ファイアウォール エンドポイントとエンドポイントの関連付けを管理する

このドキュメントでは、 Google Cloud コンソールまたは Google Cloud CLI を使用して、ファイアウォール エンドポイントと Virtual Private Cloud（VPC）ネットワークとの関連付けを管理する方法について説明します。ファイアウォール エンドポイントを VPC ネットワークに関連付けると、個別の検査アプライアンスをデプロイせずに、VM インスタンスを保護し、同じゾーン内の複数のネットワーク間のトラフィックを検査できます。

ファイアウォール エンドポイントは、トラフィックに対してレイヤ 7 検査を提供するゾーンリソースです。ファイアウォール エンドポイントの関連付けを使用すると、エンドポイントをそのゾーンの 1 つ以上の VPC ネットワークに関連付けて、トラフィックを検査できます。

始める前に

ファイアウォール エンドポイントと関連付けを管理する前に、次の操作を行います。

1. VPC ネットワークとサブネットがあることを確認します。
2. 必要な API を有効にします。
   • Google Cloud プロジェクトの Compute Engine API。
   • 課金に使用する Google Cloud プロジェクトの Network Security API。
   • Google Cloud プロジェクトの Certificate Authority Service API。
3. gcloud コマンドラインのサンプルを実行する場合は、gcloud CLI をインストールします。

ロールと権限

ファイアウォール エンドポイントと関連付けの表示、更新、削除に必要な権限を取得するには、組織またはプロジェクトに必要な Identity and Access Management（IAM）ロールを付与するよう管理者に依頼してください。詳細については、アクセスを管理するをご覧ください。

このページに記載されているオペレーションの進行状況を確認するには、ユーザー アカウントに Compute ネットワーク ユーザー（roles/compute.networkUser）ロールが付与されていることを確認します。このロールには次の権限が含まれています。

• networksecurity.operations.get
• networksecurity.operations.list

割り当て

ファイアウォール エンドポイントと関連付けの割り当てについては、割り当てと上限をご覧ください。

ファイアウォール エンドポイントを管理する

このセクションでは、ファイアウォール エンドポイントの管理方法について説明します。

ファイアウォール エンドポイントを一覧表示して詳細を表示する

すべてのファイアウォール エンドポイントを一覧表示するには、 Google Cloud コンソールまたは gcloud CLI を使用します。

次のようなエンドポイントの詳細を表示できます。

• エンドポイントがデプロイされているゾーン
• エンドポイントの現在の状態
• ジャンボ フレームのサポート ステータス
• 課金プロジェクト（組織レベルのエンドポイントの場合のみ）
• エンドポイントの関連付け

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.firewallEndpoints.get

ロール

• Compute ネットワーク管理者（roles/compute.networkAdmin）
• Compute ネットワーク ユーザー（roles/compute.networkUser）
• Compute ネットワーク閲覧者（roles/compute.networkViewer）
• 組織レベルのファイアウォール エンドポイントの場合は組織レベルで、プロジェクト レベルのファイアウォール エンドポイントの場合はプロジェクト レベルまたは組織レベルで付与されるファイアウォール エンドポイント管理者（roles/networksecurity.firewallEndpointAdmin）

コンソール

1. Google Cloud コンソールで、[ファイアウォール エンドポイント] ページに移動します。

   [ファイアウォール エンドポイント] に移動

2. プロジェクト セレクタのメニューで、組織またはエンドポイントが存在するプロジェクトを選択します。

   組織を選択すると、[ファイアウォール エンドポイント] ページに、組織内のファイアウォール エンドポイントが一覧表示されます。

   プロジェクトを選択すると、[このプロジェクト内にあるファイアウォール エンドポイント] セクションに、プロジェクトのファイアウォール エンドポイントが一覧表示されます。

3. ファイアウォール エンドポイントの名前をクリックして、詳細を表示します。

gcloud

すべてのファイアウォール エンドポイントを一覧表示するには、gcloud network-security firewall-endpoints list コマンドを使用します。

gcloud network-security firewall-endpoints list \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    --location LOCATION \
    [--billing-project QUOTA_PROJECT_ID]

ファイアウォール エンドポイントの詳細を表示するには、gcloud network-security firewall-endpoints describe コマンドを使用します。

gcloud network-security firewall-endpoints describe NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    --location LOCATION

次のように置き換えます。

• NAME: ファイアウォール エンドポイントの名前。

• ORGANIZATION_ID: ファイアウォール エンドポイントが存在する組織 ID。このフラグは、組織レベルのエンドポイントに使用します。

• PROJECT_ID: ファイアウォール エンドポイントが存在するプロジェクト ID。このフラグはプロジェクト レベルのエンドポイントに使用します。

• LOCATION: エンドポイントが存在するゾーン。

• QUOTA_PROJECT_ID: 割り当てプロジェクト ID。このフラグは組織レベルのエンドポイントにのみ使用してください。

ファイアウォール エンドポイントを更新する

ファイアウォール エンドポイントを更新するには、 Google Cloud コンソールまたは gcloud CLI を使用します。

エンドポイントの次のキーの詳細を更新できます。

• 課金プロジェクト（組織レベルのエンドポイントでのみ使用可能）
• エンドポイントのラベル
• エンドポイントの説明

次の詳細は変更できません。

• ジャンボ フレームのサポート ステータス
• エンドポイントの名前
• エンドポイントのゾーン
• エンドポイントの組織またはプロジェクト

前の詳細を変更するには、エンドポイントを削除して別のエンドポイントを作成します。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.firewallEndpoints.get

ロール

• Compute ネットワーク管理者（roles/compute.networkAdmin）
• Compute ネットワーク ユーザー（roles/compute.networkUser）
• Compute ネットワーク閲覧者（roles/compute.networkViewer）
• 組織レベルのファイアウォール エンドポイントの場合は組織レベルで、プロジェクト レベルのファイアウォール エンドポイントの場合はプロジェクト レベルまたは組織レベルで付与されるファイアウォール エンドポイント管理者（roles/networksecurity.firewallEndpointAdmin）

コンソール

1. Google Cloud コンソールで、[ファイアウォール エンドポイント] ページに移動します。

   [ファイアウォール エンドポイント] に移動

2. プロジェクト セレクタのメニューで、組織またはエンドポイントが存在するプロジェクトを選択します。

   組織を選択すると、[ファイアウォール エンドポイント] ページに、組織で構成されているすべてのファイアウォール エンドポイントが一覧表示されます。

   プロジェクトを選択すると、[ファイアウォール エンドポイント] ページの [このプロジェクト内にあるファイアウォール エンドポイント] セクションに、プロジェクトのすべてのファイアウォール エンドポイントが一覧表示されます。

3. ファイアウォール エンドポイントの名前をクリックして、詳細を表示します。

4. [編集] をクリックします。

5. 課金プロジェクトを更新するには、[課金プロジェクト] を選択します。

6. [詳細設定] セクションで、[高度なマルウェア サンドボックス（WildFire）を有効にする] チェックボックス（プレビュー）をオンにします。

7. 高度なマルウェア サンドボックスの追加構成を更新するには、[高度なマルウェア サンドボックスの追加構成] をクリックして、フィールドを更新します。

8. [保存] をクリックします。

gcloud

ファイアウォール エンドポイントを更新するには、gcloud network-security firewall-endpoints update コマンドを使用します。

gcloud network-security firewall-endpoints update NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    --location LOCATION \
    [--update-billing-project QUOTA_PROJECT_ID]

次のように置き換えます。

• NAME: ファイアウォール エンドポイントの名前。

• ORGANIZATION_ID: 組織 ID。このフラグは、組織レベルのエンドポイントに使用します。

• PROJECT_ID: プロジェクト ID。このフラグはプロジェクト レベルのエンドポイントに使用します。

• LOCATION: エンドポイントが存在するゾーン。

• QUOTA_PROJECT_ID: 割り当てプロジェクト ID。このフラグは組織レベルのエンドポイントにのみ使用してください。

注: 既存のエンドポイントを再構成して、ジャンボ フレームのサポートを追加または削除することはできません。ジャンボ フレームのサポートを追加または削除するには、エンドポイントを削除して再作成します。詳細については、ファイアウォール エンドポイントを削除するとファイアウォール エンドポイントを作成するをご覧ください。

Advanced malware sandbox のファイアウォール エンドポイントを更新するには、gcloud beta network-security firewall-endpoints update コマンド（プレビュー）を使用します。

gcloud beta network-security firewall-endpoints \
   update NAME \
   --organization ORGANIZATION_ID \
   --zone ZONE \
   --[no-]enable-wildfire \
   --wildfire-region=WILDFIRE_REGION \
   --content-cloud-region=CONTENT_CLOUD_REGION \
   --hold-for-wildfire-realtime-signature-lookup-timeout-ms=TIMEOUT_MS \
   --hold-for-wildfire-realtime-signature-lookup-timeout-action=ACTION \
   --wildfire-inline-cloud-analysis-timeout-ms=TIMEOUT_MS \
   --wildfire-inline-cloud-analysis-timeout-action=ACTION \
   --[no-]enable-wildfire-analysis-logging \
   --[no-]block-partial-http \
   --billing-project BILLING_PROJECT_ID

次のように置き換えます。

• WILDFIRE_REGION: エンドポイントが不明なファイルを送信する地理的リージョン。
• CONTENT_CLOUD_REGION: エンドポイントが使用するコンテンツ クラウド リージョン。
• TIMEOUT_MS: シグネチャ ルックアップまたはインライン分析のタイムアウトしきい値（ミリ秒単位）。
• ACTION: タイムアウト アクション（Allow または Deny）。
• --[no-]enable-wildfire-analysis-logging: タイムアウト イベントのロギングを有効にするかどうか。
• --[no-]block-partial-http: ブロックされた悪意のある HTTP ファイルのダウンロードの再開をブロックする場合に選択します。

ファイアウォール エンドポイントでサポートされているパケットサイズについては、サポートされているパケットサイズをご覧ください。

ファイアウォール エンドポイントを削除する

ファイアウォール エンドポイントを削除するには、 Google Cloud コンソールまたは gcloud CLI を使用します。

ファイアウォール エンドポイントを削除する前に、次の点を考慮してください。

• ファイアウォール エンドポイントは、どの VPC ネットワークにも関連付けられていない場合にのみ削除できます。
• ファイアウォール ポリシー ルールでトラフィックがこのエンドポイントに転送される場合、エンドポイントを削除するとトラフィック検査が停止します。そのゾーン内の関連ネットワークに対してエンドポイントが提供するすべてのレイヤ 7 検査サービスも停止します。
• 1 つのゾーンでエンドポイントを削除すると、その特定のゾーン内のトラフィックと関連付けにのみ影響します。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.firewallEndpoints.delete

ロール

• Compute ネットワーク管理者（roles/compute.networkAdmin）
• ファイアウォール エンドポイント管理者（roles/networksecurity.firewallEndpointAdmin） 組織レベルのファイアウォール エンドポイントの場合は組織レベルで、プロジェクト レベルのファイアウォール エンドポイントの場合はプロジェクト レベルまたは組織レベルで付与されます。

コンソール

1. Google Cloud コンソールで、[ファイアウォール エンドポイント] ページに移動します。

   [ファイアウォール エンドポイント] に移動

2. プロジェクト セレクタのメニューで、組織またはエンドポイントが存在するプロジェクトを選択します。

   組織を選択すると、[ファイアウォール エンドポイント] ページに、組織で構成されているすべてのファイアウォール エンドポイントが一覧表示されます。

   プロジェクトを選択すると、[ファイアウォール エンドポイント] ページの [このプロジェクト内にあるファイアウォール エンドポイント] セクションに、プロジェクトのすべてのファイアウォール エンドポイントが一覧表示されます。

3. ファイアウォール エンドポイントを選択し、[削除] をクリックします。

4. もう一度 [削除] をクリックして確定します。

gcloud

ファイアウォール エンドポイントを削除するには、gcloud network-security firewall-endpoints delete コマンドを使用します。

gcloud network-security firewall-endpoints delete NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    --location LOCATION

次のように置き換えます。

• NAME: ファイアウォール エンドポイントの名前。

• ORGANIZATION_ID: 組織 ID。このフラグは、組織レベルのエンドポイントに使用します。

• PROJECT_ID: プロジェクト ID。このフラグはプロジェクト レベルのエンドポイントに使用します。

• LOCATION: エンドポイントが存在するゾーン。

ファイアウォール エンドポイントの関連付けを管理する

ファイアウォール エンドポイントの関連付けは、ファイアウォール エンドポイントを特定のゾーンの VPC ネットワークに接続します。

関連付けを管理する前に、ファイアウォール エンドポイントがあることを確認してください。関連付けを作成するには、ファイアウォール エンドポイントと関連付けを作成するをご覧ください。

関連付けの要件

エンドポイントの関連付けを構成する場合は、次の要件を満たしてください。

• ゾーンの制約: 関連付けは、ファイアウォール エンドポイントと同じゾーンに作成する必要があります。トラフィック検査を効果的に行うには、コンピューティング インスタンスがデプロイされているゾーンで関連付けを作成します。
• ゾーンごとに 1 つのエンドポイント: 単一のゾーンで、VPC ネットワークを 1 つのファイアウォール エンドポイント（プロジェクト レベルまたは組織レベル）にのみ関連付けることができます。ただし、1 つの VPC ネットワークを複数の異なるゾーンの異なるファイアウォール エンドポイントに関連付けることはできます。
• プロジェクト間の関連付け: VPC ネットワークを別のプロジェクトのファイアウォール エンドポイントに関連付けることができます。プロジェクト レベルのエンドポイントを使用する場合、エンドポイントのプロジェクトは VPC ネットワークと同じ組織に存在する必要があります。
• リソース マッピング: 関連付けはプロジェクト レベルのリソースです。関連付けが組織レベルのファイアウォール エンドポイントを指している場合でも、コンピューティング インスタンスがデプロイされている特定のプロジェクト内で関連付けを作成します。

ジャンボ フレームをサポートするファイアウォール エンドポイントは、最大 8,500 バイトのパケットのみを受け入れることができます。ジャンボ フレームをサポートしていないファイアウォール エンドポイントは、最大 1,460 バイトのパケットのみを受け入れることができます。侵入検知 / 防御サービス、高度なマルウェア サンドボックス、URL フィルタリング サービスが必要な場合は、関連する VPC ネットワークで 8,500 バイトと 1,460 バイトの最大伝送単位（MTU）の上限を使用するように構成することをおすすめします。詳細については、 サポートされているパケットサイズをご覧ください。

注意: ネットワークがファイアウォール エンドポイントの制限を超える MTU で構成されている場合、ファイアウォール エンドポイントは VPC ネットワークに対して侵入検知と防止サービス、高度なマルウェア サンドボックス、URL フィルタリング サービスを実行しません。

ファイアウォール エンドポイントの関連付けを一覧表示して表示する

ファイアウォール エンドポイントの関連付けを一覧表示して表示するには、 Google Cloud コンソールまたは gcloud CLI を使用します。

エンドポイントの関連付けについて、次の詳細を表示できます。

• ライフサイクル ステータス
• 有効ステータス
• TLS インスペクションのステータス
• ファイアウォール エンドポイントの ID

このタスクに必要な権限

このタスクを実施するには、プロジェクトに対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.firewallEndpointAssociations.get

ロール

• Compute ネットワーク管理者（roles/compute.networkAdmin）
• Compute ネットワーク ユーザー（roles/compute.networkUser）
• Compute ネットワーク閲覧者（roles/compute.networkViewer）
• 組織レベルのファイアウォール エンドポイントの場合は組織レベルで、プロジェクト レベルのファイアウォール エンドポイントの場合はプロジェクト レベルまたは組織レベルで付与されるファイアウォール エンドポイント管理者（roles/networksecurity.firewallEndpointAdmin）

コンソール

1. Google Cloud コンソールで、[ファイアウォール エンドポイント] ページに移動します。

   [ファイアウォール エンドポイント] に移動

2. プロジェクト選択メニューで、 Google Cloud プロジェクトを選択します。

   [ファイアウォール エンドポイントの関連付け] セクションの表に、組織レベルとプロジェクト レベルのエンドポイントのすべてのファイアウォール エンドポイントの関連付けが一覧表示されます。

gcloud

特定のネットワークのファイアウォール エンドポイントの関連付けを一覧表示するには、--filter フラグを指定して gcloud network-security firewall-endpoint-associations list コマンドを使用します。

gcloud network-security firewall-endpoint-associations list \
    --filter network:NETWORK_NAME \
    [--project PROJECT_ID]

ファイアウォール エンドポイントの関連付けを表示するには、gcloud network-security firewall-endpoint-associations describe コマンドを使用します。

gcloud network-security firewall-endpoint-associations describe NAME \
    --filter network:NETWORK_NAME \
    [--project PROJECT_ID]

次のように置き換えます。

• NAME: ファイアウォール エンドポイントの関連付けの名前。

• PROJECT_ID: 関連付けが存在するプロジェクト ID。

• NETWORK_NAME: VPC ネットワークの名前。

ファイアウォール エンドポイントの関連付けを更新する

ファイアウォール エンドポイントの関連付けを更新するには、 Google Cloud コンソールまたは gcloud CLI を使用します。

次の詳細を更新できます。

• アクティベーション状態
• 関連付けられた TLS インスペクション ポリシー
• ラベルと説明

次の詳細は更新できません。

• この関連付けによって接続されたファイアウォール エンドポイントと VPC ネットワーク
• 関連付けの名前、プロジェクト、またはゾーン

これらの詳細を変更するには、関連付けを削除して別の関連付けを作成します。

注意: 明示的な Private Service Connect データパスを使用して、リージョン間の内部アプリケーション ロードバランサなどのロードバランサをターゲットとするトラフィックを検査する場合は、ファイアウォール エンドポイントの関連付けを無効にする前に、ロードバランサからサービス拡張機能（LBTCPExtension リソース）を削除してください。詳細については、ロードバランサのアプリケーション レイヤ検査を無効にするをご覧ください。

このタスクに必要な権限

このタスクを実施するには、プロジェクトに対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.firewallEndpointAssociations.update

ロール

• Compute ネットワーク管理者（roles/compute.networkAdmin）
• 組織レベルのファイアウォール エンドポイントの場合は組織レベルで、プロジェクト レベルのファイアウォール エンドポイントの場合はプロジェクト レベルまたは組織レベルで付与されるファイアウォール エンドポイント管理者（roles/networksecurity.firewallEndpointAdmin）

コンソール

1. Google Cloud コンソールで、[ファイアウォール エンドポイント] ページに移動します。

   [ファイアウォール エンドポイント] に移動

2. プロジェクト選択メニューで、 Google Cloud プロジェクトを選択します。

   [ファイアウォール エンドポイントの関連付け] セクションの表に、このプロジェクトに構成されているファイアウォール エンドポイントの関連付けがすべて表示されます。

3. 更新するファイアウォール エンドポイントの関連付けの横にある [編集] をクリックします。

4. ファイアウォール エンドポイントの関連付けを無効にするには、[関連付けを有効にする] チェックボックスをオフにします。

5. TLS インスペクション ポリシーを更新するには、[TLS インスペクション ポリシー] リストから新しいポリシーを選択します。

6. [保存] をクリックします。

gcloud

ファイアウォール エンドポイントの関連付けを更新するには、gcloud network-security firewall-endpoint-associations update コマンドを使用します。

gcloud network-security firewall-endpoint-associations update NAME \
  --project PROJECT_ID \
    [ --disabled ] \
    [ --tls-inspection-policy projects/TLS_PROJECT_NAME/locations/REGION_NAME/tlsInspectionPolicies/TLS_POLICY_NAME ] \
  --location LOCATION

次のように置き換えます。

• NAME: ファイアウォール エンドポイントの関連付けの名前。

• PROJECT_ID: 関連付けが作成されるプロジェクト ID。

• TLS_PROJECT_NAME: TLS インスペクション ポリシーのプロジェクト名。

• REGION_NAME: TLS インスペクション ポリシーのリージョン名。

• TLS_POLICY_NAME: TLS インスペクション ポリシーの名前。

• LOCATION: ファイアウォール エンドポイントの関連付けのロケーション。

ファイアウォール エンドポイントの関連付けを削除する

ファイアウォール エンドポイントの関連付けを削除するには、 Google Cloud コンソールまたは gcloud CLI を使用します。

Google Cloud プロジェクトが削除されると、関連するファイアウォール エンドポイントの関連付けは自動的に削除されます。この削除は、後でプロジェクトを復元しても元に戻せません。

ただし、これらの関連付けの削除プロセスが失敗することがあります。この場合、プロジェクトが復元されると、関連付けられたファイアウォール エンドポイントは、復元されたプロジェクト内で ORPHAN 状態になります。これは、削除が失敗したことにより、プロジェクトとそのリソース間のリンクが無効になっていることを示します。

これらの孤立したアソシエーションは Google Cloud コンソールで確認できますが、編集はできません。Cloud Next Generation Firewall は、このような孤立したリソースを削除するバックグラウンド プロセスを定期的に実行します。

注意: 明示的な Private Service Connect データパスを使用して、リージョン間の内部アプリケーション ロードバランサなどのロードバランサをターゲットとするトラフィックを検査する場合は、ファイアウォール エンドポイントの関連付けを削除する前に、ロードバランサからサービス拡張機能（LBTCPExtension リソース）を削除します。詳細については、ロードバランサのアプリケーション レイヤ検査を無効にするをご覧ください。

このタスクに必要な権限

このタスクを実施するには、プロジェクトに対する次の権限または次の IAM ロールが付与されている必要があります。

権限

• networksecurity.firewallEndpointAssociations.delete

ロール

• Compute ネットワーク管理者（roles/compute.networkAdmin）
• ファイアウォール エンドポイント管理者（roles/networksecurity.firewallEndpointAdmin） 組織レベルのファイアウォール エンドポイントの場合は組織レベルで、プロジェクト レベルのファイアウォール エンドポイントの場合はプロジェクト レベルまたは組織レベルで付与されます。

コンソール

1. Google Cloud コンソールで、[ファイアウォール エンドポイント] ページに移動します。

   [ファイアウォール エンドポイント] に移動

2. プロジェクト選択メニューで、 Google Cloud プロジェクトを選択します。

   [ファイアウォール エンドポイントの関連付け] セクションの表に、このプロジェクトに構成されているファイアウォール エンドポイントの関連付けがすべて表示されます。

3. ファイアウォール エンドポイントの関連付けを選択し、[削除] をクリックします。

4. もう一度 [削除] をクリックして確定します。

gcloud

ファイアウォール エンドポイントの関連付けを削除するには、gcloud network-security firewall-endpoint-associations delete コマンドを使用します。

gcloud network-security firewall-endpoint-associations delete NAME \
    --project PROJECT_ID \
    --location LOCATION

次のように置き換えます。

• NAME: ファイアウォール エンドポイントの関連付けの名前。

• PROJECT_ID: 関連付けが存在するプロジェクト ID。

• LOCATION: ファイアウォール エンドポイントの関連付けのロケーション。

次のステップ

• ファイアウォール エンドポイントとエンドポイントの関連付けを作成する
• 階層型ファイアウォール ポリシーとルールを使用する
• グローバル ネットワークのファイアウォール ポリシーとルールを使用する