Panoramica

Puoi utilizzare una singola richiesta da Google Cloud CLI o l'API Compute Engine per aggiornare in batch tutte le regole dei criteri firewall per i criteri firewall gerarchici e di rete. Ciò garantisce l'integrità del set di regole del criterio firewall. Utilizzando gli aggiornamenti batch, Cloud Next Generation Firewall offre un modo efficiente e gestibile per gestire gli aggiornamenti delle regole dei criteri firewall nei tuoi ambienti cloud.

Per ulteriori informazioni su come configurare l'aggiornamento batch, consulta Configurare gli aggiornamenti batch delle regole dei criteri firewall.

Autorizzazioni

Assicurati di disporre delle seguenti autorizzazioni per aggiornare in batch le regole del criterio firewall.

  • L'autorizzazione compute.firewallPolicies.get per esportare le regole dei criteri firewall gerarchici.
  • L'autorizzazione compute.firewallPolicies.update per importare le regole dei criteri firewall gerarchici.
  • L'autorizzazione compute.firewallPolicies.get per esportare le regole dei criteri firewall di rete.
  • L'autorizzazione compute.regionFirewallPolicies.get per esportare le regole dei criteri firewall di rete a livello di regione.
  • L'autorizzazione compute.firewallPolicies.update per importare le regole dei criteri firewall di rete.
  • L'autorizzazione compute.regionFirewallPolicies.update per importare le regole dei criteri firewall di rete regionali.

Per ulteriori informazioni sui ruoli e sulle autorizzazioni, vedi Ruoli di Compute Engine.

Specifica

L'aggiornamento batch delle regole del criterio firewall ha le seguenti specifiche:

  • Il processo di aggiornamento è di tipo atomico. Ciò significa che se si verifica un errore durante l'importazione delle regole, viene eseguito il rollback di tutte le modifiche e la regola del criterio firewall rimane nello stato precedente.

  • Quando si utilizzano le API REST per aggiornare le regole dei criteri firewall, le API REST richiedono un'impronta per il blocco ottimistico. Per maggiori informazioni, consulta Controllo ottico della contemporaneità. Per ottenere la fingerprint più recente, ti consigliamo di effettuare prima una richiesta get al criterio firewall. Una richiesta get al criterio firewall riceve la versione più recente del criterio, il che contribuisce a garantire che gli aggiornamenti siano basati sulla versione più recente del criterio. Ciò consente di evitare conflitti se vengono apportate modifiche contemporanee al criterio.

  • Quando utilizzi il metodo patch dell'API REST, puoi sostituire tutte le regole esistenti fornendo un elenco completamente nuovo nella richiesta.

  • Se è in corso un'operazione di policy firewall patch, non è possibile modificare le regole utilizzando metodi quali addRule, patchRule, removeRule o cloneRules. Questo aiuta a garantire che non ci siano modifiche in conflitto durante l'operazione di applicazione patch.

Configura aggiornamento batch

Il processo di aggiornamento batch prevede tre passaggi chiave:

  1. Esporta: esporta le regole del criterio firewall attuali.
  2. Modifica: apporta gli aggiornamenti batch richiesti alle regole del criterio firewall esportate.
  3. Importa: importa di nuovo il file modificato nelle regole del criterio firewall.

Per configurare l'aggiornamento batch alle regole del criterio firewall:

  1. Esporta le regole del criterio firewall. Per maggiori informazioni, consulta Esportare la regola del criterio firewall.

  2. Modifica il file esportato. Per aggiornare il file, procedi nel seguente modo:

    • Aggiungi nuove regole: assicurati che ogni nuova regola sia conforme allo schema FirewallPolicyRule.yaml.

    • Modifica le regole esistenti: modifica gli attributi delle regole che vuoi aggiornare. Questi attributi includono l'azione, la descrizione e le condizioni di corrispondenza in base alle quali viene valutato il traffico in entrata.

    • Elimina regole: rimuovi le voci relative alle regole del criterio firewall che vuoi eliminare.

    Per maggiori informazioni, consulta Modificare le regole dei criteri firewall.

  3. Importa di nuovo le regole nel criterio firewall. Per maggiori informazioni, consulta Importare le regole dei criteri firewall.

Passaggi successivi