安全性政策

本頁面說明閘道安全性政策，以及如何建立這類政策。

閘道安全性政策

閘道安全性政策是集中式容器，可存放所有安全性規則，控管通過 Secure Web Proxy 執行個體的流量。您可以使用政策，有效管理 Proxy 傳出網路流量的存取控管。

您可以定義政策，並與 Secure Web Proxy 執行個體建立關聯。這有助於確保從網路傳出的所有網站流量，都符合一致的安全標準。

閘道安全性政策是以以下三個參數為基礎：

  • 流量來源：Secure Web Proxy 會使用各種屬性 (例如服務帳戶、安全標記和 IP 位址) 識別流量來源。

  • 允許的目的地：Secure Web Proxy 會使用網域、完整網址路徑 (如果已啟用 TLS 檢查)、網址清單或目的地通訊埠，判斷允許的目的地。

  • 要求詳細資料：Secure Web Proxy 會評估要求屬性，例如通訊協定、HTTP 方法和要求標頭。如要對加密流量執行這項分析，您必須啟用 TLS 檢查。

來源屬性

Secure Web Proxy 政策會使用下列 Cloud Identity 和網路位置資料，識別流量來源：

  • 服務帳戶：指派給應用程式或工作負載的專屬身分。服務帳戶可讓您根據應用程式的特定功能建立政策。
  • 安全標記：可套用至 Google Cloud 資源 (例如虛擬機器 (VM) 執行個體) 的標籤。標記可讓您依功能或環境將工作負載分組。例如：「允許標有 Production 的所有資源存取已核准的網域。」
  • IP 位址：寄件者的網路位址。您可以指派企業或靜態 Google Cloud IP 位址，供 Secure Web Proxy 用於傳出流量。

來源屬性支援的身分

Secure Web Proxy 會使用以來源身分為基礎的政策 (例如服務帳戶和安全標記) 來控管網站流量。這些政策可讓您根據流量的來源身分 (而非僅根據 IP 位址) 套用規則。

下表列出支援來源身分政策的 Google Cloud 服務：

Google Cloud 服務 服務帳戶支援 安全標記支援
Compute Engine 虛擬機器 (VM)
Google Kubernetes Engine (GKE) 節點
Google Kubernetes Engine (GKE) 容器 1 1
Cloud Run 的直連虛擬私有雲 1
無伺服器 VPC 存取連接器 2 2
Cloud VPN 1 1
Cloud Interconnect 地端部署 1 1
應用程式負載平衡器
網路負載平衡器
1 Google Cloud不支援。
2 來源 IP 位址不重複，可改用。

下表列出支援來源身分型安全性政策的虛擬私有雲 (VPC) 架構：

虛擬私人雲端 虛擬私有雲架構 支援
在虛擬私有雲內 跨專案 (Shared VPC)
跨虛擬私有雲 跨對接連結 (對接虛擬私有雲)
跨虛擬私有雲 Cross Private Service Connect
跨虛擬私有雲 跨 Network Connectivity Center 輪輻

目的地屬性

Secure Web Proxy 政策會分析目標網站或服務的下列屬性，判斷是否核准目的地：

  • 到達網頁網域：網站網址，例如 example.com。

  • 網址清單：預先定義的核准或封鎖網址清單，可簡化政策管理。

  • 目的地通訊埠：Secure Web Proxy 執行個體傳送流量的目的地網路通訊埠。例如 HTTPS 的 443。

  • 完整網址路徑：網站的確切路徑。您必須啟用 TLS 檢查，才能查看特定網頁的完整內容。

如果是 HTTP 和 HTTPS 目的地流量，您可以使用 host 目的地屬性和各種與目的地相關的 request.* 屬性 (例如 request.method)，為應用程式設定。

如要進一步瞭解可用於 HTTP 和 HTTPS 流量的目的地屬性，請參閱「屬性」。

建立安全性政策

建立閘道安全性政策前，請務必完成下列初始設定步驟：

建立政策後，您可以建立規則並新增至政策。如要進一步瞭解如何將政策與 Secure Web Proxy 執行個體建立關聯，請參閱「設定網路 Proxy」。

控制台

  1. 前往 Google Cloud 控制台的「SWP Policies」(SWP 政策) 頁面。

    前往「SWP Policies」(SWP 政策) 頁面

  2. 按一下「 建立政策」。

  3. 輸入要建立的政策名稱，例如 policy1。

  4. 輸入政策說明，例如 My new swp policy。

  5. 在「Regions」(區域) 清單中，選取要建立政策的區域，例如 us-central1。

  6. 如要為政策建立規則，請按一下「Add rule」(新增規則)。詳情請參閱「建立 Secure Web Proxy 規則」。

  7. 點選「建立」。

Cloud Shell

  1. 使用偏好的文字編輯器建立 policy.yaml 檔案。

  2. 將下列內容新增至您建立的 policy.yaml 檔案：

    description: basic Secure Web Proxy policy
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1

    更改下列內容：

    • PROJECT_ID：專案 ID
    • REGION：建立政策的區域，例如 us-central1

  3. 建立 Secure Web Proxy 政策。

    gcloud network-security gateway-security-policies import policy1 \
    --source=policy.yaml \
    --location=REGION

後續步驟