创建和管理安全配置文件

本页面介绍如何使用 Google Cloud 控制台和 Google Cloud CLI 创建和管理安全配置文件。

注意：如需检查本页面中列出的操作的进度，请确保您的用户角色具有以下 Compute Network User 角色 (roles/compute.networkUser) 权限：

• networksecurity.operations.get
• networksecurity.operations.list

准备工作

• 您必须在项目中启用 Network Security API。
• 如果您要运行本指南中的 gcloud 命令行示例，请安装 gcloud CLI。

角色

如需获得创建、查看、更新或删除安全配置文件所需的权限，请让您的管理员向您授予组织的必要 IAM 角色。如需详细了解如何授予角色，请参阅管理访问权限。

创建安全配置文件

您只能创建 threat-prevention 类型的安全配置文件。

创建安全配置文件时，您可以将安全配置文件的名称指定为字符串或唯一网址标识符。组织级安全配置文件的唯一网址可以按以下格式构建：

  organization/ORGANIZATION_ID/locations/LOCATION/securityProfiles/SECURITY_PROFILE_NAME

如果您为安全配置文件名称使用唯一网址标识符，则安全配置文件的组织和位置已包含在网址标识符中。但是，如果您只使用安全配置文件名称，则必须单独指定组织和位置。如需详细了解唯一网址标识符，请参阅安全配置文件规范。

执行此任务所需的权限

如需执行此任务，您必须已被授予组织的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.create

角色

• compute.networkAdmin

控制台

1. 在 Google Cloud 控制台中，进入安全配置文件页面。

   进入“安全配置文件”

2. 在项目选择器菜单中，选择您的组织。

3. 选择安全配置文件标签页。

配置威胁防护安全配置文件：

1. 点击 Create profile（创建配置文件）。
2. 在名称字段中输入名称。
   请勿在安全配置文件名称中包含敏感信息，例如个人身份信息或安全数据。
3. 可选：在说明字段中输入说明。
4. 点击继续。

（可选）添加严重级别和威胁替换项：

1. 在严重级别替换项下，点击要替换的严重级别旁边的修改。
2. 在替换操作列表中，为严重级别选择适当的操作。
3. 如需添加威胁签名替换项，请点击按 ID 添加签名。
4. 在签名 ID 字段中，输入要替换的威胁 ID。您可以在威胁信息中心中查看威胁 ID。
5. 在替换操作列表中，为威胁 ID 选择适当的操作。
6. 点击创建。

gcloud

如需创建威胁防护安全配置文件，请使用 gcloud network-security security-profiles threat-prevention create 命令：

gcloud network-security security-profiles threat-prevention \
   create NAME \
   --organization ORGANIZATION_ID \
   --location LOCATION \
   --project PROJECT_ID \
   --description DESCRIPTION

替换以下内容：

• NAME：安全配置文件的名称；您可以将名称指定为字符串或唯一网址标识符。

  请勿在安全配置文件名称中包含敏感信息，例如个人身份信息或安全数据。

• ORGANIZATION_ID：创建安全配置文件的组织。如果您为 name 标志使用唯一网址标识符，则可以省略 organization 标志。

• LOCATION：安全配置文件的位置。

  位置始终设置为 global。如果您为 name 标志使用唯一网址标识符，则可以省略 location 标志。

• PROJECT_ID：用于安全配置文件的配额和访问权限限制的可选项目 ID。

• DESCRIPTION：安全配置文件的可选说明。

注意：如需使用 Google Cloud CLI 添加严重级别或威胁替换项，请参阅在安全配置文件中添加替换操作。

列出安全配置文件

您可以列出组织中的所有威胁防护安全配置文件。

执行此任务所需的权限

如需执行此任务，您必须已被授予组织的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.list

角色

• compute.networkAdmin
• compute.networkUser
• compute.networkViewer

控制台

1. 在 Google Cloud 控制台中，进入安全配置文件页面。

   进入“安全配置文件”

2. 选择安全配置文件标签页。该标签页会显示已配置的安全配置文件的列表。

gcloud

如需列出所有威胁防护安全配置文件，请使用 gcloud network-security security-profiles threat-prevention list 命令：

gcloud network-security security-profiles threat-prevention list \
   --organization ORGANIZATION_ID \
   --location LOCATION \
   --project PROJECT_ID

替换以下内容：

• ORGANIZATION_ID：创建安全配置文件的组织。

• LOCATION：安全配置文件的位置。位置始终设置为 global。

• PROJECT_ID：用于安全配置文件的配额和访问权限限制的可选项目 ID。

删除安全配置文件

您可以通过指定威胁防护安全配置文件的名称、位置和组织来删除它。但是，如果安全配置文件组引用了安全配置文件，则无法删除该安全配置文件。

执行此任务所需的权限

如需执行此任务，您必须已被授予组织的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.delete

角色

• compute.networkAdmin

控制台

1. 在 Google Cloud 控制台中，进入安全配置文件页面。

   进入“安全配置文件”

2. 选择安全配置文件标签页。该标签页会显示已配置的安全配置文件的列表。

3. 选择要删除的安全配置文件，然后点击删除。

4. 再次点击删除进行确认。

gcloud

如需删除威胁防护安全配置文件，请使用 gcloud network-security security-profiles threat-prevention delete 命令：

gcloud network-security security-profiles threat-prevention \
   delete NAME \
   --organization ORGANIZATION_ID \
   --location LOCATION \
   --project PROJECT_ID

替换以下内容：

• NAME：您要删除的安全配置文件的名称。您可以将名称指定为字符串或唯一网址标识符。

• ORGANIZATION_ID：创建安全配置文件的组织。如果您为 name 标志使用唯一网址标识符，则可以省略 organization 标志。

• LOCATION：安全配置文件的位置。

  位置始终设置为 global。如果您为 name 标志使用唯一网址标识符，则可以省略 location 标志。

• PROJECT_ID：用于安全配置文件的配额和访问权限限制的可选项目 ID。

在安全配置文件中添加替换操作

您可以替换现有安全配置文件中的特定威胁签名或严重级别关联的操作。

执行此任务所需的权限

如需执行此任务，您必须已被授予组织的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.update

角色

• compute.networkAdmin

控制台

1. 在 Google Cloud 控制台中，进入安全配置文件页面。

   进入“安全配置文件”

2. 选择安全配置文件标签页。该标签页会显示已配置的安全配置文件的列表。

3. 选择要替换操作的安全配置文件，然后点击修改。

4. 在严重级别替换项下，点击要替换的严重级别旁边的修改。

5. 在替换操作列表中，为严重级别选择适当的操作。

6. 点击确认。

7. 点击保存。

gcloud

如需向威胁防护安全配置文件添加替换项，请使用 gcloud network-security security-profiles threat-prevention add-override 命令：

gcloud network-security security-profiles threat-prevention \
   add-override NAME \
   --organization ORGANIZATION_ID \
   --location LOCATION \
   --project PROJECT_ID \
   [--severities SEVERITIES | --threat-ids THREAT_IDS] \
   --action ACTION

替换以下内容：

• NAME：安全配置文件的名称；您可以将名称指定为字符串或唯一网址标识符。

• ORGANIZATION_ID：创建安全配置文件的组织。

  如果您为 name 标志使用唯一网址标识符，则可以省略 organization 标志。

• LOCATION：安全配置文件的位置。

  位置始终设置为 global。如果您为 name 标志使用唯一网址标识符，则可以省略 location 标志。

• PROJECT_ID：用于安全配置文件的配额和访问权限限制的可选项目 ID。

• SEVERITIES：要替换操作的严重级别的逗号分隔列表。防火墙端点会将配置的 --action 标志应用于指定严重级别的所有威胁。严重级别可以是以下之一：

  • INFORMATIONAL
  • LOW
  • MEDIUM
  • HIGH
  • CRITICAL

• THREAT_IDS：要替换操作的威胁签名 ID 的逗号分隔列表。防火墙端点会将配置的 --action 标志应用于指定威胁 ID 的所有威胁。

  注意：您可以在单个命令中为 --severities 标志或 --threat-ids 标志指定操作替换项。如需为两者指定操作替换项，请运行带有必需标志的独立命令。

• ACTION：指定的威胁 ID 或严重级别的默认操作。操作可以是以下之一：

  • DEFAULT
  • ALLOW
  • DENY
  • ALERT
  注意：对于特定的威胁类型，某些操作是不允许的。

列出安全配置文件中的替换操作

您可以列出安全配置文件中的所有替换操作。

执行此任务所需的权限

如需执行此任务，您必须已被授予组织的以下权限或以下某个 IAM 角色。

权限

• networksecurity.addressGroups.list

角色

• compute.networkAdmin
• compute.networkUser

控制台

1. 在 Google Cloud 控制台中，进入安全配置文件页面。

   进入“安全配置文件”

2. 选择安全配置文件标签页。该标签页会显示已配置的安全配置文件的列表。

3. 选择安全配置文件以查看配置的严重级别替换操作和威胁签名替换操作。

gcloud

如需列出威胁防护安全配置文件中的所有替换操作，请使用 gcloud network-security security-profiles threat-prevention list-overrides 命令：

gcloud network-security security-profiles threat-prevention \
    list-overrides NAME \
    --organization ORGANIZATION_ID \
    --location LOCATION

替换以下内容：

• NAME：安全配置文件的名称；您可以将名称指定为字符串或唯一网址标识符。

• ORGANIZATION_ID：创建安全配置文件的组织。

  如果您为 name 标志使用唯一网址标识符，则可以省略 organization 标志。

• LOCATION：安全配置文件的位置。

  位置始终设置为 global。如果您为 name 标志使用唯一网址标识符，则可以省略 location 标志。

更新安全配置文件中的替换操作

您可以更新安全配置文件中严重级别或威胁签名的现有替换操作。

执行此任务所需的权限

如需执行此任务，您必须已被授予组织的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.update

角色

• compute.networkAdmin

控制台

1. 在 Google Cloud 控制台中，进入安全配置文件页面。

   进入“安全配置文件”

2. 选择安全配置文件标签页。该标签页会显示已配置的安全配置文件的列表。

3. 选择安全配置文件，然后点击修改。

4. 在严重级别替换项下，点击要更新替换操作的严重级别旁边的修改。

5. 在替换操作列表中，为严重级别选择适当的操作。

6. 点击确认。

7. 点击保存。

gcloud

如需更新威胁防护安全配置文件中的替换操作，请使用 gcloud network-security security-profiles threat-prevention update-override 命令：

gcloud network-security security-profiles threat-prevention \
   update-override NAME \
   --organization ORGANIZATION_ID \
   --location LOCATION \
   --project PROJECT_ID \
   [--severities SEVERITIES | --threat-ids THREAT_IDS] \
   --action ACTION

替换以下内容：

• NAME：安全配置文件的名称；您可以将名称指定为字符串或唯一网址标识符。

• ORGANIZATION_ID：创建安全配置文件的组织。

  如果您为 name 标志使用唯一网址标识符，则可以省略 organization 标志。

• LOCATION：安全配置文件的位置。

  位置始终设置为 global。如果您为 name 标志使用唯一网址标识符，则可以省略 location 标志。

• PROJECT_ID：用于安全配置文件的配额和访问权限限制的可选项目 ID。

• SEVERITIES：要更新替换项的严重级别的逗号分隔列表。严重级别可以是以下之一：

  • INFORMATIONAL
  • LOW
  • MEDIUM
  • HIGH
  • CRITICAL

• THREAT_IDS：要更新替换项的威胁签名 ID 的逗号分隔列表。

  注意：您可以在单个命令中为 --severities 标志或 --threat-ids 标志更新操作替换项。如需为两者指定操作替换项，请运行带有必需标志的独立命令。

• ACTION：指定的威胁 ID 或严重级别的默认操作。操作可以是以下之一：

  • DEFAULT
  • ALLOW
  • DENY
  • ALERT
  注意：对于特定的威胁类型，某些操作是不允许的。

从安全配置文件删除替换操作

您可以从安全配置文件中删除严重级别或威胁签名的现有替换操作。

执行此任务所需的权限

如需执行此任务，您必须已被授予组织的以下权限或以下某个 IAM 角色。

权限

• networksecurity.securityProfiles.delete

角色

• compute.networkAdmin

控制台

1. 在 Google Cloud 控制台中，进入安全配置文件页面。

   进入“安全配置文件”

2. 选择安全配置文件标签页。该标签页会显示已配置的安全配置文件的列表。

3. 选择安全配置文件，然后点击修改。

4. 在严重级别替换项下，点击要删除替换操作的严重级别旁边的修改。

5. 在替换操作列表中，选择禁止替换。

6. 点击确认。

7. 在签名替换项下，选择要删除的威胁 ID。

8. 点击删除。

9. 点击保存。

gcloud

如需从威胁防护安全配置文件中删除替换操作，请使用 gcloud network-security security-profiles threat-prevention delete-override 命令：

gcloud network-security security-profiles threat-prevention \
   delete-override NAME \
   --organization ORGANIZATION_ID \
   --location LOCATION \
   --project PROJECT_ID \
   [--severities SEVERITIES | --threat-ids THREAT_IDS]

替换以下内容：

• NAME：安全配置文件的名称；您可以将名称指定为字符串或唯一网址标识符。

• ORGANIZATION_ID：创建安全配置文件的组织。

  如果您为 name 标志使用唯一网址标识符，则可以省略 organization 标志。

• LOCATION：安全配置文件的位置。

  位置始终设置为 global。如果您为 name 标志使用唯一网址标识符，则可以省略 location 标志。

• PROJECT_ID：用于安全配置文件的配额和访问权限限制的可选项目 ID。

• SEVERITIES：要删除替换项的严重级别的逗号分隔列表。严重级别可以是以下之一：

  • INFORMATIONAL
  • LOW
  • MEDIUM
  • HIGH
  • CRITICAL

• THREAT_IDS：要删除替换项的威胁签名 ID 的逗号分隔列表。

后续步骤

• 创建和管理安全配置文件组
• 创建和管理防火墙端点