Sichere Tags für Firewalls

In Cloud Next Generation Firewall-Regeln (Cloud NGFW) werden Tags verwendet, um Quellen und Ziele anzugeben. Dieser flexible Ansatz vermeidet die Abhängigkeit von IP-Adressen.

Tag-Typen

Zum Filtern des Netzwerkverkehrs in Firewallregeln unterstützt die Cloud NGFW zwei Arten von Tags:

• Von Identity and Access Management (IAM) verwaltete Tags, auch als sichere Tags bezeichnet, werden in Resource Manager als Tag-Schlüssel und Tag-Werte erstellt und verwaltet. Sichere Tag-Werte können verwendet werden, um Quellen für Regeln für eingehenden Traffic und Ziele für Regeln für eingehenden oder ausgehenden Traffic in einer hierarchischen Firewallrichtlinie, einer globalen Netzwerk-Firewallrichtlinie oder einer regionalen Netzwerk-Firewallrichtlinie anzugeben.

• Netzwerk-Tags sind Zeichenfolgen ohne Zugriffssteuerung, die VM-Instanzen oder Instanzvorlagen hinzugefügt werden können. Mit Netzwerk-Tags können Quellen für VPC-Firewallregeln (Virtual Private Cloud) für eingehenden Traffic und Ziele für VPC-Firewallregeln für eingehenden oder ausgehenden Traffic angegeben werden. Netzwerk-Tags können nicht von Regeln in einer hierarchischen Firewallrichtlinie, einer globalen Netzwerk-Firewallrichtlinie oder einer regionalen Netzwerk-Firewallrichtlinie verwendet werden. Weitere Informationen zu Netzwerktags finden Sie unter Netzwerktags konfigurieren.

Weitere Informationen finden Sie unter Vergleich von sicheren Tags und Netzwerktags.

Außerdem können Sie Resource Manager-Tags direkt an Cloud NGFW-Ressourcen anhängen, um sie mit Diensten wie Identity and Access Management (IAM) und dem Organisationsrichtliniendienst zu verwalten. Diese Tags werden ausschließlich für die Ressourcen-Governance verwendet. Firewallregeln werten sie nicht aus, um den Netzwerkverkehr zu filtern. Weitere Informationen zum Erstellen und Verwalten von Tags für Firewall-Ressourcen finden Sie unter Tags für Firewall-Ressourcen erstellen und verwalten.

Im folgenden Abschnitt dieser Seite werden sichere Tags in Firewallrichtlinien beschrieben.

Spezifikationen

Sichere Tags haben die folgenden Spezifikationen:

• Übergeordnete Ressource: Die übergeordnete Ressource ist die Ressource, in der der sichere Tag-Schlüssel definiert ist. Tag-Schlüssel können in einem übergeordneten Projekt oder einer Organisation erstellt werden. Weitere Informationen zum Erstellen von Tag-Schlüsseln finden Sie unter Sichere Tags erstellen und verwalten.

• Zweck und Zweckdaten: Wenn Sie einen sicheren Tag-Schlüssel mit Cloud NGFW verwenden möchten, müssen Sie das Attribut purpose des Tag-Schlüssels auf GCE_FIREWALL festlegen und das Attribut purpose-data angeben:

  • Sie können das Attribut purpose-data des Tag-Schlüssels auf network festlegen, gefolgt von einer einzelnen VPC-Netzwerkspezifikation.

    • Wenn Sie bei Tag-Schlüsseln mit einem übergeordneten Projekt das Attribut purpose-data des Tag-Schlüssels auf network setzen, muss sich das angegebene VPC-Netzwerk im selben Projekt wie der Tag-Schlüssel befinden.

    • Wenn Sie bei Tag-Schlüsseln mit einer übergeordneten Organisation das Attribut purpose-data des Tag-Schlüssels auf network setzen, muss sich das angegebene VPC-Netzwerk in derselben Organisation wie der Tag-Schlüssel befinden.

  • Sie können das Attribut purpose-data des Tag-Schlüssels auf organization=auto setzen. Dadurch werden alle VPC-Netzwerke in der Organisation identifiziert.

  Weder das Attribut purpose noch das Attribut purpose-data kann nach dem Erstellen eines Tag-Schlüssels geändert werden. Weitere Informationen zum Formatieren der Netzwerkspezifikation im Attribut purpose-data eines Tag-Schlüssels finden Sie in der Resource Manager API-Dokumentation unter Zweck.

• Struktur und Format: Ein sicherer Tag-Schlüssel kann auf bis zu 1.000 eindeutige Tag-Werte verweisen. IAM-Hauptkonten mit der Rolle „Tag-Administrator“ (roles/resourcemanager.tagAdmin) erstellen Tag-Schlüssel und Tag-Werte für jeden Tag-Schlüssel. Weitere Informationen zu den Limits für sichere Tags finden Sie unter Limits.

• Projekte zwischen Organisationen verschieben: Sie können ein Projekt von einer Organisation in eine andere verschieben. Bevor Sie ein Projekt verschieben, trennen Sie alle Tag-Schlüssel, die ein purpose-data-Attribut haben, das eine in Ihrem Projekt verwendete Organisation angibt, von der ursprünglichen Organisation. Wenn Sie die sicheren Tags nicht zuerst trennen, erhalten Sie während des Verschiebens eine Fehlermeldung.

• Zugriffssteuerung: IAM-Richtlinien bestimmen, welche IAM-Hauptkonten sichere Tags verwalten und verwenden können:

  • IAM-Hauptkonten mit der Rolle „Tag-Administrator“ (roles/resourcemanager.tagAdmin) können Tag-Schlüssel erstellen und ihre Tag-Werte verwalten:

    • IAM-Hauptkonten, denen in der IAM-Richtlinie der Organisation die Rolle „Tag-Administrator“ (roles/resourcemanager.tagAdmin) zugewiesen wurde, können Tag-Schlüssel mit der Organisation als übergeordnetes Element erstellen.

    • IAM-Hauptkonten, denen die Rolle „Tag Administrator“ (roles/resourcemanager.tagAdmin) in der IAM-Richtlinie der Organisation, eines Ordners oder eines Projekts zugewiesen wurde, können Tag-Schlüssel mit einem Projekt als übergeordnetes Element erstellen.

  • IAM-Hauptkonten mit der Rolle „Tag-Nutzer“ (roles/resourcemanager.tagUser) können Tag-Werte an VM-Instanzen binden oder Tag-Werte in Firewallregeln einer hierarchischen Firewallrichtlinie, einer globalen Netzwerk-Firewallrichtlinie oder einer regionalen Netzwerk-Firewallrichtlinie verwenden.

    • IAM-Hauptkonten, denen die Rolle „Tag-Nutzer“ (roles/resourcemanager.tagUser) in der IAM-Richtlinie der Organisation zugewiesen wurde, können Tag-Werte von Tag-Schlüsseln verwenden, die die Organisation als übergeordnete Ressource haben.

    • IAM-Hauptkonten, denen die Rolle „Tag-Nutzer“ (roles/resourcemanager.tagUser) in der IAM-Richtlinie der Organisation, eines Ordners oder eines Projekts zugewiesen wurde, können Tag-Werte von Tag-Schlüsseln mit einem Projekt als übergeordnetes Element verwenden.

  • IAM-Hauptkonten, die Entwickler, Datenbankadministratoren oder operative Teams sind, können die Rolle „Tag User“ (roles/resourcemanager.tagUser) und andere entsprechende Rollen erhalten, ohne die Rolle „Compute Security Admin“ (roles/compute.securityAdmin) zu benötigen. Auf diese Weise können operative Teams steuern, welche Firewallregeln für die Netzwerkschnittstellen der von ihnen verwalteten VM-Instanzen gelten, ohne diese Firewallregeln ändern zu können.

  Weitere Informationen zu den erforderlichen Berechtigungen finden Sie unter IAM-Rollen.

• Unterstützung von Firewallregeln: Regeln in hierarchischen Firewallrichtlinien, globalen Netzwerk-Firewallrichtlinien und regionalen Netzwerk-Firewallrichtlinien unterstützen Tag-Schlüssel als sichere Quell-Tags oder sichere Ziel-Tags. VPC-Firewallregeln unterstützen keine sicheren Tags. Weitere Informationen finden Sie unter Vergleich von sicheren Tags und Netzwerktags.

• VM-Bindung und anwendbare Firewallregeln: Wenn Sie einen sicheren Tag-Wert an eine VM-Instanz binden, enthalten anwendbare Firewallregeln, die den Tag-Wert verwenden, VM-Netzwerkschnittstellen als Quellen oder Ziele:

  • Wenn der an die Instanz gebundene sichere Tag-Wert von einem Tag-Schlüssel stammt, dessen purpose-data-Attribut ein einzelnes VPC-Netzwerk angibt:

    • Firewallregeln für eingehenden Traffic, die diesen Tag-Wert als sicheres Quell-Tag verwenden, haben Quellen, die die Netzwerkschnittstellen der VM im angegebenen VPC-Netzwerk enthalten.

    • Firewallregeln für eingehenden und ausgehenden Traffic, die diesen Tag-Wert als sicheres Ziel-Tag verwenden, haben Ziele, die die Netzwerkschnittstellen der VM im angegebenen VPC-Netzwerk enthalten.

  • Wenn der an die Instanz gebundene sichere Tag-Wert von einem Tag-Schlüssel stammt, dessen purpose-data-Attribut eine Organisation angibt:

    • Firewallregeln für eingehenden Traffic, die diesen Tag-Wert als sicheres Quell-Tag verwenden, haben Quellen, die die Netzwerkschnittstellen der VM enthalten, die sich in einem beliebigen VPC-Netzwerk der Organisation befinden.

    • Firewallregeln für eingehenden und ausgehenden Traffic, die diesen Tag-Wert als Ziel-Sicherheits-Tag verwenden, haben Ziele, die die Netzwerkschnittstellen der VM enthalten, die sich in einem beliebigen VPC-Netzwerk der Organisation befinden.

• So identifizieren anwendbare Firewallregeln Pakete: Cloud NGFW ordnet sichere Quell-Tags und sichere Ziel-Tags Netzwerkschnittstellen zu, nicht IP-Adressen:

  • Wenn ein sicheres Quell-Tag einer Firewallregel für eingehenden Traffic eine VM-Netzwerkschnittstelle als Quelle enthält, gleicht Google Cloud alle Pakete ab, die von dieser Netzwerkschnittstelle gesendet werden.

  • Wenn ein sicheres Ziel-Tag einer Firewallregel für eingehenden Traffic eine VM-Netzwerkschnittstelle als Ziel enthält, gleicht Google Cloud alle Pakete ab, die von dieser Netzwerkschnittstelle empfangen werden.

  • Wenn ein sicheres Ziel-Tag einer Firewallregel für ausgehenden Traffic eine VM-Netzwerkschnittstelle als Ziel enthält, gleicht Google Cloud alle Pakete ab, die von dieser Netzwerkschnittstelle gesendet werden.

• Anzahl der Tag-Werte pro Instanz: Sie können jeden Tag-Wert an eine unbegrenzte Anzahl von VM-Instanzen binden. Die Anzahl der Tag-Werte, die jede Instanz unterstützt, ist variabel. Google Cloud erzwingt ein Limit von 10 Tag-Werten, die für jede Netzwerkschnittstelle einer VM gelten. Google Cloud verhindert, dass Sie zusätzliche Tag-Werte an eine VM-Instanz binden, wenn mehr als 10 Tag-Werte für eine oder mehrere ihrer Netzwerkschnittstellen gelten. Weitere Informationen finden Sie unter Sichere Tags binden.

• Netzwerk-Peering und NCC-Unterstützung: Sie können sichere Tags verwenden, um VM-Netzwerkschnittstellen in Peering-Netzwerken zu identifizieren. Dazu gehören Netzwerke, die über VPC-Netzwerk-Peering und VPC-Spokes in einem Network Connectivity Center-Hub verbunden sind. Dieses Feature hilft Nutzern veröffentlichter Dienste, die den Zugriff auf private Dienste verwenden. Sie können beispielsweise Firewallregeln für eingehenden Traffic mit sicheren Quell-Tags verwenden, um den Traffic von VMs des Diensterstellers zu Ihren VMs zu steuern.

• Sichere Tags mit Google Kubernetes Engine (GKE): Sie können sichere Tags an GKE-Cluster und -Knotenpools binden, um sie in Netzwerk-Firewallrichtlinien zu verwenden. Weitere Informationen finden Sie unter Sichere Tags erstellen und verwalten.

Sichere Tags binden

Wenn Sie sichere Tags mit Cloud NGFW verwenden möchten, müssen Sie einen Tag-Wert an eine VM-Instanz binden. Jeder sichere Tag-Schlüssel unterstützt mehrere Tag-Werte. Sie können jedoch für jeden Tag-Schlüssel nur einen seiner Tag-Werte an eine Instanz binden. Weitere Informationen zu IAM-Berechtigungen und zum Binden sicherer Tags finden Sie unter Sichere Tags binden.

Die Beispiele in diesem Abschnitt zeigen, wie gebundene Tag-Werte auf VM-Netzwerkschnittstellen angewendet werden. Betrachten Sie die Beispiel-VM-Instanz instance1 mit zwei Netzwerkschnittstellen:

• nic0 ist mit dem VPC-Netzwerk network1 verbunden
• nic1 ist mit dem VPC-Netzwerk network2 verbunden

Beide VPC-Netzwerke befinden sich in derselben Organisation.

Abbildung 1: VM-Instanz mit zwei Netzwerkschnittstellen, die jeweils mit einem anderen VPC-Netzwerk verbunden sind (zum Vergrößern klicken).

Das Attribut purpose-data des entsprechenden Tag-Schlüssels bestimmt die Beziehung zwischen gebundenen Tag-Werten und VM-Netzwerkschnittstellen.

Tag-Schlüssel, deren Attribut purpose-data ein VPC-Netzwerk angibt

Angenommen, Sie erstellen zwei Tag-Schlüssel mit den folgenden purpose-data-Attributen und Tag-Werten:

• tag_key1 hat ein purpose-data-Attribut, das das VPC-Netzwerk network1 und zwei Tag-Werte tag_value1 und tag_value2 angibt.

• tag_key2 hat ein purpose-data-Attribut, das das VPC-Netzwerk network2 und einen Tag-Wert tag_value3 angibt.

Abbildung 2. Das Attribut purpose-data jedes Tag-Schlüssels gibt ein einzelnes VPC-Netzwerk an (zum Vergrößern klicken).

Wenn Sie die sicheren Tag-Werte tag_value1 und tag_value3 an instance1 binden:

• tag_value1 gilt für die Netzwerkschnittstelle nic0, da das übergeordnete Element tag_key1 ein purpose-data-Attribut hat, das das VPC-Netzwerk network1 angibt, und die Netzwerkschnittstelle nic0 sich in network1 befindet.

• tag_value3 gilt für die Netzwerkschnittstelle nic1, da das übergeordnete Element tag_key2 ein purpose-data-Attribut hat, das das VPC-Netzwerk network2 angibt, und die Netzwerkschnittstelle nic1 sich in network2 befindet.

Das folgende Diagramm zeigt die Bindung von Tag-Werten aus Tag-Schlüsseln, deren purpose-data-Attribut ein einzelnes VPC-Netzwerk angibt.

Abbildung 3: Gebundene Tag-Werte aus Tag-Schlüsseln, deren Attribut purpose-data ein einzelnes VPC-Netzwerk angibt (zum Vergrößern klicken).

Tag-Schlüssel, deren Attribut purpose-data die Organisation angibt

Angenommen, Sie erstellen zwei Tag-Schlüssel mit den folgenden purpose-data-Attributen und Tag-Werten:

• tag_key3 hat ein purpose-data-Attribut, das die übergeordnete Organisation angibt, und zwei Tag-Werte: tag_value4 und tag_value5.

• tag_key4 hat ein purpose-data-Attribut, das die übergeordnete Organisation angibt, und einen Tag-Wert tag_value6.

Abbildung 4. Das Attribut purpose-data jedes Tag-Schlüssels gibt die übergeordnete Organisation an (zum Vergrößern klicken).

Wenn Sie den Tag-Wert tag_value4 an instance1 binden:

• tag_value4 gilt für die Netzwerkschnittstelle nic0, da das übergeordnete Element tag_key3 ein Attribut purpose-data hat, das die übergeordnete Organisation mit dem VPC-Netzwerk network1 angibt, und die Netzwerkschnittstelle nic0 sich in network1 befindet.

• tag_value4 gilt auch für die Netzwerkschnittstelle nic1, da das übergeordnete Element tag_key3 ein Attribut purpose-data enthält, das die übergeordnete Organisation angibt, die das VPC-Netzwerk network2 enthält. Die Netzwerkschnittstelle nic1 befindet sich in network2.

Das folgende Diagramm zeigt die Bindung von Tag-Werten aus Tag-Schlüsseln, deren Attribut purpose-data die übergeordnete Organisation angibt.

Abbildung 5: Gebundene Tag-Werte von Tag-Schlüsseln, deren Attribut purpose-data die übergeordnete Organisation angibt (zum Vergrößern klicken).

Sichere Tags konfigurieren

Der folgende Workflow enthält eine allgemeine Abfolge von Schritten, die zum Konfigurieren von sicheren Tags in Firewallrichtlinien erforderlich sind.

1. Sie können sichere Tags auf Organisations- oder Projektebene erstellen. Wenn Sie ein Tag auf Organisationsebene erstellen möchten, muss Ihnen der Organisationsadministrator zuerst die IAM-Berechtigung erteilen. Weitere Informationen finden Sie unter Berechtigungen für sichere Tags gewähren.

2. Wenn Sie ein sicheres Tag erstellen möchten, müssen Sie zuerst einen Tag-Schlüssel erstellen. Dieser Tag-Schlüssel beschreibt das Tag, das Sie erstellen. Weitere Informationen finden Sie unter Sichere Tag-Schlüssel und -Werte erstellen.

3. Nachdem Sie einen sicheren Tag-Schlüssel erstellt haben, müssen Sie ihm die entsprechenden sicheren Tag-Werte hinzufügen. Weitere Informationen finden Sie unter Sichere Tag-Schlüssel und -Werte erstellen. Wenn Sie Nutzern Zugriff gewähren möchten, um sichere Tag-Schlüssel zu verwalten und Tag-Werte an Ressourcen anzuhängen, verwenden Sie die Google Cloud Console. Weitere Informationen finden Sie unter Zugriff auf Tags verwalten.

4. Nachdem Sie ein sicheres Tag erstellt haben, können Sie es entweder in einer Netzwerk-Firewallrichtlinie oder in einer hierarchischen Firewallrichtlinie verwenden. Weitere Informationen finden Sie unter Hierarchische Firewallrichtlinie erstellen und Netzwerk-Firewallrichtlinie erstellen.

5. Wenn Sie den ausgewählten Traffic zwischen den VMs mit den Quell-Tag-Schlüsseln und Ziel-Tag-Schlüsseln zulassen möchten, erstellen Sie eine Firewallrichtlinienregel (Netzwerk oder hierarchisch) mit den spezifischen Quell-Tag-Werten und Ziel-Tag-Werten. Weitere Informationen finden Sie unter Firewallrichtlinienregel mit sicheren Tags erstellen.

6. Nachdem ein Tag-Schlüssel erstellt und der entsprechende Zugriff auf den Tag-Schlüssel und die Ressource gewährt wurde, kann ein Tag-Wert an eine VM-Instanz gebunden werden. Weitere Informationen finden Sie unter Sichere Tags binden.

Vergleich von sicheren Tags und Netzwerktags

In der folgenden Tabelle werden die Unterschiede zwischen sicheren Tags und Netzwerktags zusammengefasst. Das Häkchen gibt an, dass das Attribut unterstützt wird, und das Symbol, dass das Attribut nicht unterstützt wird.

Attribut	Sicheres Tag mit dem Attribut purpose-data, das ein VPC-Netzwerk angibt	Sicheres Tag mit dem Attribut purpose-data, das die Organisation angibt	Netzwerk-Tag
Übergeordnete Ressource	Projekt oder Organisation	Projekt oder Organisation	Projekt
Struktur und Format	Tag-Schlüssel mit bis zu 1.000 Werten	Tag-Schlüssel mit bis zu 1.000 Werten	Einfacher String
Zugriffssteuerung	IAM verwenden	IAM verwenden	Keine Zugriffssteuerung
Anwendbare Netzwerkschnittstellen	Firewallregel für eingehenden Traffic mit sicherem Quell-Tag-Wert: Zu den Quellen gehören VM-Netzwerkschnittstellen im VPC-Netzwerk, das durch das Attribut purpose-data des Tag-Schlüssels angegeben wird. Firewallregel für eingehenden oder ausgehenden Traffic mit sicherem Ziel-Tag-Wert: Zu den Zielen gehören VM-Netzwerkschnittstellen im VPC-Netzwerk, das durch das Attribut purpose-data des Tag-Schlüssels angegeben wird.	Firewallregel für eingehenden Traffic mit sicherem Quell-Tag-Wert: Zu den Quellen gehören VM-Netzwerkschnittstellen in jedem VPC-Netzwerk der übergeordneten Organisation. Firewallregel für eingehenden oder ausgehenden Traffic mit Zielwert für sicheres Tag: Zu den Zielen gehören VM-Netzwerkschnittstellen in jedem VPC-Netzwerk der übergeordneten Organisation.	Firewallregel für eingehenden Traffic mit Quellnetzwerk-Tag: Zu den Quellen gehören VM-Netzwerkschnittstellen in jedem VPC-Netzwerk, das von der VM verwendet wird, wenn dieses Netzwerk VPC-Firewallregeln mit dem Quellnetzwerk-Tag hat. Firewallregel für eingehenden oder ausgehenden Traffic mit Zielnetzwerk-Tag: Zu den Zielen gehören VM-Netzwerkschnittstellen in jedem VPC-Netzwerk, das von der VM verwendet wird, wenn dieses Netzwerk VPC-Firewallregeln mit dem Zielnetzwerk-Tag hat.
Unterstützt von Regeln in hierarchischen Firewallrichtlinien
Unterstützt von Regeln in globalen und regionalen Netzwerk-Firewallrichtlinien
Unterstützt von VPC-Firewallregeln
Firewallregeln für eingehenden Traffic können Quellen in VPC-Netzwerken enthalten, die über VPC-Netzwerk-Peering verbunden sind.	^1	^1
Firewallregeln für eingehenden Traffic können Quellen in anderen VPC-Spokes im NCC-Hub enthalten.	^1	^1

¹ Ein sicherer Tag-Wert für die Quelle kann Netzwerkschnittstellen in einem anderen VPC-Netzwerk identifizieren, wenn beide der folgenden Bedingungen erfüllt sind:

• Das Tag-Schlüsselattribut purpose-data gibt das andere VPC-Netzwerk (oder die übergeordnete Organisation, die das andere VPC-Netzwerk enthält) an.
• Das andere VPC-Netzwerk und das VPC-Netzwerk, das die Firewallrichtlinie verwendet, sind über VPC-Netzwerk-Peering verbunden oder sind beide VPC-Spokes im selben NCC-Hub.

Nächste Schritte

• Informationen zum Gewähren von Berechtigungen für sichere Tags und zum Erstellen von Schlüssel/Wert-Paaren für sichere Tags finden Sie unter Sichere Tags erstellen und verwalten.
• Informationen zur Verwendung sicherer Tags im Netzwerk-Peering finden Sie unter Sichere Tags in Peering-Netzwerken verwenden.