom constraint.

5. בתיבה Display name, מזינים שם לאילוץ שיהיה קל לזהות. האורך המקסימלי של השדה הזה הוא 200 תווים. אל תשתמשו בפרטים אישיים מזהים (PII) או בנתונים רגישים בשמות של אילוצים, כי הם עלולים להיחשף בהודעות שגיאה.

6. בתיבה Constraint ID, מזינים את השם שרוצים לתת לאילוץ החדש בהתאמה אישית. אילוץ בהתאמה אישית חייב להתחיל ב-custom., ויכול לכלול רק אותיות רישיות, אותיות קטנות או מספרים, לדוגמה, custom.httpFirewallRule. האורך המקסימלי של השדה הזה הוא 70 תווים, לא כולל הקידומת, לדוגמה, organizations/123456789/customConstraints/custom..

7. בתיבה Description, מזינים תיאור קריא של האילוץ שיוצג כהודעת שגיאה כשיש הפרה של המדיניות. האורך המקסימלי של השדה הזה הוא 2,000 תווים.

8. בתיבה Resource type, בוחרים את השם של משאב ה-REST ב- Google Cloudשמכיל את האובייקט והשדה שרוצים להגביל. לדוגמה, compute.googleapis.com/Firewall.

9. בקטע Enforcement method, בוחרים אם לאכוף את האילוץ רק על ה-method‏ CREATE ב-REST, או גם על ה-method‏ CREATE וגם על ה-method‏ UPDATE ב-REST.

10. כדי להגדיר תנאי, לוחצים על Edit condition.

    1. בחלונית Add condition, יוצרים תנאי CEL שמתייחס למשאב של שירות נתמך. האורך המקסימלי של השדה הזה הוא 1,000 תווים.

    2. לוחצים על Save.

11. בקטע Action, בוחרים אם לאשר או לדחות את השיטה שנבדקה אם התנאי הקודם מתקיים.

12. לוחצים על Create constraint.

אחרי שמזינים ערך בכל שדה, בצד שמאל מופיעה הגדרת ה-YAML המקבילה לאילוץ המותאם אישית הזה.

gcloud

כדי ליצור אילוץ בהתאמה אישית באמצעות Google Cloud CLI, יוצרים קובץ YAML.

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resource_types: compute.googleapis.com/RESOURCE_NAME
method_types:
– METHOD1
– METHOD2
condition: "CONDITION"
action_type: ACTION
display_name: DISPLAY_NAME
description: DESCRIPTION

מחליפים את מה שכתוב בשדות הבאים:

• ‫ORGANIZATION_ID: מזהה הארגון, למשל 123456789.

• ‫CONSTRAINT_NAME: השם של האילוץ בהתאמה אישית שרוצים ליצור. מזהה של אילוץ בהתאמה אישית חייב להתחיל ב-custom. ויכול להכיל רק אותיות רישיות, אותיות קטנות ומספרים. לדוגמה, custom.httpFirewallRule.

  האורך המקסימלי של השדה הזה הוא 70 תווים, לא כולל הקידומת. לדוגמה, organizations/123456789/customConstraints/custom.

• ‫RESOURCE_NAME: השם (לא ה-URI) של המשאב ב-Compute Engine API REST שמכיל את האובייקט והשדה שרוצים להגביל. לדוגמה, compute.googleapis.com/Firewall.

• ‫METHOD1, METHOD2, ...: רשימה של שיטות RESTful שעליהן צריך לאכוף את האילוץ. הערך יכול להיות CREATE או CREATE ו-UPDATE.

• ‫CONDITION: תנאי CEL שנכתב בהתאם לייצוג של משאב שירות נתמך. האורך המקסימלי של השדה הזה הוא 1,000 תווים. בקטע משאבים נתמכים מפורט מידע נוסף על המשאבים שאפשר לכתוב תנאים לגביהם.

• ‫ACTION: הפעולה שצריך לבצע אם מתקיים התנאי condition. הערך יכול להיות ALLOW או DENY.

• ‫DISPLAY_NAME: שם קריא לאנשים של האילוץ. האורך המקסימלי של השדה הזה הוא 200 תווים.

• ‫DESCRIPTION: תיאור קריא של האילוץ, שיוצג כהודעת שגיאה במקרה של הפרת המדיניות. האורך המקסימלי של השדה הזה הוא 2,000 תווים.

למידע נוסף על יצירת אילוץ בהתאמה אישית, ראו הגדרת אילוצים בהתאמה אישית.

המסוף

כדי ליצור אילוץ בהתאמה אישית:

1. במסוף Google Cloud , נכנסים לדף מדיניות הארגון.

   כניסה לדף Organization policies

2. בכלי לבחירת פרויקטים, בוחרים את הפרויקט שרוצים להגדיר לו את מדיניות הארגון.
3. לוחצים על Custom constraint.
4. בתיבה Display name, מזינים שם לאילוץ שיהיה קריא לאנשים. השם הזה מופיע בהודעות שגיאה ואפשר להשתמש בו לזיהוי ולניפוי באגים. אל תשתמשו בפרטים אישיים מזהים (PII) או במידע רגיש בשמות לתצוגה, כי השם הזה עלול להיחשף בהודעות שגיאה. השדה הזה יכול להכיל עד 200 תווים.
5. בתיבה Constraint ID, מזינים את המזהה שרוצים לתת לאילוץ החדש בהתאמה אישית. אילוץ בהתאמה אישית יכול להכיל רק אותיות (כולל אותיות רישיות וקטנות) או מספרים, לדוגמה custom.httpFirewallRule. השדה הזה יכול להכיל עד 70 תווים, לא כולל הקידומת (custom.), לדוגמה, organizations/123456789/customConstraints/custom. אל תכללו פרטים אישיים מזהים או מידע רגיש במזהה האילוץ, כי הם עלולים להיחשף בהודעות שגיאה.
6. בתיבה Description, מזינים תיאור קריא לאנשים של האילוץ. התיאור הזה משמש כהודעת שגיאה כשיש הפרה של המדיניות. ציינו פרטים על הסיבה להפרת המדיניות ואיך לפתור את הבעיה. אל תכללו פרטים אישיים מזהים או מידע רגיש בתיאור, כי הם עלולים להיחשף בהודעות שגיאה. השדה הזה יכול להכיל עד 2,000 תווים.
7. בתיבה Resource type, בוחרים את השם של משאב ה- Google Cloud REST שמכיל את האובייקט והשדה שרוצים להגביל, לדוגמה container.googleapis.com/Cluster. רוב סוגי המשאבים תומכים בעד 20 אילוצים בהתאמה אישית. אם תנסו ליצור יותר אילוצים בהתאמה אישית, הפעולה תיכשל.
8. אפשר לאכוף את האילוץ הזה רק ב-REST CREATE.

כדי לראות את השיטות הנתמכות לכל שירות, חפשו את השירות במאמר שירותים שתומכים באילוצים בהתאמה אישית.

9. כדי להגדיר תנאי, לוחצים על עריכת התנאי.
1. בחלונית Add condition, יוצרים תנאי CEL שמתייחס למשאב שירות נתמך, לדוגמה resource.management.autoUpgrade == false. השדה הזה יכול להכיל עד 1,000 תווים. לפרטים על השימוש ב-CEL, קראו את המאמר Common Expression Language. מידע נוסף על משאבי השירות שבהם אפשר להשתמש באילוצים המותאמים אישית מופיע במאמר שירותים שנתמכים באילוצים מותאמים אישית.
2. לוחצים על Save.
10. בקטע Action, בוחרים אם לאשר או לדחות את השיטה שנבדקה אם התנאי מתקיים.

פעולת הדחייה פירושה שהפעולה ליצירה או לעדכון של המשאב נחסמת אם התנאי מקבל את הערך true.

פעולת ההרשאה מאפשרת ליצור או לעדכן את המשאב רק אם התנאי מתקיים. כל מקרה אחר, מלבד אלה שרשומים במפורש בתנאי, נחסם.

11. לוחצים על Create constraint.

אחרי שמזינים ערך בכל שדה, הגדרת ה-YAML המקבילה לאילוץ המותאם אישית הזה מופיעה בצד שמאל.

gcloud

1. כדי ליצור אילוץ בהתאמה אישית, יוצרים קובץ YAML בפורמט הבא:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resourceTypes: RESOURCE_NAME
methodTypes:
  - CREATE
condition: "CONDITION"
actionType: ACTION
displayName: DISPLAY_NAME
description: DESCRIPTION

מחליפים את מה שכתוב בשדות הבאים:

• ‫ORGANIZATION_ID: מזהה הארגון, למשל 123456789.
• ‫CONSTRAINT_NAME: השם שרוצים לתת לאילוץ החדש בהתאמה אישית. אילוץ בהתאמה אישית יכול להכיל רק אותיות (כולל אותיות רישיות וקטנות) או מספרים, לדוגמה, custom.httpFirewallRule. השדה הזה יכול להכיל עד 70 תווים, לא כולל הקידומת (custom.) – לדוגמה, organizations/123456789/customConstraints/custom. אל תכללו פרטים אישיים מזהים (PII) או מידע רגיש במזהה האילוץ, כי הם עלולים להיחשף בהודעות שגיאה.
• ‫RESOURCE_NAME: השם המלא של המשאב ב- Google Cloudשמכיל את האובייקט והשדה שרוצים להגביל. לדוגמה, compute.googleapis.com/Firewall. רוב סוגי המשאבים תומכים בעד 20 אילוצים בהתאמה אישית. אם תנסו ליצור יותר אילוצים בהתאמה אישית, הפעולה תיכשל.
• ‫methodTypes: שיטות ה-REST שעליהן נאכף האילוץ. הערך יכול להיות רק CREATE.

כדי לראות את השיטות הנתמכות בכל שירות, חפשו את השירות במאמר שירותים שתומכים באילוצים בהתאמה אישית.

• ‫CONDITION: תנאי CEL שנכתב כנגד ייצוג של משאב שירות נתמך. השדה הזה יכול להכיל עד 1,000 תווים. לדוגמה, "resource.allowed.containsFirewallPort('tcp', '80')".

למידע נוסף על המשאבים הזמינים לכתיבת תנאים, ראו משאבים נתמכים.

• ‫ACTION: הפעולה שצריך לבצע אם התנאי condition מתקיים. הערך יכול להיות רק ALLOW.

הפעולה allow פירושה שאם התנאי מקבל את הערך true, מותר ליצור או לעדכן את המשאב. זה גם אומר שכל מקרה אחר, מלבד המקרה שמופיע במפורש בתנאי, חסום.

• ‫DISPLAY_NAME: שם קריא לאנשים של האילוץ. השם הזה מופיע בהודעות שגיאה ואפשר להשתמש בו לזיהוי ולניפוי באגים. אל תשתמשו בפרטים אישיים מזהים (PII) או במידע רגיש בשמות המוצגים, כי השם הזה עלול להיחשף בהודעות שגיאה. השדה הזה יכול להכיל עד 200 תווים.
• ‫DESCRIPTION: תיאור ידידותי למשתמש של האילוץ, שיוצג כהודעת שגיאה במקרה של הפרת המדיניות. השדה הזה יכול להכיל עד 2,000 תווים.
2. אחרי שיוצרים את קובץ ה-YAML לאילוץ חדש בהתאמה אישית, צריך להגדיר אותו כדי שיהיה זמין למדיניות הארגון. כדי להגדיר אילוץ בהתאמה אישית, משתמשים בפקודה gcloud org-policies set-custom-constraint:

gcloud org-policies set-custom-constraint CONSTRAINT_PATH

מחליפים את CONSTRAINT_PATH בנתיב המלא לקובץ האילוץ בהתאמה אישית. לדוגמה, /home/user/customconstraint.yaml.

בסיום הפעולה, האילוצים המותאמים אישית יהיו זמינים כמדיניות של הארגון ברשימת Google Cloud כללי המדיניות של הארגון.

3. כדי לוודא שהאילוץ המותאם אישית קיים, משתמשים בפקודה gcloud org-policies list-custom-constraints:

gcloud org-policies list-custom-constraints --organization=ORGANIZATION_ID

מחליפים את ORGANIZATION_ID במזהה של משאב הארגון.

למידע נוסף, קראו את המאמר הצגת מדיניות הארגון.

אכיפה של אילוץ בהתאמה אישית

כדי לאכוף אילוץ, אתם יכולים ליצור מדיניות ארגון שמפנה אליו, ואז להחיל את מדיניות הארגון על משאב ב- Google Cloud .

המסוף

1. במסוף Google Cloud , נכנסים לדף מדיניות הארגון.

   כניסה לדף Organization policies

2. בכלי לבחירת פרויקטים, בוחרים את הפרויקט שרוצים להגדיר לו את מדיניות הארגון.
3. ברשימה שבדף מדיניות הארגון, בוחרים את האילוץ כדי להציג את הדף Policy details של אותו אילוץ.
4. כדי להגדיר את מדיניות הארגון למשאב הזה, לוחצים על ניהול המדיניות.
5. בדף עריכת המדיניות, בוחרים באפשרות במקום המדיניות של המשאב הראשי.
6. לוחצים על Add a rule.
7. בקטע Enforcement, בוחרים אם לאכוף את מדיניות הארגון הזו או לא.
8. אופציונלי: כדי להוסיף תנאי למדיניות הארגון על סמך תג, לוחצים על Add condition. שימו לב: אם מוסיפים כלל מותנה למדיניות הארגון, צריך להוסיף לפחות כלל אחד לא מותנה, אחרת אי אפשר לשמור את המדיניות. מידע נוסף מופיע במאמר הגדרת ההיקף של מדיניות הארגון באמצעות תגים.
9. לוחצים על בדיקת השינויים כדי לדמות את ההשפעה של מדיניות הארגון. למידע נוסף, קראו את המאמר בדיקת שינויים במדיניות הארגון באמצעות סימולטור המדיניות.
10. כדי לאכוף את מדיניות הארגון במצב פרימטר לבדיקות, לוחצים על הגדרת המדיניות להרצת בדיקה. למידע נוסף, קראו את המאמר בדיקת כללי מדיניות של הארגון.
11. אחרי שמוודאים שמדיניות הארגון במצב פרימטר לבדיקות פועלת כמו שצריך, לוחצים על Set policy כדי להגדיר את המדיניות הפעילה.

gcloud

1. כדי ליצור מדיניות ארגונית עם כללים בוליאניים, יוצרים קובץ YAML של מדיניות שמפנה לאילוץ:

name: projects/PROJECT_ID/policies/CONSTRAINT_NAME
spec:
  rules:
  - enforce: true

dryRunSpec:
  rules:
  - enforce: true

מחליפים את מה שכתוב בשדות הבאים:

• ‫PROJECT_ID: הפרויקט שבו רוצים לאכוף את האילוץ.
• ‫CONSTRAINT_NAME: השם שהגדרתם לאילוץ המותאם אישית. לדוגמה, custom.httpFirewallRule.
2. כדי לאכוף את מדיניות הארגון במצב פרימטר לבדיקות, מריצים את הפקודה הבאה עם הדגל dryRunSpec:

gcloud org-policies set-policy POLICY_PATH --update-mask=dryRunSpec

מחליפים את POLICY_PATH בנתיב המלא לקובץ ה-YAML של מדיניות הארגון. המדיניות תיכנס לתוקף תוך 15 דקות לכל היותר.

3. אחרי שמוודאים שמדיניות הארגון במצב פרימטר לבדיקות פועלת כמצופה, מגדירים את המדיניות הפעילה באמצעות הפקודה org-policies set-policy והדגל spec:

gcloud org-policies set-policy POLICY_PATH --update-mask=spec

מחליפים את POLICY_PATH בנתיב המלא לקובץ ה-YAML של מדיניות הארגון. המדיניות תיכנס לתוקף תוך 15 דקות לכל היותר.

דוגמה: יצירת אילוץ שמגביל יצירה של כללי חומת אש שמאפשרים חיבורי SSH

האילוץ הזה מונע יצירה של כללי חומת אש לתעבורת נתונים נכנסת, שמאפשרים חיבורי SSH מכל טווח של כתובות IP, חוץ מהטווחים הבאים:

• ‫10.0.0.0/8: טווח כתובות IP פנימיות שמשמשות ברשת ה-VPC.
• ‫192.168.0.0/16: טווח כתובות IP פנימיות שמשמשות ברשת ה-VPC.
• ‫35.235.240.0/20: טווח כתובות ה-IP שמשמש את שרת ה-Proxy לאימות זהויות (IAP) להעברת TCP.

כל טווחי כתובות ה-IP שכוללים את יציאת TCP ‏22 חסומים גם הם.

gcloud

1. יוצרים קובץ אילוצים ב-restrictSshRanges.yaml עם הפרטים הבאים:

   name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictSshRanges
   resource_types: compute.googleapis.com/Firewall
   condition: "resource.direction.matches('INGRESS') && resource.allowed.containsFirewallPort('tcp', '22') && !resource.sourceRanges.all(range, range == '35.235.240.0/20' || range.startsWith('10.') || range.startsWith('192.168.'))"
   action_type: DENY
   method_types: CREATE
   display_name: Limit firewall rules that allow ingress SSH traffic
   description: Firewall rules that allow ingress SSH traffic can only be created with allowed source ranges.

   מחליפים את ORGANIZATION_ID במזהה הארגון.

2. מגדירים את האילוץ המותאם אישית באמצעות הפקודה gcloud org-policies set-custom-constraint:

   gcloud org-policies set-custom-constraint restrictSshRanges.yaml
   

3. יוצרים קובץ מדיניות restrictSshRanges-policy.yaml עם המידע שמופיע בדוגמה הבאה, ואוכפים את האילוץ ברמת הפרויקט. אפשר גם להגדיר את האילוץ הזה ברמת הארגון או התיקייה.

       name: projects/PROJECT_ID/policies/custom.restrictSshRanges
       spec:
         rules:
         – enforce: true

   מחליפים את PROJECT_ID במזהה הפרויקט.

4. אוכפים את המדיניות באמצעות הפקודה gcloud org-policies set-policy.

   gcloud org-policies set-policy restrictSshRanges-policy.yaml
   

5. כדי לבדוק את האילוץ, יוצרים רשת VPC במצב אוטומטי באמצעות הפקודה gcloud compute firewall-rules create.

   gcloud compute firewall-rules create ssh-firewall-rule \
       --action=ALLOW \
       --direction=INGRESS \
       --network=NETWORK \
       --priority=1000 \
       --rules=tcp:22 \
       --source-ranges=0.0.0.0/0
   

   מחליפים את `NETWORK` בשם הרשת. הפלט אמור להיראות כך:

   ERROR: (gcloud.compute.firewall-rules.create) Could not fetch resource:
   - Operation denied by custom org policy: [customConstraints/custom.restrictSshRanges] : Firewall rules that allow ingress SSH traffic can only be created with allowed source ranges.

דוגמה: הגבלת תעבורת הנתונים הנכנסת (ingress) ליציאות אינטרנט רגילות בלבד

המגבלה הזו חוסמת את היצירה של כללי חומת אש לתעבורת נתונים נכנסת (ingress) שמאפשרים תעבורת נתונים מ-0.0.0.0/0 ביציאות TCP שהן לא 80 או 443.

gcloud

1. יוצרים קובץ אילוצים ב-restrictWebPorts.yaml עם הפרטים הבאים:

   name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictWebPorts
   resource_types: compute.googleapis.com/Firewall
   condition: "resource.direction.matches('INGRESS') && resource.sourceRanges.all(range, range == '0.0.0.0/0') && resource.allowed.exists(allowed, allowed.IPProtocol != 'tcp' || allowed.ports.exists(port, port != '80' && port != '443'))"
   action_type: DENY
   method_types: CREATE
   display_name: Limit firewall rules that allow ingress traffic from 0.0.0.0/0
   description: Firewall rules that allow ingress traffic from 0.0.0.0/0 on TCP ports other than 80 or 443.

   מחליפים את ORGANIZATION_ID במזהה הארגון.

2. מגדירים את האילוץ המותאם אישית באמצעות הפקודה gcloud org-policies set-custom-constraint:

   gcloud org-policies set-custom-constraint restrictWebPorts.yaml
   

3. יוצרים קובץ מדיניות restrictWebPorts-policy.yaml עם המידע שמופיע בדוגמה הבאה, ואוכפים את האילוץ ברמת הפרויקט. אפשר גם להגדיר את האילוץ הזה ברמת הארגון או התיקייה.

       name: projects/PROJECT_ID/policies/custom.restrictWebPorts
       spec:
         rules:
         – enforce: true

   מחליפים את PROJECT_ID במזהה הפרויקט.

4. אוכפים את המדיניות באמצעות הפקודה gcloud org-policies set-policy:

   gcloud org-policies set-policy restrictWebPorts-policy.yaml
   

5. כדי לבדוק את האילוץ, יוצרים רשת VPC במצב אוטומטי באמצעות הפקודה gcloud compute firewall-rules create.

   gcloud compute firewall-rules create ssh-firewall-rule \
       --action=ALLOW \
       --direction=INGRESS \
       --network=NETWORK \
       --priority=1000 \
       --rules=tcp:22 \
       --source-ranges=0.0.0.0/0
   

   מחליפים את `NETWORK` בשם הרשת. הפלט אמור להיראות כך:

   ERROR: (gcloud.compute.firewall-rules.create) Could not fetch resource:
   - Operation denied by custom org policy: [customConstraints/custom.restrictWebPorts] : Firewall rules that allow ingress traffic from 0.0.0.0/0 on TCP ports other than 80 or 443.

המאמרים הבאים

• מבוא לשירות מדיניות הארגון
• יצירה וניהול של מדיניות הארגון
• אילוצים של מדיניות הארגון