Norme e regole

Questo documento spiega come configurare policy e regole per controllare il traffico web in uscita con e senza agenti con Secure Web Proxy. Puoi controllare quale traffico è consentito o negato in base a vari criteri, assicurandoti che solo il traffico autorizzato esca dalla tua rete. Secure Web Proxy fornisce tre meccanismi principali per definire questi controlli: policy di autorizzazione, policy e regole di sicurezza del gateway e policy di limitazione di frequenza dei servizi.

Utilizza il tipo di policy appropriato

Per proteggere il traffico in uscita con Secure Web Proxy, scegli il meccanismo della policy più adatto al tipo di traffico appropriato:

• Traffico AI agentico: quando esegui il deployment di Secure Web Proxy come Agent Gateway, puoi configurare tutti i controlli di sicurezza sulla risorsa agentGateway utilizzando policy di autorizzazione con associazioni di estensioni. In questo modo puoi applicare le limitazioni a livello di metodo del Model Context Protocol (MCP), verificare l'identità dell'agente e richiamare servizi di sicurezza esterni come Model Armor e Identity-Aware Proxy (IAP). Tutte le policy collegate direttamente alla risorsa Gateway sottostante vengono ignorate.

• Traffico web standard: quando utilizzi Secure Web Proxy come proxy in uscita per workload non agentici, configura una policy di autorizzazione o una policy di sicurezza del gateway direttamente sulla risorsa Gateway:

  • Policy di autorizzazione: consigliamo questo tipo di policy per i deployment che richiedono mutual TLS (mTLS) del frontend granulare, controlli dell'identità o estensioni di autorizzazione personalizzate.
  • Policy di sicurezza del gateway: utilizza questo tipo di policy per filtrare il traffico in base a service account, tag sicuri o elenchi di URL.

Questi modelli di policy si escludono a vicenda su un singolo gateway. Oltre a scegliere la policy di sicurezza principale, puoi facoltativamente configurare il seguente tipo di policy:

• Policy di limitazione di frequenza del servizio: utilizza questo tipo di policy per dare priorità al traffico, proteggere le destinazioni esterne dai sovraccarichi di traffico e controllare i costi del traffico web in uscita limitando il numero di richieste. Puoi collegare una policy di limitazione di frequenza del servizio a un gateway che utilizza una policy di autorizzazione o una policy di sicurezza del gateway.

Policy di autorizzazione

Le policy di autorizzazione consentono di stabilire controlli dell'controllo dell'accesso basati sull'identità durante l'elaborazione delle richieste in uscita tramite Secure Web Proxy. Puoi configurare le policy di autorizzazione (AuthzPolicy) per convalidare l'identità di un workload o di un agente di origine che accede a internet.

Nota: se hai già una policy di sicurezza del gateway con regole di sicurezza esistenti, non è necessario rimuoverle. Secure Web Proxy ignora queste regole quando applichi una policy di autorizzazione al gateway.

Una policy di autorizzazione ti consente di specificare le condizioni per consentire, negare o delegare l'autorizzazione delle richieste in base alla loro origine, alla loro destinazione e ad altri attributi della richiesta. Le richieste che superano questi controlli vengono inoltrate alla destinazione web. Le richieste che non vanno a buon fine vengono rifiutate con un errore 403 Forbidden.

Per Secure Web Proxy, puoi collegare le policy di autorizzazione alla risorsa gateway per definire il perimetro di sicurezza per il traffico in uscita e valutare le regole delle policy di autorizzazione in Secure Web Proxy. Inoltre, puoi configurare Secure Web Proxy in modo che deleghi le decisioni di autorizzazione a un motore di autorizzazione esterno utilizzando le estensioni dei servizi (estensioni dell'autorizzazione).

Per saperne di più su come configurare le policy di autorizzazione, consulta Configura le policy di autorizzazione per Secure Web Proxy.

Le policy di autorizzazione offrono i seguenti vantaggi rispetto alle policy di sicurezza del gateway standard:

• Superficie delle policy coerente: utilizza l'API AuthzPolicy unificata per gestire l'autorizzazione del traffico per Secure Web Proxy insieme ad altri servizi come il bilanciatore del carico delle applicazioni e Cloud Service Mesh (CSM).

• Supporto di Service Extensions: utilizza Service Extensions per delegare le decisioni di autorizzazione alla tua logica personalizzata. Puoi utilizzare le estensioni di autorizzazione per eseguire l'autorizzazione a livello di richiesta (in base a intestazioni, identità e altro ancora) e la sanitizzazione dei contenuti (ad esempio la protezione dei dati sensibili o il rilevamento delle minacce).

• Sicurezza incentrata sull'identità: pur supportando le regole basate su IP, le policy di autorizzazione forniscono una security posture più solida consentendoti di applicare controlli basati sull'identità. Puoi definire il perimetro di sicurezza utilizzando service account, tag o mutual TLS di frontend. Puoi anche utilizzare Service Extensions per delegare le decisioni di autorizzazione a servizi basati sull'identità come IAP.

Sicurezza e governance con Agent Gateway

Quando esegui il deployment di Secure Web Proxy come Agent Gateway, configuri tutte le policy di governance sulla risorsa agentGateway anziché sul proxy sottostante. Secure Web Proxy valuta solo le policy collegate esplicitamente alla risorsa agentGateway. Il proxy ignora le policy collegate direttamente alla risorsa Gateway sottostante.

La governance di Agent Gateway utilizza la seguente architettura delle policy a due livelli:

1. Associazioni di estensioni (meccanismo di governance principale): le associazioni di estensioni in Service Extensions sono il meccanismo principale per gestire il traffico degli agenti. Puoi collegare i servizi di sicurezza gestiti direttamente alla risorsa agentGateway per ispezionare, autenticare e sanificare le comunicazioni degli agenti nei seguenti modi:

   • Model Armor: esegue un'ispezione approfondita del payload per scansionare prompt e risposte alla ricerca di dati sensibili, jailbreak e attacchi di prompt injection. Per saperne di più, consulta Delega l'autorizzazione a Model Armor.
   • IAP: verifica tramite crittografia le identità di client e agenti prima di inoltrare le chiamate allo strumento alle risorse di backend. Per saperne di più, consulta Delega l'autorizzazione a IAP.

2. Policy di autorizzazione (controllo granulare, eccezioni e bypass): le policy di autorizzazione integrano le associazioni di estensioni fornendo una valutazione granulare delle regole L4 e L7:

   • Bypass dell'ispezione TLS: configura regole a livello di rete (L4) per bypassare l'intercettazione TLS per gli endpoint esterni attendibili in cui non è richiesta l'ispezione approfondita.
   • Limitazioni relative a metodi e strumenti MCP: applica regole a livello HTTP (L7) per limitare le azioni dei metodi MCP, ad esempio consentendo solo strumenti approvati o limitando parametri di strumenti specifici.

Nota: ti consigliamo di eseguire il deployment di un gateway Secure Web Proxy dedicato connesso a un Agent Gateway specifico per il traffico degli agenti AI, anziché riutilizzare un proxy configurato per workload non agentici. Questa separazione contribuisce a garantire che i guardrail specifici dell'agente, come i binding delle estensioni, il filtro dei metodi MCP e la verifica dell'identità del client, siano isolati dalle policy di sicurezza standard del gateway.

Policy e regole di sicurezza del gateway

Una policy di sicurezza del gateway è l'elemento di sicurezza principale che definisce i controlli degli accessi per tutto il traffico web in uscita non agentico.

Nota: Le politiche e le regole di sicurezza del gateway sono progettate per il traffico web non agente. Per gestire il traffico in uscita degli agenti AI, utilizza una policy di autorizzazione con associazioni di estensioni collegate a una risorsa agentGateway.

Le policy di sicurezza del gateway includono le seguenti funzionalità principali:

• Controllo delle policy: una policy contiene le regole di sicurezza del gateway utilizzate dal proxy per consentire o negare una richiesta web. Puoi creare una singola policy e riutilizzarla in più istanze di Secure Web Proxy per mantenere le regole di sicurezza coerenti ed efficienti.

• Sicuro di default: le policy di sicurezza del gateway sono deny-all per impostazione predefinita. Il proxy blocca ogni richiesta HTTP e HTTPS finché non crei una regola specifica per consentirla. In questo modo, viene applicata un'architettura Zero Trust fin dall'inizio.

• Logica delle policy: ogni policy si basa su due controlli principali: determinare l'origine del traffico e verificare la destinazione consentita.

Nota: per informazioni sulle quote e sui limiti di sistema che si applicano alle policy di Secure Web Proxy, consulta Quote e limiti.

Una regola di sicurezza del gateway è un'istruzione in una policy di sicurezza del gateway che corrisponde e definisce l'azione finale: consenti o nega.

L'istanza Secure Web Proxy valuta le regole in base alla priorità, con il numero più basso controllato per primo. Il proxy si arresta e agisce in base alla prima regola che corrisponde alla richiesta.

• Session Matcher: controlla le informazioni di base sulla connessione di rete durante la configurazione. Session Matcher include i seguenti elementi:

  • Identità di origine (account di servizio o tag sicuro)
  • Nome host di destinazione (il nome di dominio)
  • Porta di destinazione

• Application Matcher: esamina i contenuti della richiesta web effettiva. In genere viene utilizzato per garantire un controllo granulare e richiede l'ispezione TLS per controllare il traffico criptato. Application Matcher include i seguenti elementi:

  • Percorso dell'URL completo
  • Metodo di richiesta, ad esempio blocca tutte le azioni DELETE
  • Intestazioni HTTP specifiche

Nota: per analizzare gli attributi delle richieste, come i metodi o le intestazioni HTTP, attiva l'ispezione TLS. Quando l'ispezione TLS è attiva, utilizza le policy di autorizzazione anziché le regole standard del gateway per ottenere un controllo più preciso sui controlli di identità e contenuti per il traffico decriptato.

Policy di limitazione di frequenza dei servizi

Anteprima

Questo prodotto o funzionalità sono soggetti ai "Termini dell'offerta pre-GA" nella sezione dei Termini di servizio generali dei Termini specifici dei servizi. I prodotti e le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per ulteriori informazioni, consulta le descrizioni della fase di lancio.

Le policy di limitazione di frequenza dei servizi contribuiscono a mantenere resilienti i gateway del traffico web in uscita. Sebbene altri meccanismi di gestione del traffico diano la priorità alla scalabilità delle risorse, la limitazione di frequenza limita i client che richiedono un uso intensivo delle risorse alla fonte per massimizzare la disponibilità del gateway.

Secure Web Proxy applica la limitazione di frequenza del servizio alla fine del percorso di elaborazione della richiesta, dopo che tutte le regole di sicurezza del gateway, i controlli di autorizzazione e le estensioni dei servizi sono stati completati correttamente. In questo modo, solo il traffico autorizzato e attendibile consuma il budget per la limitazione di frequenza.

Nota: la limitazione di frequenza del servizio si applica solo al traffico di livello 7 che corrisponde a una regola di Secure Web Proxy con un attributo dell'applicazione (ApplicationMatcher). Il traffico web in uscita che corrisponde a una regola con un solo attributo della sessione (SessionMatcher) non è soggetto alla limitazione di frequenza.

Per saperne di più su come configurare le policy di limitazione di frequenza, consulta la panoramica della limitazione di frequenza dei servizi e Configura le policy di limitazione di frequenza dei servizi.

Limitazioni

Quando configuri le policy in Secure Web Proxy, si applicano le seguenti limitazioni:

• Policy di sicurezza del gateway: queste policy non supportano le estensioni di autorizzazione. Le funzionalità avanzate, come l'utilizzo di logica personalizzata o la delega delle decisioni di autorizzazione a servizi esterni, sono disponibili solo tramite le policy di autorizzazione.

• Policy di autorizzazione: queste policy non supportano gli elenchi di URL o la corrispondenza di espressioni regolari (regex) per le stringhe URL.

• Policy di limitazione di frequenza dei servizi: la limitazione di frequenza si applica solo al traffico di livello 7 che corrisponde a una regola con un attributo dell'applicazione (ApplicationMatcher). Per il traffico web in uscita che corrisponde a una regola con un solo attributo della sessione (SessionMatcher), la limitazione di frequenza non viene applicata.

Passaggi successivi

• Configura le policy di autorizzazione per Secure Web Proxy
• Configura le policy di limitazione di frequenza dei servizi
• Policy di sicurezza del gateway
• Regole di sicurezza del gateway
• Esegui il deployment di Secure Web Proxy come Agent Gateway