セキュリティプロファイルグループの作成と管理

このページでは、Google Cloud コンソールと Google Cloud CLI を使用してセキュリティプロファイルグループを作成し、管理する方法について説明します。

注: このページに記載されているオペレーションの進行状況を確認するには、ユーザーロールに次の Compute ネットワークユーザーロール（roles/compute.networkUser）の権限が付与されていることを確認してください。

networksecurity.operations.get
networksecurity.operations.list

始める前に

プロジェクトで Network Security API を有効にする必要があります。
このガイドの gcloud コマンドラインのサンプルを実行する場合は、gcloud CLI をインストールします。
セキュリティプロファイルが必要です。

ロール

セキュリティプロファイルグループを作成、表示、更新、削除するために必要な権限を取得するには、組織に必要な IAM ロールの付与を管理者に依頼してください。ロールの付与の詳細については、アクセスの管理をご覧ください。

セキュリティプロファイルグループを作成する

threat prevention タイプのセキュリティプロファイルを作成できます。

セキュリティプロファイルグループを作成するときに、セキュリティプロファイルグループの名前を文字列または一意の URL 識別子として指定できます。組織スコープのセキュリティプロファイルグループの一意の URL は、次の形式で構成できます。

  organization/ORGANIZATION_ID/locations/LOCATION/securityProfileGroups/SECURITY_PROFILE_GROUP_NAME

セキュリティプロファイルグループ名に一意の URL 識別子を使用している場合、セキュリティプロファイルグループの組織とロケーションは URL 識別子にすでに含まれています。ただし、セキュリティプロファイルグループ名のみを使用する場合は、組織とロケーションを別々に指定する必要があります。一意の URL 識別子の詳細については、セキュリティプロファイルグループの仕様をご覧ください。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

networksecurity.securityProfileGroups.create

ロール

compute.networkAdmin

コンソールgcloud

Google Cloud コンソールで、[セキュリティプロファイル] ページに移動します。

[セキュリティプロファイル] に移動
プロジェクトセレクタのメニューで、組織を選択します。
[セキュリティプロファイルグループ] タブを選択します。

セキュリティプロファイルグループを構成します。

[プロファイルグループを作成] をクリックします。
必要に応じて、[名前] フィールドに名前を入力します。
セキュリティプロファイルグループの名前に、個人を特定できる情報やセキュリティデータなどの機密情報を含めないでください。
省略可: [説明] フィールドに説明を入力します。
[脅威防止プロファイル] リストで、このセキュリティプロファイルグループに追加するセキュリティプロファイルを選択します。
[作成] をクリックします。

セキュリティプロファイルグループを作成するには、gcloud network-security security-profile-groups create コマンドを使用します。

gcloud network-security security-profile-groups \
   create NAME \
   --organization ORGANIZATION_ID \
   --location LOCATION \
   --project PROJECT_ID \
   --threat-prevention-profile SECURITY_PROFILE_URL \
   --description DESCRIPTION

次のように置き換えます。

NAME: セキュリティプロファイルグループの名前。名前は文字列または一意の URL 識別子として指定できます。
セキュリティプロファイルグループの名前に、個人を特定できる情報やセキュリティデータなどの機密情報を含めないでください。
ORGANIZATION_ID: セキュリティプロファイルグループが作成される組織。name フラグに一意の URL 識別子を使用する場合、organization フラグは省略できます。
LOCATION: セキュリティプロファイルグループのロケーション。

ロケーションは常に global に設定されます。name フラグに一意の URL 識別子を使用する場合、location フラグは省略できます。
PROJECT_ID: セキュリティプロファイルグループの割り当てとアクセス制限に使用するプロジェクト ID（省略可）。
SECURITY_PROFILE_URL: セキュリティプロファイルの一意の URL 識別子。
DESCRIPTION: セキュリティプロファイルグループの説明（省略可）。

セキュリティプロファイルグループを表示する

組織内の特定のセキュリティプロファイルグループの詳細を表示できます。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

networksecurity.securityProfileGroups.get

ロール

compute.networkAdmin
compute.networkUser
compute.networkViewer

コンソールgcloud

Google Cloud コンソールで、[セキュリティプロファイル] ページに移動します。

[セキュリティプロファイル] に移動
[セキュリティプロファイルグループ] タブを選択します。このタブには、構成済みのセキュリティプロファイルグループのリストが表示されます。
セキュリティプロファイルグループを選択して、詳細を表示します。

セキュリティプロファイルグループの詳細を表示するには、gcloud network-security security-profile-groups describe コマンドを使用します。

gcloud network-security security-profile-groups \
    describe NAME \
    --organization ORGANIZATION_ID \
    --location LOCATION \
    --project PROJECT_ID

次のように置き換えます。

NAME: セキュリティプロファイルグループの名前。名前は文字列または一意の URL 識別子として指定できます。
ORGANIZATION_ID: セキュリティプロファイルグループが作成される組織。name フラグに一意の URL 識別子を使用する場合、organization フラグは省略できます。
LOCATION: セキュリティプロファイルグループのロケーション。

ロケーションは常に global に設定されます。name フラグに一意の URL 識別子を使用する場合、location フラグは省略できます。
PROJECT_ID: セキュリティプロファイルグループの割り当てとアクセス制限に使用するプロジェクト ID（省略可）。

セキュリティプロファイルグループを一覧表示する

組織内のすべてのセキュリティプロファイルグループを一覧表示できます。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

networksecurity.securityProfileGroups.list

ロール

compute.networkAdmin
compute.networkUser
compute.networkViewer

コンソールgcloud

Google Cloud コンソールで、[セキュリティプロファイル] ページに移動します。

[セキュリティプロファイル] に移動
[セキュリティプロファイルグループ] タブを選択します。このタブには、構成済みのセキュリティプロファイルグループのリストが表示されます。

セキュリティプロファイルグループを一覧表示するには、gcloud network-security security-profile-groups list コマンドを使用します。

gcloud network-security security-profile-groups list \
   --organization ORGANIZATION_ID \
   --location LOCATION \
   --billing-project PROJECT_ID

次のように置き換えます。

ORGANIZATION_ID: セキュリティプロファイルグループが作成される組織。name フラグに一意の URL 識別子を使用する場合、organization フラグは省略できます。
LOCATION: セキュリティプロファイルグループのロケーション。

ロケーションは常に global に設定されます。name フラグに一意の URL 識別子を使用する場合、location フラグは省略できます。
PROJECT_ID: セキュリティプロファイルグループの課金に使用するプロジェクト ID（省略可）。

セキュリティプロファイルグループを更新する

セキュリティプロファイルグループで参照されるセキュリティプロファイル名を更新できます。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

networksecurity.securityProfileGroups.update

ロール

compute.networkAdmin

コンソールgcloud

Google Cloud コンソールで、[セキュリティプロファイル] ページに移動します。

[セキュリティプロファイル] に移動
[セキュリティプロファイルグループ] タブを選択します。このタブには、構成済みのセキュリティプロファイルグループのリストが表示されます。
セキュリティプロファイルグループを選択して、[編集] をクリックします。
必須フィールドを更新して、[保存] をクリックします。

セキュリティプロファイルグループを更新するには、gcloud network-security security-profile-groups update コマンドを使用します。

gcloud network-security security-profile-groups \
   update NAME \
   --organization ORGANIZATION_ID \
   --location LOCATION \
   --threat-prevention-profile SECURITY_PROFILE_URL \
   --project PROJECT_ID \
   --description DESCRIPTION

次のように置き換えます。

NAME: 更新するセキュリティプロファイルグループの名前。名前は文字列または一意の URL 識別子として指定できます。
ORGANIZATION_ID: セキュリティプロファイルグループが作成される組織。name フラグに一意の URL 識別子を使用する場合、organization フラグは省略できます。
LOCATION: セキュリティプロファイルグループのロケーション。

ロケーションは常に global に設定されます。name フラグに一意の URL 識別子を使用する場合、location フラグは省略できます。
SECURITY_PROFILE_URL: セキュリティプロファイルの一意の URL 識別子。
PROJECT_ID: セキュリティプロファイルグループの割り当てとアクセス制限に使用するプロジェクト ID（省略可）。
DESCRIPTION: セキュリティプロファイルグループの説明（省略可）。

セキュリティプロファイルグループを削除する

セキュリティプロファイルグループは、名前、ロケーション、組織を指定して削除できます。ただし、ファイアウォールポリシーがセキュリティプロファイルを参照している場合、そのセキュリティプロファイルグループは削除できません。

このタスクに必要な権限

このタスクを実施するには、組織に対する次の権限または次の IAM ロールが付与されている必要があります。

権限

networksecurity.securityProfileGroups.delete

ロール

compute.networkAdmin

コンソールgcloud

Google Cloud コンソールで、[セキュリティプロファイル] ページに移動します。

[セキュリティプロファイル] に移動
[セキュリティプロファイルグループ] タブを選択します。このタブには、構成済みのセキュリティプロファイルグループのリストが表示されます。
セキュリティプロファイルグループを選択し、[削除] をクリックします。
もう一度 [削除] をクリックして確定します。

セキュリティプロファイルグループを削除するには、gcloud network-security security-profile-groups delete コマンドを使用します。

gcloud network-security security-profile-groups \
   delete NAME \
   --organization ORGANIZATION_ID \
   --location LOCATION \
   --billing-project PROJECT_ID

次のように置き換えます。

NAME: 削除するセキュリティプロファイルグループの名前。名前は文字列または一意の URL 識別子として指定できます。
ORGANIZATION_ID: セキュリティプロファイルグループが作成される組織。name フラグに一意の URL 識別子を使用する場合、organization フラグは省略できます。
LOCATION: セキュリティプロファイルグループのロケーション。

ロケーションは常に global に設定されます。name フラグに一意の URL 識別子を使用する場合、location フラグは省略できます。
PROJECT_ID: セキュリティプロファイルグループの割り当てとアクセス制限に使用するプロジェクト ID（省略可）。

次のステップ

ファイアウォールエンドポイントの作成と管理

セキュリティ プロファイル グループの作成と管理

始める前に

ロール

セキュリティ プロファイル グループを作成する

このタスクに必要な権限

セキュリティ プロファイル グループを表示する

このタスクに必要な権限

セキュリティ プロファイル グループを一覧表示する

このタスクに必要な権限

セキュリティ プロファイル グループを更新する

このタスクに必要な権限

セキュリティ プロファイル グループを削除する

このタスクに必要な権限

次のステップ

セキュリティプロファイルグループの作成と管理

セキュリティプロファイルグループを作成する

セキュリティプロファイルグループを表示する

セキュリティプロファイルグループを一覧表示する

セキュリティプロファイルグループを更新する

セキュリティプロファイルグループを削除する