Secure Web Proxy membantu mengamankan traffic agen keluar dan traffic web standar—HTTP dan HTTPS—dari jaringan internal organisasi Anda. Saat Anda mengonfigurasi agen AI dan workload non-agen untuk menggunakan Secure Web Proxy sebagai gateway, proxy akan bertindak sebagai checkpoint keamanan wajib untuk aplikasi atau layanan apa pun yang mencoba mengakses situs di luar organisasi Anda.
Manfaat
Secure Web Proxy memberikan manfaat utama berikut:
Tata kelola traffic keluar agen AI. Saat diintegrasikan dengan Agent Gateway, Secure Web Proxy menerapkan kebijakan keamanan terpusat untuk akses agen ke alat, endpoint, atau model. Anda dapat menerapkan perimeter keamanan terperinci, memverifikasi identitas agen secara kriptografis, memeriksa panggilan alat Model Context Protocol (MCP), dan menerapkan batasan sanitasi konten Model Armor ke traffic agen keluar.
Kontrol akses berbasis identitas. Akses didasarkan pada workload kriptografis dan identitas agen, bukan lokasi jaringan statis:
Identitas agentic: untuk agen AI otonom, Anda dapat memverifikasi identitas agen dengan mengintegrasikan Identity and Access Management (IAM) dan Identity-Aware Proxy (IAP) melalui binding ekstensi Service Extensions.
Workload identity: untuk workload non-agen, Anda dapat memverifikasi identitas sumber menggunakan akun layanan, tag aman, atau sertifikat klien dengan mutual TLS (mTLS) frontend.
Model yang berfokus pada identitas ini memungkinkan aturan otorisasi terperinci yang membantu membatasi traffic web keluar ke workload dan agen yang diautentikasi.
Keamanan default yang kuat. Secure Web Proxy memiliki setelan
deny-alldefault yang memblokir semua traffic keluar hingga Anda mengizinkannya secara eksplisit. Google Cloud mengelola semua update software dan infrastruktur secara otomatis, sehingga meminimalkan risiko kerentanan keamanan yang berkelanjutan.Pemeriksaan terpusat. Secure Web Proxy menggabungkan permintaan web keluar dari workload cloud dan kantor yang terhubung ke dalam satu titik pemeriksaan untuk penegakan kebijakan yang konsisten.
Kemampuan observasi dan pelacakan yang komprehensif. Semua traffic keluar dicatat secara terpusat di Cloud Logging dan diintegrasikan dengan Cloud Trace dan OpenTelemetry. Integrasi ini memberikan kemampuan audit, investigasi insiden, dan analisis latensi menyeluruh yang lengkap.
Fitur yang didukung
Secure Web Proxy mendukung fitur berikut:
Kebijakan akses keluar terperinci: Anda dapat menerapkan kontrol keamanan yang ditargetkan berdasarkan jenis traffic:
- Traffic AI Agentic: saat di-deploy sebagai Agent Gateway, Secure Web Proxy mengevaluasi aturan metode MCP, memverifikasi identitas agen, dan memanggil binding ekstensi di Service Extensions untuk membersihkan perintah dan respons dengan layanan seperti Model Armor.
- Traffic web standar: untuk traffic web standar, Secure Web Proxy mengevaluasi kebijakan keamanan gateway atau kebijakan otorisasi untuk mengidentifikasi workload sumber menggunakan tag aman, akun layanan, atau sertifikat mTLS frontend. Proxy juga memfilter nama host, URL, header, dan metode tujuan.
Fitur kebijakan terperinci ini memungkinkan Anda membuat dan mengelola komponen aturan tertentu yang dapat digunakan kembali di beberapa instance Secure Web Proxy.
Penskalaan otomatis proxy Envoy Secure Web Proxy: Secure Web Proxy mendukung penyesuaian otomatis ukuran kumpulan proxy Envoy dan kapasitas kumpulan di suatu region, yang memungkinkan performa yang konsisten selama periode permintaan tinggi dengan biaya terendah. Fitur penskalaan otomatis secara otomatis mengelola penyesuaian kapasitas di suatu region. Artinya, Anda tidak perlu memantau dan mengubah ukuran fleet proxy secara manual, sehingga memastikan performa yang lebih baik dengan waktu operasional yang lebih singkat.
Pembatasan kapasitas layanan: Secure Web Proxy menerapkan batas traffic pada traffic web keluar untuk mencegah klien yang menggunakan banyak resource menghabiskan kapasitas layanan atau menimbulkan biaya berlebihan, seperti yang terkait dengan token model bahasa besar (LLM). Anda dapat melampirkan kebijakan pembatasan kapasitas layanan ke gateway yang dikonfigurasi dengan kebijakan keamanan gateway atau kebijakan otorisasi. Anda dapat menggunakan kebijakan pembatasan kapasitas untuk memprioritaskan atau membatasi traffic berdasarkan jumlah permintaan dan identitas klien tertentu, seperti akun utama mTLS atau alamat IP sumber.
Enkripsi end-to-end: tunnel proxy klien dapat transit melalui TLS. Secure Web Proxy juga mendukung
CONNECTHTTP dan HTTPS untuk koneksi TLS end-to-end yang dimulai klien ke server tujuan. Tindakan keamanan yang penting ini dikelola secara otomatis oleh layanan sehingga traffic diamankan tanpa memerlukan konfigurasi manual atau pemantauan standar enkripsi.Integrasi Cloud Audit Logs dan Google Cloud Observability: dengan menggunakan Google Cloud Observability, Cloud Audit Logs mencatat tindakan administratif (perubahan kebijakan) serta permintaan akses dan metrik (log transaksi proxy) untuk Secure Web Proxy. Tampilan terpadu dan bawaan ini memfasilitasi pemantauan keamanan dan pelaporan kepatuhan.
Cara kerja Secure Web Proxy
Secure Web Proxy bertindak sebagai checkpoint keamanan wajib untuk semua traffic web dari jaringan organisasi Anda ke internet. Workload internal harus mematuhi aturan keamanan Secure Web Proxy sebelum dapat menjangkau internet.
Gateway terpusat: workload Anda, seperti virtual machine (VM) dan container, dikonfigurasi untuk mengirim semua permintaan web keluar ke instance Secure Web Proxy pusat.
Penegakan kebijakan: proxy memeriksa permintaan dan menerapkan kebijakan keamanan Anda untuk menentukan apakah akan mengizinkan atau menolak koneksi.
Mengamankan traffic keluar: jika permintaan diizinkan, traffic akan dirutekan dengan aman ke internet menggunakan infrastruktur Google Cloud, biasanya Cloud NAT. Proxy juga menggunakan Cloud DNS untuk me-resolve alamat web eksternal.
Kebijakan dan aturan
Untuk mengamankan traffic keluar, pilih kebijakan otorisasi atau kebijakan keamanan gateway sebagai mekanisme keamanan utama di instance Secure Web Proxy Anda. Anda hanya dapat mengonfigurasi satu model kebijakan utama di satu gateway. Selain itu, Anda dapat mengonfigurasi kebijakan pembatasan kapasitas layanan secara opsional di atas salah satu pilihan kebijakan utama.
Kebijakan otorisasi: kebijakan ini memungkinkan Anda membuat pemeriksaan kontrol akses berbasis identitas dan berbasis tujuan saat memproses permintaan keluar melalui instance Secure Web Proxy Anda. Sebaiknya gunakan jenis kebijakan ini untuk skenario berikut:
- Saat Anda men-deploy Secure Web Proxy sebagai Agent Gateway untuk mengatur traffic agentic.
- Saat Anda men-deploy Secure Web Proxy untuk traffic non-agen yang memerlukan mTLS frontend untuk memverifikasi identitas sumber atau ekstensi otorisasi kustom.
Kebijakan dan aturan keamanan gateway: kebijakan dan aturan ini menentukan kontrol akses untuk traffic web keluar standar non-agen. Kebijakan keamanan gateway berfungsi sebagai container untuk aturan keamanan individual yang mengizinkan atau menolak traffic berdasarkan identitas sumber (akun layanan atau tag aman), nama host tujuan, dan port.
Kebijakan pembatasan kapasitas layanan: kebijakan ini memungkinkan Anda menerapkan batas rasio permintaan khusus klien dan seluruh layanan pada traffic web keluar untuk melindungi tujuan eksternal dari kelebihan beban traffic dan mengontrol biaya. Anda dapat melampirkan kebijakan pembatasan kapasitas layanan ke gateway yang menggunakan kebijakan otorisasi atau kebijakan keamanan gateway.
Integrasi Agent Gateway dengan Secure Web Proxy
Workload AI perusahaan yang di-deploy di seluruh Google Cloud—termasuk solusi Software as a Service (SaaS) seperti Gemini Enterprise, lingkungan Platform as a Service (PaaS) seperti Vertex AI Agent Engine, dan runtime dalam container atau yang dihosting sendiri di Google Kubernetes Engine (GKE) dan Cloud Run—memerlukan batas jaringan yang kuat dan terpusat untuk menerapkan privasi data, kebijakan kepatuhan, dan pencegahan ancaman.
Agent Gateway menyediakan pengelolaan kebijakan terpusat, verifikasi identitas kriptografis, dan pedoman keamanan untuk agen AI. Untuk agen yang berjalan di GKE atau Cloud Run, Anda dapat men-deploy instance Secure Web Proxy sebagai Gateway Agen. Penyiapan ini memungkinkan Anda menerapkan kebijakan keamanan terpusat untuk traffic keluar ke LLM, alat MCP, API eksternal, agen jarak jauh, atau tujuan web standar.
Menggunakan instance Secure Web Proxy dengan resource agentGateway memberikan
manfaat berikut:
Tata kelola kebijakan terpusat: menerapkan kebijakan otorisasi yang ditentukan pada resource
agentGatewayke instance Secure Web Proxy Anda. Fitur ini memungkinkan Anda membuat postur keamanan terpadu di beberapa lingkungan agen.Identitas agen dan mTLS: gunakan kebijakan otorisasi dan validasi sertifikat klien untuk memverifikasi dan membatasi komunikasi keluar secara kriptografis berdasarkan identitas agen.
Pembatasan alat MCP: menerapkan aturan HTTP terperinci pada interaksi agen dengan server alat MCP eksternal, yang membatasi metode alat tertentu (seperti
tools/listatautools/call) dan parameter metode.Verifikasi dan sanitasi payload: berintegrasi langsung dengan Model Armor menggunakan binding ekstensi di Service Extensions untuk memeriksa perintah dan respons agen dari kebocoran data sensitif atau serangan injeksi perintah.
Mode deployment
Anda dapat men-deploy instance Secure Web Proxy dalam salah satu mode berikut:
Mode pemilihan rute proxy eksplisit: dalam mode ini, Anda harus secara eksplisit mengonfigurasi lingkungan workload dan klien agar mengarah langsung ke server proxy. Secure Web Proxy kemudian mengisolasi klien Anda dari internet. Dengan cara ini, Secure Web Proxy bertindak sebagai perantara, membuat koneksi TCP baru untuk klien dan memastikan bahwa setiap koneksi memenuhi persyaratan kebijakan keamanan yang dikelola.
Mode lampiran layanan Private Service Connect: dalam mode ini, Anda dapat memusatkan deployment proxy web di seluruh arsitektur multi-Virtual Private Cloud (VPC) yang kompleks.
Mode next hop: dalam mode ini, Anda dapat mengonfigurasi instance Secure Web Proxy untuk bertindak sebagai next hop untuk pemilihan rute di jaringan Anda. Dengan kata lain, Anda dapat mengonfigurasi perutean jaringan untuk otomatis mengirim traffic keluar ke instance Secure Web Proxy. Metode deployment ini mengurangi overhead administratif organisasi Anda karena Anda tidak perlu mengonfigurasi setiap workload atau klien sumber secara manual untuk menggunakan proxy.
Batasan
Versi IP: Secure Web Proxy hanya mendukung IPv4; IPv6 tidak didukung.
Versi HTTP: Secure Web Proxy mendukung versi HTTP/0.9, 1.0, 1.1, dan 2.0. HTTP/3 tidak didukung.
Cakupan deployment: Anda hanya dapat men-deploy instance Secure Web Proxy di project host, bukan di project layanan.
Alat Google Cloud tambahan yang perlu dipertimbangkan
Anda dapat mengintegrasikan Secure Web Proxy dengan alat Google Cloud berikut untuk meningkatkan postur keamanan keseluruhan workload dan aplikasi Anda:
Gunakan mTLS frontend untuk memungkinkan Secure Web Proxy mengonfigurasi identitas klien yang divalidasi dalam kebijakan otorisasi dan menerapkan kontrol akses terperinci untuk traffic keluar.
Gunakan Certificate Manager untuk mengelola trust anchor (root certificate) dan CA perantara yang diperlukan untuk memvalidasi sertifikat klien dalam koneksi mTLS frontend ke Secure Web Proxy.
Terapkan Kontrol Layanan VPC untuk mencegah pemindahan data yang tidak sah dari layanan Google Cloud , seperti Cloud Storage dan BigQuery.
Gunakan Trace untuk mendapatkan data pelacakan terdistribusi untuk permintaan keluar dan menganalisis latensi jaringan end-to-end.