Secure Web Proxy 總覽

Secure Web Proxy 可保護組織內部網路的傳出代理流量和標準網路流量 (HTTP 和 HTTPS)。將 AI 代理和非代理工作負載設為使用 Secure Web Proxy 做為閘道時，如果任何應用程式或服務嘗試存取貴組織外部的網站，Proxy 會強制執行安全檢查。

優點

Secure Web Proxy 的主要優點如下：

  • AI 代理的傳出流量管理。Secure Web Proxy 與 Agent Gateway 整合後，可強制執行集中式安全性政策，控管代理對工具、端點或模型的存取權。您可以強制執行精細的安全 perimeter、以加密方式驗證代理身分、檢查 Model Context Protocol (MCP) 工具呼叫，並對傳出的代理流量套用 Model Armor 內容清理防護機制。

  • Identity-aware access control (身分感知存取控管)。存取權是根據加密工作負載和代理身分授予，而非靜態網路位置：

    這種以身分為中心的模型可啟用精細的授權規則，有助於將傳出網路流量限制在經過驗證的工作負載和代理。

  • 預設採用強大的安全防護機制。Secure Web Proxy 預設會採用 deny-all 設定，封鎖所有連出流量，直到您明確允許為止。 Google Cloud 會自動管理所有軟體和基礎架構更新，盡可能降低安全漏洞的持續風險。

  • 集中檢查：Secure Web Proxy 會將雲端工作負載和連線辦公室的連出網頁要求，整合至單一檢查點，以便一致地強制執行政策。

  • 全方位觀測能力和追蹤。所有傳出流量都會集中記錄在 Cloud Logging 中，並與 Cloud Trace 和 OpenTelemetry 整合。這項整合功能提供完整的稽核能力、事件調查和端對端延遲時間分析。

支援功能

Secure Web Proxy 支援下列功能：

  • 精細的傳出存取政策：您可以根據流量類型，強制執行指定安全控管措施：

    • 代理式 AI 流量：部署為 Agent Gateway 時，Secure Web Proxy 會評估 MCP 方法規則、驗證代理身分，並叫用 Service Extensions 中的擴充功能繫結，使用 Model Armor 等服務清理提示和回覆。
    • 標準網站流量：如果是標準網站流量，Secure Web Proxy 會評估閘道安全政策或授權政策，使用安全標記、服務帳戶或前端 mTLS 憑證，識別來源工作負載。Proxy 也會篩選目的地主機名稱、網址、標頭和方法。

    這項精細的政策功能可讓您在多個 Secure Web Proxy 執行個體中，建立及管理特定、可重複使用的規則元件。

  • 自動調度 Secure Web Proxy Envoy Proxy 資源：Secure Web Proxy 支援自動調整 Envoy Proxy 集區大小和區域中的集區容量，可在需求高峰期以最低成本維持一致的效能。自動調度資源功能會自動管理區域內的容量調整。這表示您不必手動監控及調整 Proxy 機群的大小，能以更短的作業時間確保更佳效能。

  • 服務頻率限制：Secure Web Proxy 會對傳出網路流量強制執行流量限制，防止耗用大量資源的用戶端耗盡服務容量，或產生過多費用，例如與大型語言模型 (LLM) 權杖相關的費用。您可以將服務頻率限制政策，附加至已設定閘道安全性政策或授權政策的閘道。您可以使用頻率限制政策，根據要求數量和特定用戶端身分 (例如 mTLS 主體或來源 IP 位址)，優先處理或限制流量。

  • 端對端加密：用戶端 Proxy 通道可透過 TLS 傳輸。Secure Web Proxy 也支援 HTTP 和 HTTPS CONNECT，可建立用戶端啟動的端對端 TLS 連線，連至目的地伺服器。這項重要的安全措施會由服務自動管理，因此不需手動設定或監控加密標準，即可確保流量安全。

  • Cloud 稽核記錄和 Google Cloud Observability 整合：Cloud 稽核記錄使用 Google Cloud Observability，記錄 Secure Web Proxy 的管理動作 (政策變更)、存取要求和指標 (Proxy 交易記錄)。這項內建的整合式檢視畫面，可簡化安全監控和法規遵循報告。

Secure Web Proxy 的運作方式

Secure Web Proxy 是強制性的安全性查核點，可監控從貴組織網路傳送至網際網路的所有網站流量。內部工作負載必須遵守 Secure Web Proxy 安全性規則，才能連上網際網路。

  1. 集中式閘道：您的工作負載 (例如虛擬機器 (VM) 和容器) 會設為將所有傳出網頁要求傳送至中央 Secure Web Proxy 執行個體。

  2. 政策執行：Proxy 會檢查要求並套用安全性政策，決定是否允許連線。

  3. 保護傳出流量：如果允許要求，流量會使用 Google Cloud基礎架構 (通常是 Cloud NAT) 安全地轉送至網際網路。Proxy 也會使用 Cloud DNS 解析外部網址。

政策與規則

如要保護傳出流量，請選擇授權政策或閘道安全性政策，做為 Secure Web Proxy 執行個體的主要安全機制。一個閘道只能設定一個主要政策模式。此外，您也可以在主要政策選項上，設定服務頻率限制政策。

  • 授權政策：透過 Secure Web Proxy 執行個體處理傳出要求時，這些政策可讓您建立身分型和目的地型存取控管檢查。建議在下列情況使用這類政策：

    • 將 Secure Web Proxy 部署為 Agent Gateway，管理代理流量。
    • 為非代理流量部署 Secure Web Proxy，且該流量需要前端 mTLS 驗證來源身分或自訂授權擴充功能。

  • 閘道安全性政策和規則：這些政策和規則定義了標準、非代理傳出網路流量的存取控管機制。閘道安全性政策是個別安全性規則的容器，可根據來源身分 (服務帳戶或安全標記)、目的地主機名稱和通訊埠，允許或拒絕流量。

  • 服務頻率限制政策：這類政策可讓您對傳出網路流量，強制執行用戶端專屬和服務層級的要求頻率限制，保護外部目的地免於流量過載，並控管成本。您可以將服務頻率限制政策，附加至使用授權政策或閘道安全性政策的閘道。

Agent Gateway 與 Secure Web Proxy 整合

企業 AI 工作負載部署在 Google Cloud，包括 Gemini Enterprise 等軟體即服務 (SaaS) 解決方案、Vertex AI Agent Engine 等平台即服務 (PaaS) 環境，以及 Google Kubernetes Engine (GKE) 和 Cloud Run 上的容器化或自行託管執行階段，因此需要強大的集中式網路邊界，才能強制執行資料隱私權、法規遵循政策和威脅防護。

Agent Gateway 為 AI 代理提供集中式政策管理、密碼編譯身分驗證和安全防護機制。如果代理在 GKE 或 Cloud Run 上執行，您可以將 Secure Web Proxy 執行個體部署為 Agent Gateway。這項設定可讓您對傳送至 LLM、MCP 工具、外部 API、遠端代理或標準網頁目的地的傳出流量，強制執行集中式安全政策。

搭配使用 Secure Web Proxy 執行個體和 agentGateway 資源，可享有下列優點：

  • 集中式政策管理：將 agentGateway 資源上定義的授權政策套用至 Secure Web Proxy 執行個體。這項功能可讓您在多個代理環境中建立統一的資安態勢。

  • 代理身分和 mTLS：使用用戶端憑證驗證和授權政策，根據代理身分，以加密編譯方式驗證及限制傳出通訊。

  • MCP 工具限制：對代理與外部 MCP 工具伺服器的互動，強制執行精細的 HTTP 規則，限制特定工具方法 (例如 tools/list 或 tools/call) 和方法參數。

  • 酬載驗證和清理：在 Service Extensions 中使用擴充功能繫結，直接與 Model Armor 整合，檢查提示和代理回覆，防範機密資料外洩或提示詞注入攻擊。

部署模式

您可以透過下列任一模式部署 Secure Web Proxy 執行個體：

  • 明確 Proxy 轉送模式：在這個模式中，您必須明確設定工作負載環境和用戶端，直接指向 Proxy 伺服器。Secure Web Proxy 接著會將用戶端與網際網路隔離。這樣一來，Secure Web Proxy 就能做為中介，為用戶端建立新的 TCP 連線，並確保每個連線都符合管理安全性政策的要求。

  • Private Service Connect 服務連結模式：在這個模式中，您可以集中管理複雜的多虛擬私有雲 (VPC) 架構中的網路 Proxy 部署作業。

  • 下一個躍點模式：在這個模式中，您可以將 Secure Web Proxy 執行個體設為網路中路由的下一個躍點。換句話說，您可以設定網路路由，自動將輸出流量傳送至 Secure Web Proxy 執行個體。這種部署方法可減少組織的管理負擔，因為您不必手動設定每個來源工作負載或用戶端，即可使用 Proxy。

限制

  • IP 版本：Secure Web Proxy 僅支援 IPv4，不支援 IPv6。

  • HTTP 版本：Secure Web Proxy 支援 HTTP/0.9、1.0、1.1 和 2.0 版本。不支援 HTTP/3。

  • 部署範圍：Secure Web Proxy 執行個體只能部署在主專案，無法部署在服務專案。

其他可考慮的 Google Cloud 工具

您可以將 Secure Web Proxy 與下列 Google Cloud 工具整合，強化工作負載和應用程式的整體資安態勢：

  • 使用前端 mTLS，讓 Secure Web Proxy 在授權政策中設定經過驗證的用戶端身分，並對傳出流量強制執行精細的存取控管。

  • 使用 Certificate Manager 管理信任錨點 (根憑證) 和中繼 CA，以便在 Secure Web Proxy 的前端 mTLS 連線中驗證用戶端憑證。

  • 實作 VPC Service Controls，防止 Google Cloud 服務 (例如 Cloud Storage 和 BigQuery) 的資料遭到竊取。

  • 使用 Trace 取得傳出要求的分散式追蹤資料，並分析端對端網路延遲時間。

後續步驟