媒体 CDN 使用 Google Cloud Armor 安全政策防止不受欢迎的流量进入其服务。您可以根据以下内容允许或拒绝请求:
- IPv4 和 IPv6 地址和范围 (CIDR)
- 国家/地区代码(地理位置)
- 第 7 层过滤
借助这些功能,您可以仅限位于具有内容许可限制的特定位置的用户下载内容,仅允许公司 IP 地址访问测试或预演端点,以及拒绝一系列已知不良的客户端 IP 地址。
您可以通过插入具有可配置名称和值的自定义标头来装饰 Google Cloud Armor 允许的请求。
Google Cloud Armor 安全政策适用于从媒体 CDN 传送的所有内容,包括缓存内容和缓存未命中。
Google Cloud Armor 安全政策是按媒体 CDN 服务配置的,系统会一致地强制执行所有发往该服务 IP 地址(或主机名)的请求。不同的服务可以应用不同的安全政策,您可以根据需要为不同的地理位置创建多个服务。
如需在每位用户级别更精细地保护内容,我们建议您结合使用签名网址和签名 Cookie 与 Google Cloud Armor 政策。
如果 referer
标头设置为以下任何值,媒体 CDN 在对第 7 层标头过滤边缘安全政策的规则评估期间不会考虑该标头:
- 多个网址
- 相对网址
- 包含用户信息或片段组件的有效绝对网址
配置安全政策
请按照以下说明配置安全政策。
准备工作
如需将 Google Cloud Armor 安全政策附加到媒体 CDN 服务,请确保:
- 熟悉 Google Cloud Armor。
- 拥有要应用政策的现有媒体 CDN 服务。
- (可选但建议执行)为媒体 CDN 服务启用日志记录功能,以便识别被屏蔽的请求。
您还需要以下 Identity and Access Management 权限才能为媒体 CDN 服务授权和创建安全政策,并将其附加到其中:
compute.securityPolicies.addAssociation
compute.securityPolicies.create
compute.securityPolicies.delete
compute.securityPolicies.get
compute.securityPolicies.list
compute.securityPolicies.update
compute.securityPolicies.use
需要将现有证书附加到媒体 CDN 服务的用户只需要以下 IAM 权限:
compute.securityPolicies.get
compute.securityPolicies.list
compute.securityPolicies.use
roles/networkservices.edgeCacheUser
角色包含所有这些权限。
创建安全政策
Google Cloud Armor 安全政策由多条规则组成,每条规则定义了一组请求匹配条件(表达式)和一项操作。例如,表达式可以包含适用于印度客户端的匹配逻辑,相关操作为 allow
。如果请求与规则不匹配,Google Cloud Armor 会继续评估下一条规则,直到尝试完所有规则为止。
安全政策具有一项具有 allow
操作的默认规则。默认规则允许与上述规则不匹配的请求。如果您想仅 allow
与前面的规则匹配的请求并拒绝所有其他规则,则可以将其更改为 deny
规则。
以下示例展示了如何创建一条规则来阻止所有使用 HTTP 403 定位到澳大利亚的客户端,并允许所有其他请求。
gcloud
如需创建类型为 CLOUD_ARMOR_EDGE
的新政策,请使用 gcloud compute security-policies create
命令:
gcloud compute security-policies create block-australia \ --type="CLOUD_ARMOR_EDGE" --project="PROJECT_ID"
这将创建一个具有最低优先级 (priority: 2147483647
) 默认允许规则的政策:
Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/securityPolicies/block-australia].
然后,您可以添加优先级更高的规则:
gcloud compute security-policies rules create 1000 \ --security-policy=block-australia --description "block AU" \ --expression="origin.region_code == 'AU'" --action="deny-403"
输出如下所示:
Updated [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/securityPolicies/block-australia].
Terraform
如果检查该政策,您会看到两条规则:第一条规则会屏蔽源自澳大利亚 (origin.region_code == 'AU'
) 的请求,第二条规则的优先级最低,允许与优先级较高的规则不匹配的所有流量。
kind: compute#securityPolicy name: block-australia rules: - action: deny(403) description: block AU kind: compute#securityPolicyRule match: expr: expression: origin.region_code == 'AU' preview: false priority: 1000 - action: allow description: default rule kind: compute#securityPolicyRule match: config: srcIpRanges: - '*' versionedExpr: SRC_IPS_V1 preview: false priority: 2147483647 ruleNumber: '1' type: CLOUD_ARMOR_EDGE
将规则添加到安全政策
Google Cloud Armor 安全政策是与第 7 层属性匹配的规则集,用于保护面向外部的应用或服务。每条规则都针对传入流量进行评估。
以下特性可用于安全政策中的 HTTP 请求:request.headers
、request.method
、request.path
、request.scheme
和 request.query
。如需详细了解如何为安全政策规则编写表达式,请参阅 Google Cloud Armor 自定义规则语言参考文档。
Google Cloud Armor 安全政策规则包含匹配条件以及满足该条件时要执行的操作。
gcloud
如需为安全政策创建规则,请使用 gcloud compute security-policies rules create PRIORITY
命令。将 PRIORITY
替换为政策中规则的优先级:
gcloud compute security-policies rules create PRIORITY \ --security-policy POLICY_NAME \ --description DESCRIPTION \ --src-ip-ranges IP_RANGES | --expression EXPRESSION \ --action=[ allow | deny-403 | deny-404 | deny-502 ] \ --preview
将政策附加到服务
gcloud
如需将现有的 Google Cloud Armor 政策附加到媒体 CDN 服务,请使用 gcloud edge-cache services update
命令:
gcloud edge-cache services update MY_SERVICE \ --edge-security-policy=SECURITY_POLICY
更新安全政策中的规则
使用以下说明更新 Google Cloud Armor 安全政策中的单条规则。或者,您也可以以原子方式更新安全政策中的多条规则。
gcloud
使用 gcloud compute security-policies rules update
命令:
gcloud compute security-policies rules update PRIORITY [ \ --security-policy POLICY_NAME \ --description DESCRIPTION \ --src-ip-ranges IP_RANGES | --expression EXPRESSION \ --action=[ allow | deny-403 | deny-404 | deny-502 ] \ --preview ]
例如,以下命令将更新优先级为 1111 的规则,以允许来自 IP 地址范围 192.0.2.0/24 的流量:
gcloud compute security-policies rules update 1111 \ --security-policy my-policy \ --description "allow traffic from 192.0.2.0/24" \ --src-ip-ranges "192.0.2.0/24" \ --action "allow"
如需更新规则的优先级,必须使用 REST API。如需了解详情,请参阅 securityPolicies.patchRule
方法。
查看政策附件
如需查看附加到现有服务的政策,请检查(描述)该服务。
gcloud
如需查看附加到媒体 CDN 服务的 Google Cloud Armor 政策,请使用 gcloud edge-cache services describe
命令:
gcloud edge-cache services describe MY_SERVICE
该服务的 edgeSecurityPolicy
字段描述了附加的政策:
name: "MY_SERVICE" edgeSecurityPolicy: "SECURITY_POLICY
移除政策
如需移除现有政策,请更新关联的服务并将空字符串作为政策传递。
gcloud
使用 gcloud edge-cache services update
命令:
gcloud edge-cache services update MY_SERVICE
--edge-security-policy=""
现在,gcloud edge-cache services describe MY_SERVICE
命令的输出中省略了 edgeSecurityPolicy
字段。
示例
请考虑以下详细示例用例。
示例:找出被屏蔽的请求
您必须为指定的边缘缓存服务启用日志记录,才能记录被屏蔽的请求。
过滤政策允许或拒绝的请求会记录到 Logging 中。如需过滤被拒请求,以下用于 prod-video-service
配置的 Logging 查询应如下所示:
resource.type="edge_cache_service" jsonPayload.statusDetails="denied_by_security_policy"
示例:自定义响应代码
您可以对 Google Cloud Armor 规则进行配置,使其返回特定状态代码作为与给定规则关联的操作。在大多数情况下,最好返回 HTTP 403 (deny-403
) 代码,以明确表示客户端已被规则屏蔽。
支持的状态代码包括:
- HTTP 403(禁止)
- HTTP 404(未找到)
- HTTP 502(网关无效)
以下示例演示了如何配置返回的状态代码:
如需将某个 [allow | deny-403 | deny-404 | deny-502]
指定为与规则关联的操作,请运行以下命令。此示例将规则配置为返回 HTTP 502。
gcloud compute security-policies rules create 1000 \ --security-policy=block-australia --description "block AU" \ --expression="origin.region_code == 'AU'" --action="deny-502"
安全政策中的每条规则都可以定义不同的状态代码响应。
示例:拒绝某个国家/地区以外的客户端(允许的 IP 地址除外)
媒体传送中的一个常见情况是,拒绝来自您具有内容许可或付款机制所在区域之外的客户端的连接。
例如,您可能希望仅允许位于印度的客户端以及许可名单(包括内容合作伙伴和您自己的员工)在 192.0.2.0/24
范围内的任何 IP 地址,而拒绝所有其他 IP 地址。
使用 Google Cloud Armor 自定义规则语言,以下表达式可以实现这一目的:
origin.region_code == "IN" || inIpRange(origin.ip, '192.0.2.0/24')
此表达式配置为 allow
规则,并将默认的 deny
规则配置为匹配所有其他客户端。安全政策始终具有默认规则。您通常可以将此设置配置为未明确允许的 default deny
流量。在其他情况下,您可以选择屏蔽部分流量而 default allow
所有其他流量。
在安全政策输出中,请注意以下事项:
- 最高优先级 (
priority: 0
) 规则允许来自印度 OR 来自定义的 IP 地址列表的流量。 - 优先级最低的规则表示
default deny
。规则引擎会拒绝优先级较高的规则评估结果为 true 的所有客户端。 - 您可以使用boolean operators合并多条规则。
该政策允许来自印度境内客户端的流量,允许来自指定 IP 范围的客户端,并拒绝所有其他流量。
当您查看政策详情时,输出类似于以下内容:
kind: compute#securityPolicy name: allow-india-only type: "CLOUD_ARMOR_EDGE" rules: - action: allow description: '' kind: compute#securityPolicyRule match: expr: expression: origin.region_code == "IN" || inIpRange(origin.ip, '192.0.2.0/24') preview: false priority: 0 - action: deny(403) description: Default rule, higher priority overrides it kind: compute#securityPolicyRule match: config: srcIpRanges: - '*' versionedExpr: SRC_IPS_V1 preview: false priority: 2147483647
您还可以使用 {region_code}
标头变量设置自定义响应标头。您可以使用 JavaScript 检查此标头,并将其反映到客户端。
示例:按 IP 地址和 IP 范围屏蔽恶意客户端
使用 Google Cloud Armor 自定义规则语言,以下表达式可以实现这一目的:
inIpRange(origin.ip, '192.0.2.2/32') || inIpRange(origin.ip, '192.0.2.170/32')
您最多可以屏蔽 /8
掩码(对于 IPv4)和 /32
(对于 IPv6)。在线播放平台的一种常见情况是屏蔽代理或 VPN 提供商的出站 IP 范围,以最大限度地减少内容许可规避:
inIpRange(origin.ip, '192.0.2.0/24') || inIpRange(origin.ip, '198.51.100.0/24') || inIpRange(origin.ip, '203.0.113.0/24') || inIpRange(origin.ip, '2001:DB8::B33F:2002/64')
IPv4 和 IPv6 地址范围均受支持。
示例:仅允许使用固定的地理位置列表
如果您有国家/地区代码列表,则可以使用布尔运算符 ||
来组合匹配条件。
使用 Google Cloud Armor 自定义规则语言,以下表达式允许被识别为来自澳大利亚或新西兰的用户:
origin.region_code == "AU" || origin.region_code == "NZ"
此外,这可与 origin.ip
或 inIpRange(origin.ip,
'...')
表达式结合使用,以允许测试人员、合作伙伴和您的公司 IP 范围(即使他们并非来自指定的地理位置)。
记录了自定义表达式的每条规则的子表达式数量。如果您需要组合更多子表达式,请在一项政策中定义多条规则。
示例:屏蔽来自一组特定国家/地区的客户
一个不太常见的示例是禁止来自一组国家/地区的客户端,但允许来自所有其他国家/地区的请求。
为此,您需要创建一项政策来屏蔽国家/地区和任何无法确定其区域的客户端,然后针对所有其他请求采用默认的允许规则。
以下示例介绍的政策禁止来自加拿大的客户端,以及位置未知但允许所有其他流量的所有客户端:
kind: compute#securityPolicy name: block-canada type: "CLOUD_ARMOR_EDGE" rules: - action: deny(403) description: '' kind: compute#securityPolicyRule match: expr: expression: origin.region_code == "CA" || origin.region_code == "ZZ" preview: false priority: 0 - action: allow description: Default rule, higher priority overrides it kind: compute#securityPolicyRule match: config: srcIpRanges: - '*' versionedExpr: SRC_IPS_V1 preview: false priority: 2147483647
示例:拒绝对具有特定标头的缓存内容的请求
边缘安全政策适用于针对该政策所关联任何媒体 CDN 服务的所有请求。此政策的强制执行会在任何缓存查询之前执行。边缘安全政策不允许的请求会被拒绝,并返回配置的状态代码。
以下表达式与来自 IP 地址 1.2.3.4
且 user-agent
标头中包含字符串 user1
的请求匹配:
inIpRange(origin.ip, '1.2.3.4/32') && request.headers['user-agent'].contains('user1')
以下命令将过滤规则 105
添加到附加到媒体 CDN 服务的边缘安全政策 my-edge-policy
:
gcloud compute security-policies rules create 105 \ --security-policy my-edge-policy \ --expression = "inIpRange(origin.ip, '1.2.3.4/32') && request.headers['user-agent'].contains('charlie')" \ --action= deny-403 \ --description="block requests from IP addresses in which the user-agent header contains the string charlie"
记录强制执行操作
每个请求日志都会详细说明应用了哪些安全政策,以及请求是被允许 (ALLOW
) 还是被拒绝 (DENY
) 的。
如需启用日志记录,请确保在您的服务上将 logConfig.enable
设置为 true
。未启用日志的服务不会记录安全政策事件。
当客户端位于美国境外时,如果一项名为 deny-non-us-clients
的安全政策实施了拒绝源自美国境外的请求,则以下日志条目是被拒绝的请求的日志条目:
enforcedSecurityPolicy: name: deny-non-us-clients outcome: DENY
未附加 Google Cloud Armor 政策的服务包含 no_policy
作为 enforcedSecurityPolicy.name
的值,outcome
为 ALLOW
。例如,未附加政策的服务的 request log 条目具有以下值:
enforcedSecurityPolicy: name: no_policy outcome: ALLOW
了解 GeoIP 分类
媒体 CDN 依赖 Google 的内部 IP 分类数据源从 IP 地址中获取位置(区域、州、省/直辖市/自治区或城市)。如果要从多个提供商迁移或拆分流量,则少量 IP 地址有时可能与不同的位置相关联。
- Google Cloud Armor 使用 ISO 3166-1 alpha 2 区域代码将客户端与地理位置相关联。
- 例如,
US
表示美国,AU
表示澳大利亚。 - 在某些情况下,一个区域对应一个国家/地区,但并非总是如此。例如,
US
代码包含美国各州、一个特区和六个美国本土外地区。 - 如需了解详情,请参阅 Unicode 技术标准中的 unicode_region_subtag。
- 对于无法获取位置的客户端,
origin.region_code
会设置为ZZ
。
您可以向媒体 CDN 端点添加地理位置数据以响应标头(使用 routing.routeRules[].headerActions[].responseHeadersToAdd[]
),也可以反映提供给 Cloud Functions 函数的地理位置数据,以在初始集成和测试期间验证地理位置 IP 数据源之间的任何差异。
此外,媒体 CDN 请求日志包含 clientRegion
和其他特定于客户端的数据,您可以针对现有数据源验证这些数据。
后续步骤
- 了解如何使用签名请求按用户授权内容。
- 查看 Google Cloud Armor 规则参考文档,了解如何表示和组合 IP 和地理位置匹配规则。
- 参阅日志记录文档,了解如何查询请求日志并检查哪些请求已被屏蔽。