In questa pagina viene descritto come abilitare l'ispezione TLS (Transport Layer Security) per la tua istanza Secure Web Proxy.
Prima di iniziare
Prima di configurare Secure Web Proxy per l'ispezione TLS, completa le attività nelle sezioni seguenti.
Abilita CAS
Secure Web Proxy utilizza CAS (Certificate Authority Service) per generare i certificati utilizzati per l'ispezione TLS.
Per abilitare le CA, utilizza il comando seguente:
gcloud services enable privateca.googleapis.com
Crea un pool di CA
Devi creare un pool di autorità di certificazione (CA) prima di poter utilizzare le CA per per creare una CA. Questa sezione illustra le autorizzazioni necessarie per: completa questa attività, quindi descrive come creare un pool di CA.
Per generare certificati, l'ispezione TLS utilizza un account di servizio separato per
ogni progetto chiamato
service-{project ID}@gcp-sa-certmanager.iam.gserviceaccount.com
.
Assicurati di aver concesso a questo account di servizio le autorizzazioni per l'utilizzo
del pool di CA. Se questo accesso viene revocato, l'ispezione TLS smetterà di funzionare.
Per creare il pool, utilizza il comando gcloud privateca pools create
e
specificare l'ID del pool subordinato, il livello, l'ID progetto e la località.
gcloud privateca pools create SUBORDINATE_POOL_ID
--tier=TIER
--project=PROJECT_ID
--location=REGION
Sostituisci quanto segue:
SUBORDINATE_POOL_ID
: il nome del pool di CATIER
: livello CA,devops
oenterprise
Ti consigliamo di creare il pool di CA nel livello
devops
perché il monitoraggio dei certificati emessi singolarmente non è necessario.PROJECT_ID
: l'ID del progetto del pool di CAREGION
: la località del pool di CA
Crea un pool di CA subordinato
Puoi creare un pool di CA subordinato, in cui la CA radice firma tutti le CA in quel pool. Questi certificati vengono utilizzati per firmare generati per l'ispezione TLS.
Per creare un pool subordinato, utilizza uno qualsiasi dei seguenti metodi.
Crea un pool di CA subordinato utilizzando una CA radice esistente archiviata all'interno delle CA
Per generare una CA subordinata:
Crea un pool di CA subordinato utilizzando una CA radice esistente conservata esternamente
Per generare una CA subordinata:
Crea una CA radice
Se non disponi di una CA radice esistente, puoi crearne una all'interno delle CA. Per creare una CA radice:
- Crea una CA radice.
- Segui i passaggi descritti in Creare un pool di CA subordinato utilizzando una CA radice esistente archiviata all'interno delle CA.
Per saperne di più sui pool di CA, consulta Documentazione di Certificate Authority Service.
Crea un account di servizio
Se non hai un account di servizio, devi crearne uno e concedere le autorizzazioni richieste.
Crea un account di servizio:
gcloud beta services identity create \ --service=networksecurity.googleapis.com \ --project=PROJECT_ID
In risposta, Google Cloud CLI crea un account di servizio chiamato
service-{project ID}@gcp-sa-networksecurity.iam.gserviceaccount.com
.Concedi le autorizzazioni alla generazione per l'account di servizio che hai creato con il pool di CA:
gcloud privateca pools add-iam-policy-binding CA_POOL \ --member='serviceAccount:SERVICE_ACCOUNT' \ --role='roles/privateca.certificateManager' \ --location='REGION'
Configura Secure Web Proxy per l'ispezione TLS
Puoi procedere con le attività di questa sezione solo dopo aver completato le attività preliminari elencate nella sezione Prima di iniziare.
Per configurare l'ispezione TLS, completa le attività nelle sezioni seguenti.
Crea un criterio di ispezione TLS
Crea il file
TLS_INSPECTION_FILE
.yaml. SostituisciTLS_INSPECTION_FILE
con il nome file che preferisci.Aggiungi il codice seguente al file YAML per configurare lo stato CriterioIspezioneTls:
name: projects/PROJECT_ID/locations/REGION/tlsInspectionPolicies/TLS_INSPECTION_NAME caPool: projects/PROJECT_ID/locations/REGION/caPools/CA_POOL
Sostituisci quanto segue:
PROJECT_ID
: il numero del progettoREGION
: la regione in cui creare il criterioTLS_INSPECTION_NAME
: il nome del Criterio di ispezione TLS di Secure Web ProxyCA_POOL
: il nome del pool di CA da creare i certificatiIl pool di CA deve esistere all'interno della stessa regione.
Importa il criterio di ispezione TLS
Importa il criterio di ispezione TLS che hai creato nel passaggio precedente:
gcloud network-security tls-inspection-policies import TLS_INSPECTION_NAME \
--source=TLS_INSPECTION_FILE.yaml \
--location=REGION
Aggiungi il criterio di ispezione TLS al criterio di sicurezza
Console
Crea il criterio del proxy web
Nella console Google Cloud, vai alla pagina Sicurezza della rete.
Fai clic su Secure Web Proxy.
Fai clic sulla scheda Norme.
Fai clic su Crea un criterio.
Inserisci un nome per il criterio da creare. ad esempio
myswppolicy
.Inserisci una descrizione del criterio, ad esempio
My new swp policy
.Nell'elenco Regioni, seleziona la regione in cui vuoi crea il criterio Secure Web Proxy.
Per configurare l'ispezione TLS, seleziona Configura l'ispezione TLS.
Nell'elenco Criterio di ispezione TLS, seleziona il protocollo che hai creato.
Se vuoi creare regole per le tue norme, fai clic su Continua, quindi fai clic su Aggiungi regola. Per maggiori dettagli, vedi Crea regole di Secure Web Proxy.
Fai clic su Crea.
Crea le regole del proxy web
Nella console Google Cloud, vai alla pagina Sicurezza della rete.
Fai clic su Secure Web Proxy.
Nel menu del selettore dei progetti, seleziona l'ID organizzazione o la cartella che contiene il criterio.
Fai clic sul nome della norma.
Fai clic su Aggiungi regola.
Compila i campi della regola:
- Nome
- Descrizione
- Stato
- Priorità: l'ordine di valutazione numerica della regola. Le regole sono
valutato dalla priorità più alta a quella più bassa, dove
0
è la priorità più alta la priorità. - Nella sezione Azione, specifica se le connessioni se la regola è consentita (Allow) o negata (Nega).
- Nella sezione Corrispondenza sessione, specifica i criteri per
corrispondente alla sessione. Per ulteriori informazioni sulla sintassi
SessionMatcher
, consulta le Riferimento lingua del matcher CEL. - Per attivare l'ispezione TLS, seleziona Abilita ispezione TLS.
- Nella sezione Corrispondenza applicazione, specifica i criteri per che corrispondono alla richiesta. Se non abiliti la regola per TLS , la richiesta può corrispondere solo al traffico HTTP.
- Fai clic su Crea.
Fai clic su Aggiungi regola per aggiungere un'altra regola.
Fai clic su Crea per creare il criterio.
Configura un proxy web
Nella console Google Cloud, vai alla pagina Sicurezza della rete.
Fai clic su Secure Web Proxy.
Fai clic sulla scheda proxy web.
Fai clic su Configura un proxy web.
Inserisci un nome per il proxy web che vuoi creare, ad esempio
myswp
.Inserisci una descrizione del proxy web, ad esempio
My new swp
.Nell'elenco Regioni, seleziona la regione in cui vuoi per creare il proxy web.
Nell'elenco Rete, seleziona la rete in cui vuoi per creare il proxy web.
Nell'elenco Subnet, seleziona la subnet a cui vuoi per creare il proxy web.
Inserisci l'indirizzo IP del proxy web.
Nell'elenco Certificato, seleziona il certificato che vuoi. da utilizzare per creare il proxy web.
Nell'elenco Criterio, seleziona il criterio che hai creato. a cui associare il proxy web.
Fai clic su Crea.
Cloud Shell
Crea il file
policy.yaml
:description: basic Secure Web Proxy policy name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1 tlsInspectionPolicy: projects/PROJECT_ID/locations/REGION/tlsInspectionPolicies/TLS_INSPECTION_NAME
Crea il criterio Secure Web Proxy:
gcloud network-security gateway-security-policies import policy1 \ --source=policy.yaml --location=REGION
Crea il file
rule.yaml
:name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/allow-example-com description: Allow example.com enabled: true priority: 1 basicProfile: ALLOW sessionMatcher: host() == 'example.com' applicationMatcher: request.path.contains('index.html') tlsInspectionEnabled: true
Crea la regola del criterio di sicurezza:
gcloud network-security gateway-security-policies rules import allow-example-com \ --source=rule.yaml \ --location=REGION \ --gateway-security-policy=policy1
Per collegare un criterio di ispezione TLS a un modello esistente criterio di sicurezza, crea il file
POLICY_FILE
.yaml. SostituisciPOLICY_FILE
con il nome file che preferisci.description: My Secure Web Proxy policy name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/POLICY_NAME tlsInspectionPolicy: projects/PROJECT_ID/locations/REGION/tlsInspectionPolicies/TLS_INSPECTION_NAME