此页面由 Cloud Translation API 翻译。

配置安全政策

媒体 CDN 使用 Google Cloud Armor 安全政策防止不受欢迎的流量进入其服务。您可以根据以下内容允许或拒绝请求：

IPv4 和 IPv6 地址和范围 (CIDR)
国家/地区代码（地理位置）
第 7 层过滤

借助这些功能，您可以仅限位于具有内容许可限制的特定位置的用户下载内容，仅允许公司 IP 地址访问测试或预演端点，以及拒绝一系列已知不良的客户端 IP 地址。

您可以通过插入具有可配置名称和值的自定义标头来装饰 Google Cloud Armor 允许的请求。

Google Cloud Armor 安全政策适用于从媒体 CDN 传送的所有内容，包括缓存内容和缓存未命中。

Google Cloud Armor 安全政策是按媒体 CDN 服务配置的，系统会一致地强制执行所有发往该服务 IP 地址（或主机名）的请求。不同的服务可以应用不同的安全政策，您可以根据需要为不同的地理位置创建多个服务。

如需在每位用户级别更精细地保护内容，我们建议您结合使用签名网址和签名 Cookie 与 Google Cloud Armor 政策。

如果 referer 标头设置为以下任何值，媒体 CDN 在对第 7 层标头过滤边缘安全政策的规则评估期间不会考虑该标头：

多个网址
相对网址
包含用户信息或片段组件的有效绝对网址

配置安全政策

请按照以下说明配置安全政策。

准备工作

如需将 Google Cloud Armor 安全政策附加到媒体 CDN 服务，请确保：

熟悉 Google Cloud Armor。
拥有要应用政策的现有媒体 CDN 服务。
（可选但建议执行）为媒体 CDN 服务启用日志记录功能，以便识别被屏蔽的请求。

您还需要以下 Identity and Access Management 权限才能为媒体 CDN 服务授权和创建安全政策，并将其附加到其中：

compute.securityPolicies.addAssociation
compute.securityPolicies.create
compute.securityPolicies.delete
compute.securityPolicies.get
compute.securityPolicies.list
compute.securityPolicies.update
compute.securityPolicies.use

需要将现有证书附加到媒体 CDN 服务的用户只需要以下 IAM 权限：

compute.securityPolicies.get
compute.securityPolicies.list
compute.securityPolicies.use

roles/networkservices.edgeCacheUser 角色包含所有这些权限。

创建安全政策

Google Cloud Armor 安全政策由多条规则组成，每条规则定义了一组请求匹配条件（表达式）和一项操作。例如，表达式可以包含适用于印度客户端的匹配逻辑，相关操作为 allow。如果请求与规则不匹配，Google Cloud Armor 会继续评估下一条规则，直到尝试完所有规则为止。

安全政策具有一项具有 allow 操作的默认规则。默认规则允许与上述规则不匹配的请求。如果您想仅 allow 与前面的规则匹配的请求并拒绝所有其他规则，则可以将其更改为 deny 规则。

以下示例展示了如何创建一条规则来阻止所有使用 HTTP 403 定位到澳大利亚的客户端，并允许所有其他请求。

gcloud

如需创建类型为 CLOUD_ARMOR_EDGE 的新政策，请使用 gcloud compute security-policies create 命令：

gcloud compute security-policies create block-australia \
    --type="CLOUD_ARMOR_EDGE" --project="PROJECT_ID"

这将创建一个具有最低优先级 (priority: 2147483647) 默认允许规则的政策：

Created [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/securityPolicies/block-australia].

然后，您可以添加优先级更高的规则：

gcloud compute security-policies rules create 1000 \
    --security-policy=block-australia --description "block AU" \
    --expression="origin.region_code == 'AU'" --action="deny-403"

输出如下所示：

Updated [https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/securityPolicies/block-australia].

Terraform

resource "google_compute_security_policy" "default" {
  name        = "block-australia"
  type        = "CLOUD_ARMOR_EDGE"
  description = "block AU"

  rule {
    action      = "deny(403)"
    description = "block AU"
    priority    = "1000"
    match {
      expr {
        expression = "origin.region_code == 'AU'"
      }
    }
  }
  rule {
    action   = "allow"
    priority = "2147483647"
    match {
      versioned_expr = "SRC_IPS_V1"
      config {
        src_ip_ranges = ["*"]
      }
    }
    description = "default rule"
  }
}

如果检查该政策，您会看到两条规则：第一条规则会屏蔽源自澳大利亚 (origin.region_code == 'AU') 的请求，第二条规则的优先级最低，允许与优先级较高的规则不匹配的所有流量。

kind: compute#securityPolicy
name: block-australia
rules:
- action: deny(403)
  description: block AU
  kind: compute#securityPolicyRule
  match:
    expr:
      expression: origin.region_code == 'AU'
  preview: false
  priority: 1000
- action: allow
  description: default rule
  kind: compute#securityPolicyRule
  match:
    config:
      srcIpRanges:
      - '*'
    versionedExpr: SRC_IPS_V1
  preview: false
  priority: 2147483647
  ruleNumber: '1'
type: CLOUD_ARMOR_EDGE

将规则添加到安全政策

Google Cloud Armor 安全政策是与第 7 层属性匹配的规则集，用于保护面向外部的应用或服务。每条规则都针对传入流量进行评估。

以下特性可用于安全政策中的 HTTP 请求：request.headers、request.method、request.path、request.scheme 和 request.query。如需详细了解如何为安全政策规则编写表达式，请参阅 Google Cloud Armor 自定义规则语言参考文档。

Google Cloud Armor 安全政策规则包含匹配条件以及满足该条件时要执行的操作。

gcloud

如需为安全政策创建规则，请使用 gcloud compute security-policies rules create PRIORITY 命令。将 PRIORITY 替换为政策中规则的优先级：

gcloud compute security-policies rules create PRIORITY \
    --security-policy POLICY_NAME \
    --description DESCRIPTION \
    --src-ip-ranges IP_RANGES | --expression EXPRESSION \
    --action=[ allow | deny-403 | deny-404 | deny-502 ] \
    --preview

将政策附加到服务

gcloud

如需将现有的 Google Cloud Armor 政策附加到媒体 CDN 服务，请使用 gcloud edge-cache services update 命令：

gcloud edge-cache services update MY_SERVICE \
    --edge-security-policy=SECURITY_POLICY

更新安全政策中的规则

使用以下说明更新 Google Cloud Armor 安全政策中的单条规则。或者，您也可以以原子方式更新安全政策中的多条规则。

gcloud

使用 gcloud compute security-policies rules update 命令：

gcloud compute security-policies rules update PRIORITY [ \
    --security-policy POLICY_NAME  \
    --description DESCRIPTION  \
    --src-ip-ranges IP_RANGES  | --expression EXPRESSION \
    --action=[ allow | deny-403 | deny-404 | deny-502 ]  \
    --preview
  ]

例如，以下命令将更新优先级为 1111 的规则，以允许来自 IP 地址范围 192.0.2.0/24 的流量：

gcloud compute security-policies rules update 1111 \
    --security-policy my-policy \
    --description "allow traffic from 192.0.2.0/24" \
    --src-ip-ranges "192.0.2.0/24" \
    --action "allow"

如需更新规则的优先级，必须使用 REST API。如需了解详情，请参阅 securityPolicies.patchRule 方法。

查看政策附件

如需查看附加到现有服务的政策，请检查（描述）该服务。

gcloud

如需查看附加到媒体 CDN 服务的 Google Cloud Armor 政策，请使用 gcloud edge-cache services describe 命令：

gcloud edge-cache services describe MY_SERVICE

该服务的 edgeSecurityPolicy 字段描述了附加的政策：

name: "MY_SERVICE"
edgeSecurityPolicy: "SECURITY_POLICY

移除政策

如需移除现有政策，请更新关联的服务并将空字符串作为政策传递。

gcloud

使用 gcloud edge-cache services update 命令：

gcloud edge-cache services update MY_SERVICE 

  --edge-security-policy=""

现在，gcloud edge-cache services describe MY_SERVICE 命令的输出中省略了 edgeSecurityPolicy 字段。

示例

请考虑以下详细示例用例。

示例：找出被屏蔽的请求

您必须为指定的边缘缓存服务启用日志记录，才能记录被屏蔽的请求。

过滤政策允许或拒绝的请求会记录到 Logging 中。如需过滤被拒请求，以下用于 prod-video-service 配置的 Logging 查询应如下所示：

resource.type="edge_cache_service"
jsonPayload.statusDetails="denied_by_security_policy"

示例：自定义响应代码

您可以对 Google Cloud Armor 规则进行配置，使其返回特定状态代码作为与给定规则关联的操作。在大多数情况下，最好返回 HTTP 403 (deny-403) 代码，以明确表示客户端已被规则屏蔽。

支持的状态代码包括：

HTTP 403（禁止）
HTTP 404（未找到）
HTTP 502（网关无效）

以下示例演示了如何配置返回的状态代码：

如需将某个 [allow | deny-403 | deny-404 | deny-502] 指定为与规则关联的操作，请运行以下命令。此示例将规则配置为返回 HTTP 502。

gcloud compute security-policies rules create 1000 \
    --security-policy=block-australia --description "block AU" \
    --expression="origin.region_code == 'AU'" --action="deny-502"

安全政策中的每条规则都可以定义不同的状态代码响应。

示例：拒绝某个国家/地区以外的客户端（允许的 IP 地址除外）

媒体传送中的一个常见情况是，拒绝来自您具有内容许可或付款机制所在区域之外的客户端的连接。

例如，您可能希望仅允许位于印度的客户端以及许可名单（包括内容合作伙伴和您自己的员工）在 192.0.2.0/24 范围内的任何 IP 地址，而拒绝所有其他 IP 地址。

使用 Google Cloud Armor 自定义规则语言，以下表达式可以实现这一目的：

origin.region_code == "IN" || inIpRange(origin.ip, '192.0.2.0/24')

此表达式配置为 allow 规则，并将默认的 deny 规则配置为匹配所有其他客户端。安全政策始终具有默认规则。您通常可以将此设置配置为未明确允许的 default deny 流量。在其他情况下，您可以选择屏蔽部分流量而 default allow 所有其他流量。

在安全政策输出中，请注意以下事项：

最高优先级 (priority: 0) 规则允许来自印度 OR 来自定义的 IP 地址列表的流量。
优先级最低的规则表示 default deny。规则引擎会拒绝优先级较高的规则评估结果为 true 的所有客户端。
您可以使用boolean operators合并多条规则。

该政策允许来自印度境内客户端的流量，允许来自指定 IP 范围的客户端，并拒绝所有其他流量。

当您查看政策详情时，输出类似于以下内容：

kind: compute#securityPolicy
name: allow-india-only
type: "CLOUD_ARMOR_EDGE"
rules:
- action: allow
  description: ''
  kind: compute#securityPolicyRule
  match:
    expr:
      expression: origin.region_code == "IN" || inIpRange(origin.ip, '192.0.2.0/24')
  preview: false
  priority: 0
- action: deny(403)
  description: Default rule, higher priority overrides it
  kind: compute#securityPolicyRule
  match:
    config:
      srcIpRanges:
      - '*'
    versionedExpr: SRC_IPS_V1
  preview: false
  priority: 2147483647

您还可以使用 {region_code} 标头变量设置自定义响应标头。您可以使用 JavaScript 检查此标头，并将其反映到客户端。

示例：按 IP 地址和 IP 范围屏蔽恶意客户端

使用 Google Cloud Armor 自定义规则语言，以下表达式可以实现这一目的：

inIpRange(origin.ip, '192.0.2.2/32') || inIpRange(origin.ip, '192.0.2.170/32')

您最多可以屏蔽 /8 掩码（对于 IPv4）和 /32（对于 IPv6）。在线播放平台的一种常见情况是屏蔽代理或 VPN 提供商的出站 IP 范围，以最大限度地减少内容许可规避：

inIpRange(origin.ip, '192.0.2.0/24') || inIpRange(origin.ip, '198.51.100.0/24') || inIpRange(origin.ip, '203.0.113.0/24') || inIpRange(origin.ip, '2001:DB8::B33F:2002/64')

IPv4 和 IPv6 地址范围均受支持。

示例：仅允许使用固定的地理位置列表

如果您有国家/地区代码列表，则可以使用布尔运算符 || 来组合匹配条件。

使用 Google Cloud Armor 自定义规则语言，以下表达式允许被识别为来自澳大利亚或新西兰的用户：

origin.region_code == "AU" || origin.region_code == "NZ"

此外，这可与 origin.ip 或 inIpRange(origin.ip, '...') 表达式结合使用，以允许测试人员、合作伙伴和您的公司 IP 范围（即使他们并非来自指定的地理位置）。

记录了自定义表达式的每条规则的子表达式数量。如果您需要组合更多子表达式，请在一项政策中定义多条规则。

示例：屏蔽来自一组特定国家/地区的客户

一个不太常见的示例是禁止来自一组国家/地区的客户端，但允许来自所有其他国家/地区的请求。

为此，您需要创建一项政策来屏蔽国家/地区和任何无法确定其区域的客户端，然后针对所有其他请求采用默认的允许规则。

以下示例介绍的政策禁止来自加拿大的客户端，以及位置未知但允许所有其他流量的所有客户端：

  kind: compute#securityPolicy
  name: block-canada
  type: "CLOUD_ARMOR_EDGE"
  rules:
  - action: deny(403)
    description: ''
    kind: compute#securityPolicyRule
    match:
      expr:
        expression: origin.region_code == "CA" || origin.region_code == "ZZ"
    preview: false
    priority: 0
  - action: allow
    description: Default rule, higher priority overrides it
    kind: compute#securityPolicyRule
    match:
      config:
        srcIpRanges:
        - '*'
      versionedExpr: SRC_IPS_V1
    preview: false
    priority: 2147483647

示例：拒绝对具有特定标头的缓存内容的请求

边缘安全政策适用于针对该政策所关联任何媒体 CDN 服务的所有请求。此政策的强制执行会在任何缓存查询之前执行。边缘安全政策不允许的请求会被拒绝，并返回配置的状态代码。

以下表达式与来自 IP 地址 1.2.3.4 且 user-agent 标头中包含字符串 user1 的请求匹配：

inIpRange(origin.ip, '1.2.3.4/32') && request.headers['user-agent'].contains('user1')

以下命令将过滤规则 105 添加到附加到媒体 CDN 服务的边缘安全政策 my-edge-policy：

gcloud compute security-policies rules create 105 \
    --security-policy my-edge-policy \
    --expression = "inIpRange(origin.ip, '1.2.3.4/32') && request.headers['user-agent'].contains('charlie')" \
    --action= deny-403 \
    --description="block requests from IP addresses in which the user-agent header contains the string charlie"

记录强制执行操作

每个请求日志都会详细说明应用了哪些安全政策，以及请求是被允许 (ALLOW) 还是被拒绝 (DENY) 的。

如需启用日志记录，请确保在您的服务上将 logConfig.enable 设置为 true。未启用日志的服务不会记录安全政策事件。

当客户端位于美国境外时，如果一项名为 deny-non-us-clients 的安全政策实施了拒绝源自美国境外的请求，则以下日志条目是被拒绝的请求的日志条目：

enforcedSecurityPolicy:
  name: deny-non-us-clients
  outcome: DENY

未附加 Google Cloud Armor 政策的服务包含 no_policy 作为 enforcedSecurityPolicy.name 的值，outcome 为 ALLOW。例如，未附加政策的服务的 request log 条目具有以下值：

enforcedSecurityPolicy:
  name: no_policy
  outcome: ALLOW

了解 GeoIP 分类

媒体 CDN 依赖 Google 的内部 IP 分类数据源从 IP 地址中获取位置（区域、州、省/直辖市/自治区或城市）。如果要从多个提供商迁移或拆分流量，则少量 IP 地址有时可能与不同的位置相关联。

Google Cloud Armor 使用 ISO 3166-1 alpha 2 区域代码将客户端与地理位置相关联。
例如，US 表示美国，AU 表示澳大利亚。
在某些情况下，一个区域对应一个国家/地区，但并非总是如此。例如，US 代码包含美国各州、一个特区和六个美国本土外地区。
如需了解详情，请参阅 Unicode 技术标准中的 unicode_region_subtag。
对于无法获取位置的客户端，origin.region_code 会设置为 ZZ。

您可以向媒体 CDN 端点添加地理位置数据以响应标头（使用 routing.routeRules[].headerActions[].responseHeadersToAdd[]），也可以反映提供给 Cloud Functions 函数的地理位置数据，以在初始集成和测试期间验证地理位置 IP 数据源之间的任何差异。

此外，媒体 CDN 请求日志包含 clientRegion 和其他特定于客户端的数据，您可以针对现有数据源验证这些数据。

后续步骤

了解如何使用签名请求按用户授权内容。
查看 Google Cloud Armor 规则参考文档，了解如何表示和组合 IP 和地理位置匹配规则。
参阅日志记录文档，了解如何查询请求日志并检查哪些请求已被屏蔽。