Abilita API e funzionalità

In questa pagina viene descritto come abilitare le API e le funzionalità necessarie per utilizzare Firewall Insights.

Prima di utilizzare Firewall Insights, seleziona un progetto, assicurati di disporre delle autorizzazioni e dei ruoli richiesti, quindi completa le attività di configurazione richieste. Per ulteriori informazioni sui primi due passaggi, consulta Ruoli e autorizzazioni.

Le attività di configurazione variano in base alle metriche e agli insight che vuoi utilizzare. Per maggiori dettagli consulta la tabella seguente.

Attività Tutte le metriche Insight sulle regole con shadowing Insight sulle regole eccessivamente permissive Regole di negazione con attributi attivati
Abilita l'API Firewall Insights ✔ ✔ ✔ ✔
Abilita il logging delle regole firewall ✔ ✔ ✔
Abilita l'API Recommender ✔ ✔
Attiva questo tipo di insight ✔ ✔
Configurare un periodo di osservazione ✔ ✔
Pianificare un ciclo di aggiornamento personalizzato ✔


Le sezioni seguenti descrivono come abilitare le API e le funzionalità.

Abilita Firewall Insights API

Prima di eseguire attività con Firewall Insights, devi abilitare l'Firewall Insights API.

Per abilitare l'API, puoi utilizzare i seguenti passaggi o la libreria API della console Google Cloud, descritta in Abilitazione delle API nella documentazione delle API Cloud.

Console

  1. Nella console Google Cloud, vai alla pagina Approfondimenti firewall.

    Vai a Firewall Insights

  2. Nella pagina Firewall Insights API, fai clic su Abilita.

gcloud

Utilizza il seguente comando:

gcloud services enable firewallinsights.googleapis.com

Abilita il logging delle regole firewall

Se vuoi visualizzare uno dei seguenti elementi, devi abilitare il logging delle regole firewall:

  • Metriche sulle regole firewall
  • Insight sulle regole eccessivamente permissive o sulle regole deny; questi insight sono noti collettivamente come insight basati su log

Firewall Insights genera metriche e insight basati su log solo per le regole in cui è abilitato il logging. Per maggiori informazioni, consulta la panoramica del logging delle regole firewall.

Abilita l'API Recommender

Abilita l'API Recommender a eseguire le seguenti operazioni:

  • Utilizza insight sulle regola oscurata
  • Utilizza insight sulle regole eccessivamente permissive

  • Recupera tutti i dati effettuando chiamate API o utilizzando Google Cloud CLI

Console

  1. Nella console Google Cloud, vai alla pagina Abilita l'accesso all'API.

    Abilitare l'accesso all'API

  2. Assicurati che sia selezionato il progetto corretto, quindi fai clic su Avanti.

  3. Fai clic su Abilita.

gcloud

Utilizza il seguente comando:

gcloud services enable recommender.googleapis.com

Abilita regola oscurata o insight sulle regole eccessivamente permissive

Firewall Insights non genera insight sulle regole con shadowing o eccessivamente permissive, a meno che non abiliti attivamente queste funzionalità nella pagina Firewall Insights.

Dopo aver attivato una delle due funzionalità, potresti dover attendere fino a 48 ore per visualizzare gli insight generati.

Quando crei o aggiorni una regola firewall, potresti dover attendere fino a dieci giorni per vedere le previsioni del machine learning e ottenere insight sulle regole eccessivamente permissive. Nel frattempo, puoi visualizzare insight basati sui dati raccolti dal logging delle regole firewall.

Console

  1. Nella console Google Cloud, vai alla pagina Approfondimenti firewall.

    Vai a Firewall Insights

  2. Fai clic su Configurazione.

  3. Fai clic su Abilitazione.

  4. A seconda dei casi, sposta il dispositivo di scorrimento su Attivata o Disattivata per una o entrambe le seguenti opzioni:

    • Approfondimenti sulle regole con shadowing

    • Insight sulle regole eccessivamente permissive

API

Puoi utilizzare l'API Recommender per abilitare o disabilitare gli insight regola oscurata e gli insight sulle regole eccessivamente permissive. Puoi anche utilizzare l'API per impostare il periodo di osservazione per insight sulle regole eccessivamente permissive e recuperare i dettagli di configurazione.

Per abilitare gli insight sulle regola oscurata e gli insight sulle regole eccessivamente permissive, utilizza il metodo updateConfig.

Per utilizzare il metodo updateConfig, devi impostare i valori di tutti i parametri. Quando abiliti o disabiliti gli insight, devi anche configurare il periodo di osservazione per gli insight eccessivamente permissivi.

Per effettuare questo tipo di aggiornamento, utilizza la richiesta seguente.

  PATCH https://recommender.googleapis.com/v1beta1/projects/PROJECT_ID/locations/global/insightTypes/google.compute.firewall.Insight/config
  {
    "name": "projects/PROJECT_ID/locations/global/insightTypes/google.compute.firewall.Insight/config",
      "insightTypeGenerationConfig": {
        "params": {
          "observation_period": "OBSERVATION_PERIOD_OVERLY_PERMISSIVE",
          "enable_shadowed_rule_insights": ENABLEMENT_SHADOWED,
          "enable_overly_permissive_rule_insights": ENABLEMENT_OVERLY_PERMISSIVE
         }
       },
    "etag": "\"ETAG\"",
  }

Sostituisci i seguenti valori:

  • PROJECT_ID: l'ID del progetto
  • OBSERVATION_PERIOD_OVERLY_PERMISSIVE: il tempo, in secondi, del periodo di osservazione per gli insight sulle regole eccessivamente permissive
  • ENABLEMENT_SHADOWED: un valore booleano che rappresenta se gli insight regola oscurata sono abilitati
  • ENABLEMENT_OVERLY_PERMISSIVE: un valore booleano che indica se sono abilitati gli insight sulle regole eccessivamente permissive
  • ETAG: il valore etag del criterio IAM. Per recuperare il valore etag, utilizza il metodo getConfig, come descritto nella sezione seguente

Esempio

  PATCH https://recommender.googleapis.com/v1beta1/projects/PROJECT_ID/locations/global/insightTypes/google.compute.firewall.Insight/config
  {
    "name": "projects/PROJECT_ID/locations/global/insightTypes/google.compute.firewall.Insight/config",
      "insightTypeGenerationConfig": {
        "params": {
          "observation_period": "604800s",
          "enable_shadowed_rule_insights": true,
          "enable_overly_permissive_rule_insights": true
         }
       },
    "etag": "\"ETAG\"",
  }

Recuperare i dettagli di configurazione

Per recuperare i dettagli su come è configurato Firewall Insights, utilizza il metodo getConfig come mostrato nell'esempio seguente. 

  GET https://recommender.googleapis.com/v1beta1/projects/PROJECT_ID/locations/global/insightTypes/google.compute.firewall.Insight/config

Configurare un periodo di osservazione

Per alcuni insight, puoi configurare un periodo di osservazione, o l'intervallo di tempo interessato dall'insight. Per maggiori informazioni, consulta Configurare il periodo di osservazione in Configurare il periodo di osservazione e il ciclo di aggiornamento.

Pianificare un ciclo di aggiornamento personalizzato

Puoi configurare un ciclo di aggiornamento per generare insight sulle regola oscurata per il tuo progetto. Per saperne di più, consulta Pianificare un ciclo di aggiornamento personalizzato in Configurare il periodo di osservazione e il ciclo di aggiornamento.

Passaggi successivi