Tag protetti per i firewall

Le regole di Cloud Next Generation Firewall (Cloud NGFW) utilizzano i tag per specificare origini e destinazioni. Questo approccio flessibile evita la dipendenza dagli indirizzi IP.

Tipi di tag

Per filtrare il traffico di rete nelle regole firewall, Cloud NGFW supporta due tipi di tag:

  • I tag regolati da Identity and Access Management (IAM), chiamati anche tag sicuri, vengono creati e gestiti in Resource Manager come chiavi e valori tag. I valori dei tag sicuri possono essere utilizzati per specificare le origini per le regole in entrata e le destinazioni per le regole in entrata o in uscita in una policy del firewall gerarchica, una policy del firewall di rete globale o una policy del firewall di rete regionale.

  • I tag di rete sono stringhe di caratteri senza controlli di accesso che possono essere aggiunte alle istanze di macchine virtuali (VM) o ai template di istanza. I tag di rete possono essere utilizzati per specificare le origini per le regole firewall Virtual Private Cloud (VPC) in entrata e le destinazioni per le regole firewall VPC in entrata o in uscita. I tag di rete non possono essere utilizzati dalle regole di una policy del firewall gerarchica, di una policy del firewall di rete globale o di una policy del firewall di rete regionale. Per ulteriori informazioni sui tag di rete, vedi Aggiungi tag di rete.

Per saperne di più, consulta Confronto tra tag sicuri e tag di rete.

Inoltre, puoi collegare i tag di Resource Manager direttamente alle risorse Cloud NGFW per gestirle con servizi come Identity and Access Management (IAM) e il servizio policy dell'organizzazione. Questi tag vengono utilizzati esclusivamente per la governance delle risorse; le regole firewall non li valutano per filtrare il traffico di rete. Per saperne di più sulla creazione e sulla gestione dei tag sulle risorse firewall, consulta Crea e gestisci i tag per le risorse firewall.

La sezione seguente di questa pagina descrive i tag sicuri nelle policy del firewall.

Specifiche

I tag sicuri hanno le seguenti specifiche:

  • Risorsa padre: la risorsa padre è la risorsa in cui è definita la chiave del tag sicuro. Le chiavi dei tag possono essere create in un progetto o in un'organizzazione padre. Per saperne di più sulla creazione di chiavi dei tag, consulta Crea e gestisci i tag sicuri.

  • Scopo e dati dello scopo: per utilizzare una chiave di tag sicura con Cloud NGFW, devi impostare l'attributo purpose della chiave di tag su GCE_FIREWALL e specificare l'attributo purpose-data:

    • Puoi impostare l'attributo purpose-data della chiave tag su network, seguito da una singola specifica della rete VPC.

      • Per le chiavi tag con un progetto principale, se imposti l'attributo purpose-data della chiave tag su network, la rete VPC specificata deve trovarsi nello stesso progetto della chiave tag.

      • Per le chiavi tag con un'organizzazione principale, se imposti l'attributo purpose-data della chiave tag su network, la rete VPC specificata deve trovarsi nella stessa organizzazione della chiave tag.

    • Puoi impostare l'attributo purpose-data della chiave tag su organization=auto. In questo modo vengono identificate tutte le reti VPC nell'organizzazione.

    Né l'attributo purpose né l'attributo purpose-data possono essere modificati dopo aver creato una chiave tag. Per saperne di più su come formattare la specifica di rete nell'attributo purpose-data di una chiave tag, consulta Scopo nella documentazione dell'API Resource Manager.

  • Struttura e formato: una chiave tag sicura può fare riferimento a un massimo di 1000 valori tag univoci. Le entità IAM con il ruolo Tag Administrator (roles/resourcemanager.tagAdmin) creano chiavi tag e valori tag per ogni chiave tag. Per saperne di più sui limiti dei tag sicuri, consulta Limiti.

  • Spostamento di progetti tra organizzazioni: puoi spostare un progetto da un'organizzazione a un'altra. Prima di spostare un progetto, scollega dall'organizzazione di origine tutte le chiavi dei tag con un attributo purpose-data che specifica un'organizzazione utilizzata nel progetto. Se non scolleghi prima i tag sicuri, riceverai un messaggio di errore durante lo spostamento.

  • Controllo dell'accesso: le policy IAM determinano quali entità IAM possono gestire e utilizzare i tag sicuri:

    • Le entità IAM con il ruolo Tag Administrator (roles/resourcemanager.tagAdmin) possono creare chiavi dei tag e gestire i relativi valori:

      • Le entità IAM a cui è stato concesso il ruolo Tag Administrator (roles/resourcemanager.tagAdmin) nella policy IAM dell'organizzazione possono creare chiavi dei tag con l'organizzazione come risorsa padre.

      • Le entità IAM a cui è stato concesso il ruolo Tag Administrator (roles/resourcemanager.tagAdmin) nella policy IAM dell'organizzazione, di una cartella o di un progetto possono creare chiavi dei tag con un progetto come risorsa padre.

    • Le entità IAM con il ruolo Utente tag (roles/resourcemanager.tagUser) possono associare i valori dei tag alle istanze VM o utilizzare i valori dei tag nelle regole firewall di una policy del firewall gerarchica, di una policy del firewall di rete globale o di una policy del firewall di rete regionale.

      • Le entità IAM a cui è stato concesso il ruolo Tag User (roles/resourcemanager.tagUser) nella policy IAM dell'organizzazione possono utilizzare i valori tag delle chiavi tag che hanno l'organizzazione come risorsa principale.

      • Le entità IAM a cui è stato concesso il ruolo Tag User (roles/resourcemanager.tagUser) nella policy IAM dell'organizzazione, di una cartella o di un progetto possono utilizzare i valori dei tag dalle chiavi dei tag con un progetto come risorsa principale.

    • Alle entità IAM che sono sviluppatori, amministratori di database o team operativi può essere concesso il ruolo Tag User (roles/resourcemanager.tagUser) e altri ruoli appropriati, senza che sia necessario concedere il ruolo Compute Security Admin (roles/compute.securityAdmin). In questo modo, i team operativi possono controllare quali regole firewall si applicano alle interfacce di rete delle istanze VM che gestiscono, senza poter modificare queste regole firewall.

    Per saperne di più sulle autorizzazioni richieste, consulta Ruoli IAM.

  • Supporto delle regole firewall: le regole nelle policy del firewall gerarchiche, nelle policy del firewall di rete globali e nelle policy del firewall di rete regionali supportano le chiavi dei tag come tag sicuri di origine o di destinazione. Le regole firewall VPC non supportano i tag sicuri. Per saperne di più, consulta Confronto tra tag sicuri e tag di rete.

  • Associazione di VM e regole firewall applicabili: quando associ un valore di tag sicuro a un'istanza VM, le regole firewall applicabili che utilizzano il valore del tag includono le interfacce di rete della VM come origini o destinazioni:

    • Se il valore del tag sicuro associato all'istanza proviene da una chiave di tag il cui attributo purpose-data specifica una singola rete VPC:

      • Le regole firewall in entrata che utilizzano questo valore di tag come tag di sicurezza di origine hanno origini che includono le interfacce di rete della VM che si trovano nella rete VPC specificata.

      • Le regole firewall in entrata e in uscita che utilizzano questo valore di tag come tag sicuro di destinazione hanno destinazioni che includono le interfacce di rete della VM che si trovano nella rete VPC specificata.

    • Se il valore del tag sicuro associato all'istanza proviene da una chiave tag il cui attributo purpose-data specifica un'organizzazione:

      • Le regole firewall in entrata che utilizzano questo valore di tag come tag sicuro di origine hanno origini che includono le interfacce di rete della VM che si trovano in qualsiasi rete VPC dell'organizzazione.

      • Le regole firewall in entrata e in uscita che utilizzano il valore del tag come tag sicuro di destinazione hanno destinazioni che includono le interfacce di rete della VM che si trovano in qualsiasi rete VPC dell'organizzazione.

  • In che modo le regole firewall applicabili identificano i pacchetti: Cloud NGFW mappa i tag sicuri di origine e di destinazione alle interfacce di rete, non agli indirizzi IP:

    • Quando un tag sicuro di origine di una regola firewall in entrata include un'interfaccia di rete VM come origine, Google Cloud corrisponde a tutti i pacchetti inviati da quell'interfaccia di rete.

    • Quando un tag sicuro di destinazione di una regola firewall in entrata include un'interfaccia di rete VM come destinazione, Google Cloud corrisponde a tutti i pacchetti ricevuti da quell'interfaccia di rete.

    • Quando un tag sicuro di destinazione di una regola firewall in uscita include un'interfaccia di rete VM come destinazione, Google Cloud corrisponde a tutti i pacchetti inviati da quell'interfaccia di rete.

  • Numero di valori dei tag per istanza: puoi associare ogni valore dei tag a un numero illimitato di istanze VM. Il numero di valori dei tag supportati da ogni istanza è variabile. Google Cloud applica un limite di 10 valori dei tag che si applicano a ogni interfaccia di rete di una VM. Google Cloud ti impedisce di associare altri valori dei tag a un'istanza VM se più di 10 valori dei tag si applicano a una o più delle sue interfacce di rete. Per saperne di più, consulta Associa tag sicuri.

  • Supporto del peering di rete e di NCC: puoi utilizzare i tag sicuri per identificare le interfacce di rete delle VM nelle reti in peering. Sono incluse le reti connesse tramite il peering di rete VPC e gli spoke VPC su un hub di Network Connectivity Center. Questa funzionalità è utile per i consumer di servizi pubblicati che utilizzano l'accesso privato ai servizi. Ad esempio, puoi utilizzare regole firewall in entrata con tag sicuri di origine per controllare il traffico dalle VM producer di servizi alle tue VM.

  • Tag sicuri con Google Kubernetes Engine (GKE): puoi associare tag sicuri ai cluster GKE e ai node pool per utilizzarli nelle policy del firewall di rete. Per saperne di più, consulta Crea e gestisci i tag sicuri.

Associa tag protetti

Per utilizzare i tag sicuri con Cloud NGFW, devi associare un valore di tag a un'istanza VM. Ogni chiave di tag sicuro supporta più valori di tag; tuttavia, per ogni chiave di tag, puoi associare a un'istanza un solo valore di tag. Per saperne di più sulle autorizzazioni IAM e su come associare i tag sicuri, consulta Associa tag sicuri.

Gli esempi in questa sezione mostrano come i valori dei tag associati si applicano alle interfacce di rete delle VM. Considera l'istanza VM instance1 di esempio con due interfacce di rete:

  • nic0 è connesso alla rete VPC network1
  • nic1 è connesso alla rete VPC network2

Entrambe le reti VPC si trovano nella stessa organizzazione.

Istanza VM con due interfacce di rete, ciascuna connessa a una rete VPC diversa.
Figura 1. Istanza VM con due interfacce di rete, ciascuna connessa a una rete VPC diversa (fai clic per ingrandire).

L'attributo purpose-data della chiave tag corrispondente determina la relazione tra i valori dei tag associati e le interfacce di rete delle VM.

Chiavi dei tag il cui attributo purpose-data specifica una rete VPC

Supponiamo di creare due chiavi dei tag con i seguenti attributi purpose-data e valori dei tag:

  • tag_key1 ha un attributo purpose-data che specifica la rete VPC network1 e due valori di tag tag_value1 e tag_value2.

  • tag_key2 ha un attributo purpose-data che specifica la rete VPC network2 e un valore tag tag_value3.

L'attributo "purpose-data" di ogni chiave tag specifica una singola rete VPC.
Figura 2. L'attributo purpose-data di ogni chiave tag specifica una singola rete VPC (fai clic per ingrandire).

Quando associ i valori dei tag sicuri tag_value1 e tag_value3 a instance1:

  • tag_value1 si applica all'interfaccia di rete nic0 perché il relativo elemento padre tag_key1 ha un attributo purpose-data che specifica la rete VPC network1 e l'interfaccia di rete nic0 si trova in network1.

  • tag_value3 si applica all'interfaccia di rete nic1 perché il relativo elemento padre tag_key2 ha un attributo purpose-data che specifica la rete VPC network2 e l'interfaccia di rete nic1 si trova in network2.

Il seguente diagramma mostra l'associazione dei valori dei tag dalle chiavi dei tag il cui attributo purpose-data specifica una singola rete VPC.

Valori dei tag associati dalle chiavi dei tag il cui attributo "purpose-data" specifica una singola rete VPC.
Figura 3. Valori dei tag associati dalle chiavi dei tag il cui attributo purpose-data specifica una singola rete VPC (fai clic per ingrandire).

Chiavi tag il cui attributo purpose-data specifica l'organizzazione

Supponiamo di creare due chiavi dei tag con i seguenti attributi purpose-data e valori dei tag:

  • tag_key3 ha un attributo purpose-data che specifica l'organizzazione principale e ha due valori di tag tag_value4 e tag_value5.

  • tag_key4 ha un attributo purpose-data che specifica l'organizzazione principale e ha un valore tag tag_value6.

L'attributo "purpose-data" di ogni chiave tag specifica l'organizzazione principale.
Figura 4. L'attributo purpose-data di ogni chiave tag specifica l'organizzazione principale (fai clic per ingrandire).

Quando associ il valore del tag tag_value4 a instance1:

  • tag_value4 si applica all'interfaccia di rete nic0 perché il relativo elemento principale tag_key3 ha un attributo purpose-data che specifica l'organizzazione principale contenente la rete VPC network1 e l'interfaccia di rete nic0 si trova in network1.

  • tag_value4 si applica anche all'interfaccia di rete nic1 perché il relativo elemento padre tag_key3 include un attributo purpose-data che specifica l'organizzazione padre che contiene la rete VPC network2. L'interfaccia di rete nic1 si trova in network2.

Il seguente diagramma mostra l'associazione dei valori dei tag dalle chiavi dei tag il cui attributo purpose-data specifica l'organizzazione principale.

Valori dei tag associati dalle chiavi dei tag il cui attributo "purpose-data" specifica l'organizzazione principale.
Figura 5. Valori dei tag associati dalle chiavi dei tag il cui attributo purpose-data specifica l'organizzazione principale (fai clic per ingrandire).

Configura i tag protetti

Il seguente flusso di lavoro fornisce una sequenza di passaggi di alto livello necessari per configurare i tag sicuri nelle policy del firewall.

  1. Puoi creare tag sicuri a livello di organizzazione o di progetto. Per creare un tag a livello di organizzazione, devi prima ricevere l'autorizzazione IAM dall'amministratore dell'organizzazione. Per saperne di più, consulta Concedi le autorizzazioni per i tag sicuri.

  2. Per creare un tag sicuro, devi prima creare una chiave tag. Questa chiave tag descrive il tag che stai creando. Per saperne di più, consulta Crea le chiavi e i valori dei tag sicuri.

  3. Dopo aver creato una chiave di tag sicuro, devi aggiungere i valori dei tag sicuri pertinenti. Per saperne di più, consulta Crea le chiavi e i valori dei tag sicuri. Per concedere agli utenti un accesso specifico per gestire le chiavi tag sicure e associare i valori tag alle risorse, utilizza la console Google Cloud . Per saperne di più, consulta Gestisci l'accesso ai tag.

  4. Dopo aver creato un tag sicuro, puoi utilizzarlo in una policy del firewall di rete o in una policy del firewall gerarchica. Per saperne di più, consulta Crea una policy del firewall gerarchica e Crea una policy del firewall di rete.

  5. Per consentire il traffico selezionato tra le VM con le chiavi dei tag di origine e le chiavi dei tag di destinazione, crea una regola della policy del firewall (di rete o gerarchica) con i valori dei tag di origine e di destinazione specifici. Per saperne di più, consulta Crea una regola della policy del firewall con tag sicuri.

  6. Dopo aver creato una chiave tag e aver concesso l'accesso appropriato sia alla chiave tag sia alla risorsa, è possibile associare un valore tag a un'istanza VM. Per saperne di più, consulta Associa tag sicuri.

Confronto tra tag sicuri e tag di rete

La seguente tabella riassume le differenze tra i tag sicuri e i tag di rete. Il segno di spunta indica che l'attributo è supportato, mentre il simbolo indica che l'attributo non è supportato.

Attributo Tag sicuro con l'attributo purpose-data che specifica una rete VPC Tag sicuro con l'attributo purpose-data che specifica l'organizzazione Tag di rete
Risorsa padre Progetto o organizzazione Progetto o organizzazione Progetto
Struttura e formato Chiave tag con un massimo di 1000 valori Chiave tag con un massimo di 1000 valori Stringa semplice
Controllo degli accessi Utilizzo di IAM Utilizzo di IAM Nessun controllo dell'accesso
Interfacce di rete applicabili
  • Regola firewall in entrata con valore del tag sicuro di origine: le origini includono le interfacce di rete VM nella rete VPC specificata dall'attributo purpose-data della chiave tag.
  • Regola firewall in entrata o in uscita con valore del tag sicuro di destinazione: le destinazioni includono le interfacce di rete delle VM nella rete VPC specificata dall'attributo purpose-data della chiave tag.
  • Regola firewall in entrata con valore del tag sicuro di origine: le origini includono le interfacce di rete delle VM in qualsiasi rete VPC dell'organizzazione principale.
  • Regola firewall in entrata o in uscita con valore del tag sicuro di destinazione: le destinazioni includono le interfacce di rete delle VM in qualsiasi rete VPC dell'organizzazione principale.
  • Regola firewall in entrata con tag di rete di origine: le origini includono le interfacce di rete delle VM in qualsiasi rete VPC utilizzata dalla VM se la rete ha regole firewall VPC che utilizzano il tag di rete di origine.
  • Regola firewall in entrata o in uscita con tag di rete di destinazione: le destinazioni includono le interfacce di rete delle VM in qualsiasi rete VPC utilizzata dalla VM se la rete ha regole firewall VPC che utilizzano il tag di rete di destinazione.
Supportato dalle regole nelle policy del firewall gerarchiche
Supportato dalle regole nelle policy del firewall di rete globali e regionali
Supportato dalle regole firewall VPC
Le regole firewall in entrata possono includere origini nelle reti VPC connesse tramite il peering di rete VPC 1 1
Le regole firewall in entrata possono includere origini in altri spoke VPC sull'hub NCC 1 1
1 Un valore del tag sicuro di origine può identificare le interfacce di rete in un'altra rete VPC se sono soddisfatte entrambe le seguenti condizioni:
  • L'attributo della chiave di tag purpose-data specifica l'altra rete VPC (o l'organizzazione principale contenente l'altra rete VPC)
  • L'altra rete VPC e la rete VPC che utilizza la policy del firewall sono connesse tramite il peering di rete VPC o sono entrambi spoke VPC sullo stesso hub NCC.

Passaggi successivi