セキュリティ プロファイル グループは、セキュリティ プロファイルのコンテナです。ファイアウォール ポリシールールは、セキュリティ プロファイル グループを参照して、ネットワーク侵入防止などのレイヤ 7 検査を有効にします。
このドキュメントでは、セキュリティ プロファイル グループとその機能について詳しく説明します。
仕様
セキュリティ プロファイル グループは組織レベルのリソースです。
セキュリティ プロファイル グループには、
threat-preventionタイプのセキュリティ プロファイルを 1 つだけ追加できます。各セキュリティ プロファイル グループは、次の要素を含む URL で一意に識別されます。
- 組織 ID: 組織の ID。
- ロケーション: セキュリティ プロファイル グループのスコープ。ロケーションは常に
globalに設定されます。 - 名前: セキュリティ プロファイル グループ名。次の形式で指定します。
- 1～63 文字の文字列
- 英数字とハイフン（-）のみを使用
- 先頭は数字以外
セキュリティ プロファイル グループの一意の URL 識別子を作成するには、次の形式を使用します。
organization/ORGANIZATION_ID/locations/LOCATION/securityProfileGroups/SECURITY_PROFILE_GROUP_NAMEたとえば、組織
2345678432のglobalセキュリティ プロファイルexample-security-profile-groupには、次のような固有識別子を設定します。organization/2345678432/locations/global/securityProfileGroups/example-security-profile-groupネットワーク トラフィックのレイヤ 7 検査を行うには、ファイアウォール エンドポイントで使用されるセキュリティ プロファイル グループの名前をファイアウォール ポリシールールに含める必要があります。
セキュリティ プロファイル グループは、アクション
apply_security_profile_groupを使用してファイアウォール ポリシー ルールを追加する場合にのみ、ファイアウォール ポリシーに適用されます。セキュリティ プロファイル グループは、階層型ファイアウォール ポリシー ルールとグローバル ネットワーク ファイアウォール ポリシー ルールで構成できます。ファイアウォール ポリシー ルールは、Virtual Private Cloud（VPC）ネットワークの受信トラフィックと送信トラフィックに適用されます。一致したトラフィックは、構成済みのセキュリティ プロファイル グループ名とともにファイアウォール エンドポイントにリダイレクトされます。ファイアウォール エンドポイントは、セキュリティ プロファイル グループで指定されたセキュリティ プロファイルを使用して、パケットの脅威をスキャンし、構成済みのアクションを適用します。
脅威防止の構成方法については、侵入防止サービスを構成するをご覧ください。
各セキュリティ プロファイル グループにはプロジェクト ID が関連付けられている必要があります。関連付けられたプロジェクトは、セキュリティ プロファイル グループ リソースに対する割り当てとアクセス制限に使用されます。
gcloud auth activate-service-accountコマンドを使用してサービス アカウントを認証する場合は、サービス アカウントをセキュリティ プロファイル グループに関連付けることができます。プロファイル グループを作成する詳しい方法については、セキュリティ プロファイル グループの作成と管理をご覧ください。
Identity and Access Management ロール
Identity and Access Management（IAM）のロールは、次のセキュリティ プロファイル グループのアクションを管理します。
- 組織でのセキュリティ プロファイル グループの作成
- セキュリティ プロファイル グループの変更または削除
- セキュリティ プロファイル グループの詳細の表示
- 組織内のセキュリティ プロファイル グループの一覧表示
- ファイアウォール ポリシー ルールでのセキュリティ プロファイル グループの使用
次の表に、各ステップに必要なロールを示します。
| 機能 | 必要なロール |
|---|---|
| セキュリティ プロファイル グループを作成する | セキュリティ プロファイル グループが作成される組織に対する compute.networkAdmin ロール。 |
| セキュリティ プロファイル グループを変更する | セキュリティ プロファイル グループが作成される組織に対する compute.networkAdmin ロール。 |
| 組織のセキュリティ プロファイル グループの詳細を表示する | 組織に対する次のいずれかのロール: compute.networkAdmin compute.networkViewer compute.networkUser |
| 組織内のすべてのセキュリティ プロファイル グループを表示する | 組織に対する次のいずれかのロール: compute.networkAdmin compute.networkViewer compute.networkUser |
| ファイアウォール ポリシー ルールでセキュリティ プロファイル グループを使用する | 組織に対する次のいずれかのロール: compute.networkAdmin compute.networkUser |