이 문서에서는 Secure Web Proxy를 사용하여 아웃바운드 에이전트 및 비에이전트 웹 트래픽을 제어하는 정책과 규칙을 구성하는 방법을 설명합니다. 다양한 기준에 따라 허용되거나 거부되는 트래픽을 제어하여 승인된 트래픽만 네트워크를 나갈 수 있도록 할 수 있습니다. Secure Web Proxy는 이러한 제어를 정의하는 세 가지 기본 메커니즘인 승인 정책, 게이트웨이 보안 정책 및 규칙, 서비스 비율 제한 정책을 제공합니다.
적절한 정책 유형 사용
Secure Web Proxy로 아웃바운드 트래픽을 보호하려면 적절한 트래픽 유형에 가장 적합한 정책 메커니즘을 선택합니다.
에이전트 AI 트래픽: Secure Web Proxy를 Agent Gateway로 배포할 때 확장 프로그램 바인딩이 있는 승인 정책을 사용하여
agentGateway리소스에서 모든 보안 제어를 구성할 수 있습니다. 이를 통해 모델 컨텍스트 프로토콜(MCP) 메서드 수준 제한을 시행하고, 에이전트 ID를 확인하고, Model Armor 및 IAP(Identity-Aware Proxy)와 같은 외부 보안 서비스를 호출할 수 있습니다. 기본Gateway리소스에 직접 연결된 모든 정책은 무시됩니다.표준 웹 트래픽: Secure Web Proxy를 에이전트가 아닌 워크로드의 아웃바운드 프록시로 사용하는 경우
Gateway리소스에서 직접 승인 정책 또는 게이트웨이 보안 정책을 구성합니다.- 승인 정책: 세분화된 프런트엔드 상호 TLS(mTLS), ID 확인 또는 커스텀 승인 확장 프로그램이 필요한 배포에 이 정책 유형을 사용하는 것이 좋습니다.
- 게이트웨이 보안 정책: 이 정책 유형을 사용하여 서비스 계정, 보안 태그 또는 URL 목록을 기준으로 트래픽을 필터링합니다.
이러한 정책 모델은 단일 게이트웨이에서 상호 배타적입니다. 기본 보안 정책을 선택하는 것 외에도 원하는 경우 다음 유형의 정책을 구성할 수 있습니다.
- 서비스 비율 제한 정책: 이 정책 유형을 사용하여 트래픽의 우선순위를 지정하고, 트래픽 과부하로부터 외부 대상을 보호하고, 요청 수를 제한하여 아웃바운드 웹 트래픽 비용을 제어합니다. 승인 정책 또는 게이트웨이 보안 정책을 사용하는 게이트웨이에 서비스 비율 제한 정책을 연결할 수 있습니다.
승인 정책
승인 정책을 사용하면 Secure Web Proxy를 통해 아웃바운드 요청을 처리할 때 ID 기반 액세스 제어 검사를 설정할 수 있습니다. 승인 정책(AuthzPolicy)을 구성하여 인터넷에 액세스하는 소스 워크로드 또는 에이전트의 ID를 검증할 수 있습니다.
승인 정책을 사용하면 소스, 목적지, 기타 요청 속성을 기반으로 요청 승인을 허용, 거부 또는 위임하는 조건을 지정할 수 있습니다. 이러한 검사를 통과하는 요청은 웹 대상으로 전달됩니다. 실패한 요청은 403 Forbidden 오류와 함께 거부됩니다.
Secure Web Proxy의 경우 게이트웨이 리소스에 승인 정책을 연결하여 아웃바운드 트래픽의 보안 경계를 정의하고 Secure Web Proxy에서 승인 정책 규칙을 평가할 수 있습니다. 또한 서비스 확장 프로그램(승인 확장 프로그램)을 사용하여 승인 결정을 외부 승인 엔진에 위임하도록 Secure Web Proxy를 구성할 수 있습니다.
승인 정책을 구성하는 방법에 대한 자세한 내용은 Secure Web Proxy의 승인 정책 설정을 참조하세요.
승인 정책은 표준 게이트웨이 보안 정책에 비해 다음과 같은 이점을 제공합니다.
일관된 정책 표면: 통합
AuthzPolicyAPI를 사용하여 애플리케이션 부하 분산기 및 Cloud Service Mesh(CSM)와 같은 다른 서비스와 함께 Secure Web Proxy의 트래픽 승인을 관리합니다.Service Extensions 지원: Service Extensions를 사용하여 커스텀 로직에 승인 결정을 위임합니다. 승인 확장 프로그램을 사용하여 요청 수준 승인(헤더, ID 등을 기반으로 함) 및 콘텐츠 정제(예: 민감한 정보 보호 또는 위협 감지)를 수행할 수 있습니다.
ID 중심 보안: 승인 정책은 IP 기반 규칙을 계속 지원하면서 ID를 기반으로 제어를 시행할 수 있도록 하여 더 강력한 보안 상황을 제공합니다. 서비스 계정, 태그 또는 프런트엔드 상호 TLS를 사용하여 보안 경계를 정의할 수 있습니다. 또한 서비스 확장 프로그램을 사용하여 승인 결정을 IAP와 같은 ID 기반 서비스에 위임할 수 있습니다.
Agent Gateway를 통한 보안 및 거버넌스
Secure Web Proxy를 Agent Gateway로 배포하는 경우 기본 프록시가 아닌 agentGateway 리소스에서 모든 거버넌스 정책을 구성합니다. Secure Web Proxy는 agentGateway 리소스에 명시적으로 연결된 정책만 평가합니다. 프록시는 기본 Gateway 리소스에 직접 연결된 모든 정책을 무시합니다.
Agent Gateway 거버넌스는 다음 2계층 정책 아키텍처를 사용합니다.
확장 프로그램 바인딩(기본 거버넌스 메커니즘): Service Extensions의 확장 프로그램 바인딩은 에이전트 트래픽을 제어하는 기본 메커니즘입니다. 관리형 보안 서비스를
agentGateway리소스에 직접 연결하여 다음과 같은 방법으로 에이전트 통신을 검사, 인증, 정제할 수 있습니다.- Model Armor: 심층 페이로드 검사를 수행하여 프롬프트와 대답에서 민감한 정보, 탈옥, 프롬프트 인젝션 공격을 스캔합니다. 자세한 내용은 Model Armor에 승인 위임을 참조하세요.
- IAP: 도구 호출을 백엔드 리소스로 전달하기 전에 클라이언트 및 에이전트 ID를 암호화 방식으로 확인합니다. 자세한 내용은 IAP에 승인 위임을 참조하세요.
승인 정책(세분화된 제어, 예외, 우회): 승인 정책은 세분화된 L4 및 L7 규칙 평가를 제공하여 확장 프로그램 바인딩을 보완합니다.
- TLS 검사 우회: 심층 검사가 필요하지 않은 신뢰할 수 있는 외부 엔드포인트에 대해 TLS 가로채기를 우회하도록 네트워크 수준(L4) 규칙을 구성합니다.
- MCP 메서드 및 도구 제한: HTTP 수준(L7) 규칙을 적용하여 승인된 도구만 허용하거나 특정 도구 매개변수를 제한하는 등 MCP 메서드 작업을 제한합니다.
게이트웨이 보안 정책 및 규칙
게이트웨이 보안 정책은 에이전트가 아닌 모든 아웃바운드 웹 트래픽에 대한 액세스 제어를 정의하는 핵심 보안 항목입니다.
게이트웨이 보안 정책에는 다음과 같은 주요 기능이 포함됩니다.
정책 제어: 정책에는 프록시가 웹 요청을 허용하거나 거부하는 데 사용하는 게이트웨이 보안 규칙이 포함됩니다. 단일 정책을 만들어 여러 Secure Web Proxy 인스턴스에서 재사용하여 보안 규칙을 일관되고 효율적으로 유지할 수 있습니다.
보안을 우선으로 하는 기본 설정: 게이트웨이 보안 정책은 기본적으로
deny-all입니다. 프록시는 허용할 특정 규칙을 만들 때까지 모든 HTTP 및 HTTPS 요청을 차단합니다. 이렇게 하면 처음부터 제로 트러스트 아키텍처가 적용됩니다.정책 로직: 모든 정책은 트래픽 소스 확인과 허용되는 대상 확인이라는 두 가지 핵심 검사를 기반으로 합니다.
게이트웨이 보안 규칙은 최종 작업(허용 또는 거부)을 일치시키고 정의하는 게이트웨이 보안 정책의 안내입니다.
Secure Web Proxy 인스턴스는 우선순위에 따라 규칙을 평가하며, 가장 낮은 숫자가 먼저 확인됩니다. 프록시는 요청과 일치하는 첫 번째 규칙에 따라 중지되고 작동합니다.
세션 일치자: 설정 중인 네트워크 연결에 관한 기본 정보를 확인합니다. 세션 일치 도구에는 다음 항목이 포함됩니다.
- 소스 ID(서비스 계정 또는 보안 태그)
- 대상 호스트 이름(도메인 이름)
- 대상 포트
애플리케이션 일치자: 실제 웹 요청의 콘텐츠를 검사합니다. 일반적으로 세분화된 제어를 보장하는 데 사용되며 암호화된 트래픽을 확인하려면 TLS 검사가 필요합니다. Application Matcher에는 다음 항목이 포함됩니다.
- 전체 URL 경로
- 요청 메서드(예: 모든
DELETE작업 차단) - 특정 HTTP 헤더
서비스 비율 제한 정책
서비스 비율 제한 정책은 아웃바운드 웹 트래픽 게이트웨이의 복원력을 유지하는 데 도움이 됩니다. 다른 트래픽 관리 메커니즘은 리소스 확장을 우선시하지만 비율 제한은 소스에서 리소스 집약적인 클라이언트를 제한하여 게이트웨이 가용성을 극대화합니다.
Secure Web Proxy는 모든 게이트웨이 보안 규칙, 승인 검사, 서비스 확장 프로그램이 성공적으로 완료된 후 요청 처리 경로 끝에서 서비스 비율 제한을 적용합니다. 이렇게 하면 승인되고 신뢰할 수 있는 트래픽만 비율 제한 예산을 사용합니다.
비율 제한 정책을 설정하는 방법에 대한 자세한 내용은 서비스 비율 제한 개요 및 서비스 비율 제한 정책 구성을 참조하세요.
제한사항
Secure Web Proxy에서 정책을 구성할 때는 다음 제한사항이 적용됩니다.
게이트웨이 보안 정책: 이러한 정책은 승인 확장 프로그램을 지원하지 않습니다. 커스텀 로직을 사용하거나 승인 결정을 외부 서비스에 위임하는 등의 고급 기능은 승인 정책을 통해서만 사용할 수 있습니다.
승인 정책: 이러한 정책은 URL 문자열에 대한 URL 목록 또는 정규 표현식(정규식) 일치를 지원하지 않습니다.
서비스 비율 제한 정책: 비율 제한은 애플리케이션 속성(
ApplicationMatcher)이 있는 규칙과 일치하는 Layer 7 트래픽에만 적용됩니다. 세션 속성(SessionMatcher)만 있는 규칙과 일치하는 아웃바운드 웹 트래픽에는 비율 제한이 적용되지 않습니다.