Mengaktifkan pemeriksaan TLS

Halaman ini menjelaskan cara mengaktifkan pemeriksaan Transport Layer Security (TLS) untuk instance Secure Web Proxy Anda.

Sebelum memulai

Sebelum mengonfigurasi Secure Web Proxy untuk pemeriksaan TLS, selesaikan tugas di bagian berikut.

Mengaktifkan CAS

Secure Web Proxy menggunakan Certificate Authority Service (CAS) untuk membuat sertifikat yang digunakan untuk pemeriksaan TLS.

Untuk mengaktifkan CAS, gunakan perintah berikut:

  gcloud services enable privateca.googleapis.com

Membuat kumpulan CA

Anda harus membuat kumpulan certificate authority (CA) sebelum dapat menggunakan CAS untuk membuat CA. Bagian ini menjelaskan izin yang Anda perlukan untuk menyelesaikan tugas ini, lalu menjelaskan cara membuat kumpulan CA.

Untuk membuat sertifikat, pemeriksaan TLS menggunakan akun layanan terpisah untuk setiap project yang disebut service-{project ID}@gcp-sa-certmanager.iam.gserviceaccount.com. Pastikan Anda telah memberikan izin ke akun layanan ini untuk menggunakan kumpulan CA Anda. Jika akses ini dicabut, pemeriksaan TLS akan berhenti berfungsi.

Untuk membuat kumpulan, gunakan perintah gcloud privateca pools create dan tentukan ID kumpulan subordinat, tingkat, project ID, dan lokasi.

gcloud privateca pools create SUBORDINATE_POOL_ID \
    --tier=TIER \
    --project=PROJECT_ID \
    --location=REGION

Ganti kode berikut:

  • SUBORDINATE_POOL_ID: nama kumpulan CA

  • TIER: tingkat CA, devops atau enterprise

    Sebaiknya buat kumpulan CA di tingkat devops karena pelacakan sertifikat yang dikeluarkan satu per satu tidak diperlukan.

  • PROJECT_ID: ID project kumpulan CA

  • REGION: lokasi kumpulan CA

Membuat kumpulan CA subordinat

Anda dapat membuat kumpulan CA subordinat, dan CA root menandatangani semua CA dalam kumpulan tersebut. Sertifikat ini digunakan untuk menandatangani sertifikat server yang dihasilkan untuk pemeriksaan TLS.

Untuk membuat kumpulan subordinat, gunakan salah satu metode berikut.

Membuat kumpulan CA subordinat menggunakan root CA yang ada dan disimpan dalam CAS

Untuk membuat CA subordinat, lakukan hal berikut:

  1. Buat kumpulan CA.
  2. Membuat CA subordinasi dalam kumpulan CA.

Membuat kumpulan CA subordinat menggunakan root CA yang ada dan disimpan secara eksternal

Untuk membuat CA subordinat, lakukan hal berikut:

  1. Buat kumpulan CA.
  2. Membuat subordinate CA yang ditandatangani oleh CA root eksternal.

Membuat CA root

Jika belum memiliki root CA, Anda dapat membuatnya dalam CAS. Untuk membuat CA root, lakukan hal berikut:

  1. Buat root CA.
  2. Ikuti langkah-langkah dalam Membuat kumpulan CA subordinat menggunakan root CA yang ada dan disimpan dalam CAS.

Untuk informasi selengkapnya tentang kumpulan CA, lihat dokumentasi Certificate Authority Service.

Membuat akun layanan

Jika tidak memiliki akun layanan, Anda harus membuatnya dan memberikan izin yang diperlukan.

  1. Buat akun layanan:

    gcloud beta services identity create \
    --service=networksecurity.googleapis.com \
    --project=PROJECT_ID

    Sebagai respons, Google Cloud CLI akan membuat akun layanan bernama service-{project ID}@gcp-sa-networksecurity.iam.gserviceaccount.com.

  2. Untuk akun layanan yang Anda buat, berikan izin untuk membuat sertifikat dengan kumpulan CA Anda:

    gcloud privateca pools add-iam-policy-binding CA_POOL \
    --member='serviceAccount:SERVICE_ACCOUNT' \
    --role='roles/privateca.certificateManager' \
    --location='REGION'

Mengonfigurasi Secure Web Proxy untuk pemeriksaan TLS

Anda hanya dapat melanjutkan tugas di bagian ini setelah menyelesaikan tugas prasyarat yang tercantum di bagian Sebelum memulai.

Untuk mengonfigurasi pemeriksaan TLS, selesaikan tugas di bagian berikut.

Membuat kebijakan pemeriksaan TLS

  1. Buat file TLS_INSPECTION_FILE.yaml. Ganti TLS_INSPECTION_FILE dengan nama file yang diinginkan.

  2. Tambahkan kode berikut ke file YAML untuk mengonfigurasi TlsInspectionPolicy yang diinginkan:

    name: projects/PROJECT_ID/locations/REGION/tlsInspectionPolicies/TLS_INSPECTION_NAME
caPool: projects/PROJECT_ID/locations/REGION/caPools/CA_POOL

    Ganti kode berikut:

    • PROJECT_ID: nomor project
    • REGION: region tempat membuat kebijakan
    • TLS_INSPECTION_NAME: nama kebijakan pemeriksaan TLS Secure Web Proxy

    • CA_POOL: nama kumpulan CA tempat membuat sertifikat

      Kumpulan CA harus ada dalam region yang sama.

Mengimpor kebijakan pemeriksaan TLS

Impor kebijakan pemeriksaan TLS yang Anda buat pada langkah sebelumnya:

gcloud network-security tls-inspection-policies import TLS_INSPECTION_NAME \
  --source=TLS_INSPECTION_FILE.yaml \
  --location=REGION

Menambahkan kebijakan pemeriksaan TLS ke kebijakan keamanan

Konsol

Membuat kebijakan proxy web

  1. Di konsol Google Cloud, buka halaman Network Security.

    Buka Keamanan Jaringan

  2. Klik Secure Web Proxy.

  3. Klik tab Kebijakan.

  4. Klik Buat kebijakan.

  5. Masukkan nama untuk kebijakan yang ingin Anda buat, seperti myswppolicy.

  6. Masukkan deskripsi kebijakan, seperti My new swp policy.

  7. Dalam daftar Regions, pilih region tempat Anda ingin membuat kebijakan Secure Web Proxy.

  8. Untuk mengonfigurasi pemeriksaan TLS, pilih Configure TLS inspection.

  9. Dalam daftar TLS inspection policy, pilih kebijakan pemeriksaan TLS yang Anda buat.

  10. Jika Anda ingin membuat aturan untuk kebijakan, klik Lanjutkan, lalu klik Tambahkan aturan. Untuk mengetahui detailnya, lihat Membuat aturan Secure Web Proxy.

  11. Klik Create.

Membuat aturan proxy web

  1. Di konsol Google Cloud, buka halaman Network Security.

    Buka Keamanan Jaringan

  2. Klik Secure Web Proxy.

  3. Di menu pemilih project, pilih ID organisasi atau folder yang berisi kebijakan Anda.

  4. Klik nama kebijakan Anda.

  5. Klik Tambahkan Aturan.

  6. Isi kolom aturan:

    1. Nama
    2. Deskripsi
    3. Status
    4. Prioritas: urutan evaluasi numerik aturan. Aturan dievaluasi dari prioritas tertinggi ke terendah dengan 0 adalah prioritas tertinggi.
    5. Di bagian Action, tentukan apakah koneksi yang cocok dengan aturan diizinkan (Allow) atau ditolak (Deny).
    6. Di bagian Session Match, tentukan kriteria untuk mencocokkan sesi. Untuk informasi selengkapnya tentang sintaksis untuk SessionMatcher, lihat referensi bahasa pencocok CEL.
    7. Untuk mengaktifkan pemeriksaan TLS, pilih Enable TLS inspection.
    8. Di bagian Application Match, tentukan kriteria untuk mencocokkan permintaan. Jika Anda tidak mengaktifkan aturan untuk pemeriksaan TLS, permintaan hanya dapat cocok dengan traffic HTTP.
    9. Klik Create.

  7. Klik Tambahkan aturan untuk menambahkan aturan lain.

  8. Klik Create untuk membuat kebijakan.

Menyiapkan proxy web

  1. Di konsol Google Cloud, buka halaman Network Security.

    Buka Keamanan Jaringan

  2. Klik Secure Web Proxy.

  3. Klik tab Web proxy.

  4. Klik Siapkan proxy web.

  5. Masukkan nama untuk proxy web yang ingin Anda buat, seperti myswp.

  6. Masukkan deskripsi proxy web, seperti My new swp.

  7. Di daftar Regions, pilih region tempat Anda ingin membuat proxy web.

  8. Di daftar Network, pilih jaringan tempat Anda ingin membuat proxy web.

  9. Di daftar Subnetwork, pilih subnetwork tempat Anda ingin membuat proxy web.

  10. Masukkan alamat IP proxy web.

  11. Di daftar Certificate, pilih sertifikat yang ingin Anda gunakan untuk membuat proxy web.

  12. Di daftar Kebijakan, pilih kebijakan yang Anda buat untuk mengaitkan proxy web.

  13. Klik Create.

Cloud Shell

  1. Buat file policy.yaml:

      description: basic Secure Web Proxy policy
  name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1
  tlsInspectionPolicy: projects/PROJECT_ID/locations/REGION/tlsInspectionPolicies/TLS_INSPECTION_NAME

  2. Buat kebijakan Secure Web Proxy:

      gcloud network-security gateway-security-policies import policy1 \
      --source=policy.yaml --location=REGION

  3. Buat file rule.yaml:

      name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/allow-example-com
  description: Allow example.com
  enabled: true
  priority: 1
  basicProfile: ALLOW
  sessionMatcher: host() == 'example.com'
  applicationMatcher: request.path.contains('index.html')
  tlsInspectionEnabled: true

  4. Buat aturan kebijakan keamanan:

      gcloud network-security gateway-security-policies rules import allow-example-com \
      --source=rule.yaml \
      --location=REGION \
      --gateway-security-policy=policy1

  5. Untuk melampirkan kebijakan pemeriksaan TLS ke kebijakan keamanan yang ada, buat file POLICY_FILE.yaml. Ganti POLICY_FILE dengan nama file yang diinginkan.

      description: My Secure Web Proxy policy
  name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/POLICY_NAME
  tlsInspectionPolicy: projects/PROJECT_ID/locations/REGION/tlsInspectionPolicies/TLS_INSPECTION_NAME

Apa langkah selanjutnya?