Adressgruppen in Firewallrichtlinien verwenden

Damit Sie Adressgruppen verwenden können, müssen Sie zuerst den Bereich der Adressgruppe bestimmen, die für Ihre Anforderung relevant ist. Der Bereich gibt die Ebene an, auf der die Adressgruppe in der Ressourcenhierarchie gilt.

Wenn Sie eine Adressgruppe in einer Firewallregel verwenden möchten, die für ein einzelnes Projekt gilt, verwenden Sie eine projektbezogene Adressgruppe.

Wenn Sie eine Adressgruppe in einer Firewall-Richtlinienregel verwenden möchten, die in der gesamten Hierarchie auf alle Ressourcen in einer Organisation oder einem Netzwerk anwendbar ist, verwenden Sie eine organisationsbezogene Adressgruppe.

Projektbezogene Adressgruppen

Dieser Abschnitt enthält detaillierte Informationen zum Verwalten von projektbezogenen Adressgruppen.

Projektbezogene Adressgruppen werden auf Projektebene definiert und gelten nur für das Projekt, in dem sie erstellt werden. Damit Sie eine Adressgruppe verwenden können, müssen Sie sie mit einer Firewallregel in einer globalen Netzwerk-Firewallrichtlinie oder mit einer regionalen Netzwerk-Firewallrichtlinie verknüpfen. Der Standort der Adressgruppe muss mit dem Standort der Firewallrichtlinie übereinstimmen, an der sie verwendet wird.

Adressgruppe erstellen

Der Containertyp der projektbezogenen Adressgruppe ist immer auf projects festgelegt.

Wenn Sie eine Adressgruppe erstellen, können Sie den Namen der Adressgruppe als String oder als eindeutige URL-ID angeben. Die eindeutige URL für eine projektbezogene Adressgruppe kann im folgenden Format erstellt werden:

projects/PROJECT_ID/locations/location/addressGroups/ADDRESS_GROUP_NAME

Wenn Sie für den Namen der Adressgruppe eine eindeutige URL-ID verwenden, ist der Standort der Adressgruppe bereits in der URL-ID enthalten. Wenn Sie jedoch nur den Namen der Adressgruppe verwenden, müssen Sie den Standort separat angeben. Weitere Informationen zu eindeutigen URL-Kennzeichnungen finden Sie unter Spezifikationen für Adressgruppen.

Eine Adressgruppe kann IPv4- oder IPv6-Elementtypen haben, aber nicht beides. Außerdem müssen Sie die maximale Elementkapazität für eine Adressgruppe angeben. Nachdem die Adressgruppe erstellt wurde, können Sie den Namen, den Elementtyp oder die Elementkapazität der Adressgruppe nicht mehr ändern.

gcloud

gcloud network-security address-groups create NAME \
   --type TYPE \
   --capacity CAPACITY \
   --location LOCATION \
   --description DESCRIPTION

Dabei gilt:

  • NAME: Name der Adressgruppe; Sie können den Namen als String oder als eindeutige URL-ID angeben

  • TYPE: Typ der Adressgruppe (IPv4 oder IPv6)

  • CAPACITY: Kapazität der Adressgruppe

  • LOCATION: Standort der Adressgruppe

    Dies kann auf global oder einen Regionscode (z. B. europe-west) gesetzt werden. Wenn Sie eine eindeutige URL-ID für den Parameter name verwenden, können Sie den Parameter location weglassen.

  • DESCRIPTION: Optionale Beschreibung für die Adressgruppe

Adressgruppe beschreiben

Um die Details einer Adressgruppe anzuzeigen, müssen Sie den Namen und den Standort der Adressgruppe angeben.

gcloud

gcloud network-security address-groups describe NAME \
    --location LOCATION

Beschreibung einer Adressgruppe aktualisieren

Name, Typ oder Kapazität der Adressgruppe können nicht aktualisiert werden. Sie können nur die Beschreibung der Adressgruppe aktualisieren.

gcloud

gcloud network-security address-groups update NAME \
    --description DESCRIPTION \
    --location LOCATION

Adressgruppen auflisten

Sie können alle Adressgruppen an einem Standort auflisten.

gcloud

gcloud network-security address-groups list \
    --location LOCATION

Adressgruppen löschen

Sie können eine Adressgruppe löschen. Geben Sie dazu ihren Namen und ihren Standort an. Wenn jedoch eine Firewallrichtlinie auf die Adressgruppe verweist, kann diese Adressgruppe nicht gelöscht werden.

gcloud

gcloud network-security address-groups delete NAME \
  --location LOCATION

Nach Instanzgruppenreferenzen suchen

Eine Adressgruppe wird von Firewallrichtlinien verwendet. Sie finden eine Liste aller Firewallrichtlinien, die eine bestimmte Adressgruppe verwenden.

gcloud

gcloud network-security address-groups list-references NAME \
    --location LOCATION

Einer Adressgruppe Elemente hinzufügen

Sie können einer Adressgruppe mehrere Elemente wie IP-Adressen oder IP-Bereiche hinzufügen. Wenn die Anfrage Elemente enthält, die bereits Teil der Adressgruppen sind, werden diese Elemente ignoriert. Wenn die Anfrage ungültige Elemente enthält, schlägt die gesamte Anfrage fehl.

gcloud

gcloud network-security address-groups add-items NAME \
    --items ITEMS \
    --location LOCATION

Dabei gilt:

  • NAME: Name der Adressgruppe; Sie können den Namen als String oder als eindeutige URL-ID angeben

  • ITEMS: durch Kommas getrennte Liste von IP-Adressen oder IP-Bereichen im CIDR-Format

  • LOCATION: Standort der Adressgruppe

    Dies kann auf global oder einen Regionscode (z. B. europe-west) gesetzt werden. Wenn Sie eine eindeutige URL-ID für den Parameter name verwenden, können Sie den Parameter location weglassen.

Element aus einer Adressgruppe entfernen

Sie können vorhandene Elemente aus einer Adressgruppe entfernen. Wenn eines der Elemente in der Anfrage ungültig ist, schlägt die Anfrage fehl. Wenn die Anfrage Elemente enthält, die nicht Teil der Adressgruppe sind, werden diese Elemente ignoriert.

gcloud

gcloud network-security address-groups remove-items NAME \
    --items ITEMS \
    --location LOCATION

Elemente aus einer anderen Adressgruppe klonen

Sie können Elemente von einer Adressgruppe in eine andere klonen. Beachten Sie die folgenden Richtlinien, um eine Adressgruppe zu klonen:

  • Beide Adressgruppen müssen vom gleichen Typ sein.
  • Beide Adressgruppen müssen sich in derselben Region befinden.
  • Achten Sie darauf, dass die neue Adressgruppe genügend Kapazität hat, um den Elementen der Quelladressgruppe zu entsprechen, die geklont werden.

  • Verwenden Sie das folgende eindeutige URL-Kennungsformat, um die Quelladressgruppe anzugeben:

    projects/PROJECT_ID/locations/location/addressGroups/ADDRESS_GROUP_NAME

    Weitere Informationen zu eindeutigen URL-Kennungen für Adressgruppen finden Sie unter Spezifikationen für Adressgruppen.

gcloud

gcloud network-security address-groups clone-items NAME \
    --source SOURCE_NAMED_LIST \
    --location LOCATION

Dabei gilt:

  • NAME: Name der Adressgruppe; Sie können den Namen als String oder als eindeutige URL-ID angeben

  • SOURCE_NAMED_LIST: eindeutige URL-ID der Quelladressgruppe, von der die Elemente geklont werden

  • LOCATION: Standort der Zieladressgruppe

    Dies kann auf global oder einen Regionscode (z. B. europe-west) gesetzt werden. Wenn Sie eine eindeutige URL-ID für den Parameter name verwenden, können Sie den Parameter location weglassen.

Adressgruppen auf Organisationsebene

Dieser Abschnitt enthält detaillierte Informationen zum Verwalten von organisationsbezogenen Adressgruppen.

Adressgruppen auf Organisationsebene werden auf Organisationsebene definiert und gelten für alle Ressourcen in der Organisation, wie in der Ressourcenhierarchie angegeben. Damit Sie eine Adressgruppe verwenden können, müssen Sie sie mit einer Firewall-Regel in einer hierarchischen Firewallrichtlinie, einer globalen Netzwerk-Firewallrichtlinie oder einer regionalen Netzwerk-Firewallrichtlinie verknüpfen.

Adressgruppe erstellen

Der Containertyp der organisationsbezogenen Adressgruppe ist immer auf organization gesetzt.

Wenn Sie eine Adressgruppe erstellen, können Sie den Namen der Adressgruppe als String oder als eindeutige URL-ID angeben. Die eindeutige URL für eine organisationsbezogene Adressgruppe kann im folgenden Format erstellt werden:

organization/ORGANIZATION_ID/locations/LOCATION/addressGroups/ADDRESS_GROUP_NAME

Wenn Sie für den Namen der Adressgruppe eine eindeutige URL-ID verwenden, ist die ID oder der Standort der Organisation bereits in der URL-ID enthalten. Wenn Sie jedoch nur den Namen der Adressgruppe verwenden, müssen Sie die ID der Organisation und den Standort angeben, an dem Sie die Adressgruppe definieren. Weitere Informationen zu eindeutigen URL-Kennzeichnungen finden Sie unter Spezifikationen für Adressgruppen.

Eine Adressgruppe kann IPv4- oder IPv6-Elementtypen haben, aber nicht beides. Außerdem müssen Sie die maximale Elementkapazität für eine Adressgruppe angeben. Nachdem die Adressgruppe erstellt wurde, können Sie den Namen, den Elementtyp oder die Elementkapazität der Adressgruppe nicht mehr ändern.

gcloud

gcloud network-security org-address-groups create NAME \
   --organization ORGANIZATION \
   --type TYPE \
   --capacity CAPACITY \
   --location LOCATION \
   --description DESCRIPTION

Dabei gilt:

  • NAME: Name der Adressgruppe; Sie können den Namen als String oder als eindeutige URL-ID angeben

  • ORGANIZATION: Organisations-ID, in der die Adressgruppe erstellt wird

    Wenn Sie eine eindeutige URL-ID für den Parameter name verwenden, können Sie den Parameter organization weglassen.

  • TYPE: Typ der Adressgruppe (IPv4 oder IPv6)

  • CAPACITY: Kapazität der Adressgruppe

  • LOCATION: Standort der Adressgruppe

    Dies kann auf global oder einen Regionscode (z. B. europe-west) gesetzt werden. Wenn Sie eine eindeutige URL-ID für den Parameter name verwenden, können Sie den Parameter location weglassen.

  • DESCRIPTION: Optionale Beschreibung für die Adressgruppe

Adressgruppe beschreiben

Sie können die Details einer bestimmten Adressgruppe aufrufen.

gcloud

gcloud network-security org-address-groups describe NAME \
    --organization ORGANIZATION \
    --location LOCATION

Beschreibung einer Adressgruppe aktualisieren

Name, Typ oder Kapazität der Adressgruppe können nicht aktualisiert werden. Sie können nur die Beschreibung der Adressgruppe aktualisieren.

gcloud

gcloud network-security org-address-groups update NAME \
    --organization ORGANIZATION \
    --description DESCRIPTION \
    --location LOCATION

Adressgruppen auflisten

Sie können alle Adressgruppen an einem Standort auflisten.

gcloud

gcloud network-security org-address-groups list \
    --organization ORGANIZATION \
    --location LOCATION

Adressgruppen löschen

Sie können eine Adressgruppe löschen. Geben Sie dazu ihren Namen, ihre Organisation und ihren Standort an. Wenn eine Firewallrichtlinie auf die Adressgruppe verweist, kann diese Adressgruppe nicht gelöscht werden.

gcloud

gcloud network-security org-address-groups delete NAME \
  --organization ORGANIZATION \
  --location LOCATION

Nach Instanzgruppenreferenzen suchen

Eine Adressgruppe wird von Firewallrichtlinien verwendet. Sie finden eine Liste aller Firewallrichtlinien, die eine bestimmte Adressgruppe verwenden.

gcloud

gcloud network-security org-address-groups list-references NAME \
    --organization ORGANIZATION \
    --location LOCATION

Einer Adressgruppe Elemente hinzufügen

Sie können einer Adressgruppe mehrere Elemente wie IP-Adressen oder IP-Bereiche hinzufügen. Wenn die Anfrage Elemente enthält, die bereits Teil der Adressgruppe sind, werden diese Elemente ignoriert. Wenn die Anfrage ungültige Elemente enthält, schlägt die gesamte Anfrage fehl.

gcloud

gcloud network-security org-address-groups add-items NAME \
    --organization ORGANIZATION \
    --items ITEMS \
    --location LOCATION

Dabei gilt:

  • NAME: Name der Adressgruppe; Sie können den Namen als String oder als eindeutige URL-ID angeben

  • ORGANIZATION: Organisations-ID, in der die Adressgruppe erstellt wird

    Wenn Sie eine eindeutige URL-ID für den Parameter name verwenden, können Sie den Parameter organization weglassen.

  • ITEMS: durch Kommas getrennte Liste von IP-Adressen oder IP-Bereichen im CIDR-Format

  • LOCATION: Standort der Adressgruppe

    Dies kann auf global oder einen Regionscode (z. B. europe-west) gesetzt werden. Wenn Sie eine eindeutige URL-ID für den Parameter name verwenden, können Sie den Parameter location weglassen.

Element aus einer Adressgruppe entfernen

Sie können vorhandene Elemente aus einer Adressgruppe entfernen. Wenn eines der Elemente in der Anfrage ungültig ist, schlägt die Anfrage fehl. Wenn die Anfrage Elemente enthält, die nicht Teil der Adressgruppe sind, werden diese Elemente ignoriert.

gcloud

gcloud network-security org-address-groups remove-items NAME \
    --organization ORGANIZATION \
    --items ITEMS \
    --location LOCATION

Elemente aus einer anderen Adressgruppe klonen

Sie können Elemente von einer Adressgruppe in eine andere klonen. Beachten Sie die folgenden Richtlinien, um eine Adressgruppe zu klonen:

  • Beide Adressgruppen müssen vom gleichen Typ sein.
  • Beide Adressgruppen müssen sich am selben Standort befinden.
  • Achten Sie darauf, dass die neue Adressgruppe genügend Kapazität hat, um den Elementen der Quelladressgruppe zu entsprechen, die geklont werden.

  • Um die Quelladressgruppe anzugeben, müssen Sie die folgende eindeutige URL-ID verwenden:

    organization/ORGANIZATION_ID/locations/LOCATION/addressGroups/ADDRESS_GROUP_NAME

    Weitere Informationen zu eindeutigen URL-Kennungen für Adressgruppen finden Sie unter Spezifikationen für Adressgruppen.

gcloud

gcloud network-security org-address-groups clone-items NAME \
    --organization ORGANIZATION \
    --source SOURCE_NAMED_LIST \
    --location LOCATION

Dabei gilt:

  • NAME: Name der Adressgruppe; Sie können den Namen als String oder als eindeutige URL-ID angeben

  • ORGANIZATION: Organisations-ID, in der die Adressgruppe erstellt wird

    Wenn Sie eine eindeutige URL-ID für den Parameter name verwenden, können Sie den Parameter organization weglassen.

  • SOURCE_NAMED_LIST: eindeutige URL-ID der Quelladressgruppe, von der die Elemente geklont werden

  • LOCATION: Standort der Zieladressgruppe

    Dies kann auf global oder einen Regionscode (z. B. europe-west) gesetzt werden. Wenn Sie eine eindeutige URL-ID für den Parameter name verwenden, können Sie den Parameter location weglassen.

Nächste Schritte