Resource Manager タグは、Google Cloud リソースへのアクセスを制御するのに役立ちます。Resource Manager タグを使用すると、Google Cloud リソースを整理し、リソースに特定のタグが付加されているかどうかに基づいて条件付きでポリシーの許可や拒否を行うことができます。Resource Manager タグを使用して、各仮想マシン（VM）インスタンスにセグメントとサービス タイプでタグ付けできます。Resource Manager タグを使用すると、Secure Web Proxy ポリシーを作成するときにホストを一意に識別できます。
このガイドでは、次の方法について説明します。
- 空のポリシーを使用して Secure Web Proxy インスタンスを作成します。
- Resource Manager タグを作成して VM インスタンスに適用します。
- Resource Manager タグを使用して、Secure Web Proxy ポリシーを作成します。
- Secure Web Proxy インスタンスを作成します。
- VM からの接続をテストします。
準備
初期設定を完了します。
組織管理者に、タグの作成と更新に必要なロールを付与してもらいます。
Google Cloud CLI バージョン 406.0.0 以降がインストールされていることを確認します。
gcloud version | head -n1以前のバージョンの gcloud CLI がインストールされている場合は、バージョンを更新します。
gcloud components update --version=406.0.0
空のポリシーを使用して Secure Web Proxy インスタンスを作成する
Secure Web Proxy インスタンスを作成するには、まず空のセキュリティ ポリシーを作成してから、ウェブプロキシを作成します。
空のセキュリティ ポリシーを作成する
コンソール
Google Cloud コンソールで [ネットワーク セキュリティ] ページに移動します。
[Secure Web Proxy] をクリックします。
[ポリシー] タブをクリックします。
[Create a policy] をクリックします。
作成するポリシーの名前を入力します（例:
myswppolicy）。ポリシーの説明（
My new swp policyなど）を入力します。[リージョン] リストで、ポリシーを作成するリージョンを選択します。
[作成] をクリックします。
Cloud Shell
任意のテキスト エディタを使用して、
POLICY_FILE.yaml を作成します。POLICY_FILEは、ポリシー ファイルに使用するファイル名に置き換えます。作成した YAML ファイルに以下を追加します。
name: projects/PROJECT_NAME/locations/REGION/gatewaySecurityPolicies/POLICY_NAME description: POLICY_DESCRIPTION以下を置き換えます。
PROJECT_NAME: プロジェクトの名前REGION: このポリシーが適用されるリージョンPOLICY_NAME: 作成するポリシーの名前POLICY_DESCRIPTION: 作成するポリシーの説明
セキュリティ ポリシーをインポートします。
gcloud network-security gateway-security-policies import POLICY_NAME \ --source=POLICY_FILE.yaml \ --location=REGION
ウェブプロキシを作成する
コンソール
Google Cloud コンソールで [ネットワーク セキュリティ] ページに移動します。
[Secure Web Proxy] をクリックします。
[ウェブプロキシを設定] をクリックします。
作成するウェブプロキシの名前を入力します（例:
myswp）。ウェブプロキシの説明（
My new swpなど）を入力します。[リージョン] リストで、ウェブプロキシを作成するリージョンを選択します。
[ネットワーク] リストで、ウェブプロキシを作成するネットワークを選択します。
[サブネットワーク] リストで、ウェブプロキシを作成するサブネットワークを選択します。
ウェブプロキシの IP アドレスを入力します。
[証明書] リストで、ウェブプロキシの作成に使用する証明書を選択します。
[ポリシー] リストで、ウェブプロキシを関連付けるポリシーを選択します。
[作成] をクリックします。
Cloud Shell
任意のテキスト エディタを使用して、
GATEWAY_FILE.yaml を作成します。GATEWAY_FILEは、ウェブプロキシ ファイルに付けるファイル名に置き換えます。作成した YAML ファイルに以下を追加します。
name: projects/PROJECT_NAME/locations/REGION/gateways/GATEWAY_NAME type: SECURE_WEB_GATEWAY ports: [GATEWAY_PORT_NUMBERS] certificateUrls: [CERTIFICATE_URLS] gatewaySecurityPolicy: projects/PROJECT_NAME/locations/REGION/gatewaySecurityPolicies/POLICY_NAME network: projects/PROJECT_NAME/global/networks/NETWORK_NAME subnetwork: projects/PROJECT_NAME/regions/REGION/subnetworks/SUBNET_NAME addresses: [GATEWAY_IP_ADDRESS] scope: samplescope以下を置き換えます。
GATEWAY_NAME: このインスタンスの名前。GATEWAY_PORT_NUMBERS: このゲートウェイのポート番号のリスト（例:[80,443]）CERTIFICATE_URLS: SSL 証明書の URL のリストSUBNET_NAME:GATEWAY_IP_ADDRESSを含むサブネットの名前GATEWAY_IP_ADDRESS: 初期設定手順で以前に作成したプロキシ サブネット内の Secure Web Proxy インスタンスの IP アドレスのオプションのリストIP アドレスを指定しない場合は、ウェブ プロキシに IP アドレスを選択させるフィールドを省略します。
Secure Web Proxy インスタンスを作成します。
gcloud network-services gateways import GATEWAY_NAME \ --source=GATEWAY_FILE.yaml \ --location=REGION
接続をテストする
Virtual Private Cloud（VPC）ネットワーク内の任意の VM から curl コマンドを使用して、接続をテストします。
curl -x https://GATEWAY_IP_ADDRESS:PORT_NUMBER https://www.example.com --proxy-insecure
403 Forbidden エラーが予想されます。
Resource Manager タグを作成して添付する
Resource Manager タグを作成して添付するには、次の手順を行います。
-
タグを作成するときは、
GCE_FIREWALL目的で指定します。Secure Web Proxy などの Google Cloud ネットワーキング機能では、タグを適用するGCE_FIREWALL目的が必要です。ただし、他のアクションにはタグを使用できます。
安全なウェブプロキシ ルールを作成する
安全なウェブプロキシ ルールを作成するには:
任意のテキスト エディタを使用して、
RULE_FILE.yaml ファイルを作成します。RULE_FILEを目的のファイル名に置き換えます。目的のタグから URL へのアクセスを許可するには、YAML ファイルに以下を追加します。
name: projects/PROJECT_NAME/locations/REGION/gatewaySecurityPolicies/POLICY_NAME/rules/RULE_NAME description: RULE_DESCRIPTION enabled: true priority: RULE_PRIORITY sessionMatcher: CEL_EXPRESSION basicProfile: ALLOW以下を置き換えます。
RULE_NAME: このルールの名前。RULE_DESCRIPTION: 作成するルールの説明RULE_PRIORITY: このルールの優先度。数値が小さいほど、優先度が高くなりますCEL_EXPRESSION: Common Expression Language（CEL）式詳細については、CEL マッチャーの言語リファレンスをご覧ください。
たとえば、目的のタグから
example.comへのアクセスを許可するには、sessionMatcher用に作成した YAML ファイルに次の行を追加します。sessionMatcher: "source.matchTag('TAG_VALUE') && host() == 'example.com'"TAG_VALUEは、許可するタグ（tagValues/1234形式）に置き換えます。作成したルールをインポートします。
gcloud network-security gateway-security-policies rules import RULE_NAME \ --source=RULE_FILE.yaml \ --location=REGION \ --gateway-security-policy=POLICY_NAME
接続をテストする
接続をテストするには、TAG_VALUE タグに関連付けられている VM から curl コマンドを使用します。
curl -x https://IPv4_ADDRESS:443 http://example.com
--proxy-insecure
IPv4_ADDRESS は、Secure Web Proxy インスタンスの IPv4 アドレスに置き換えます。