Richtlinien mithilfe von Tags erstellen

Mit Resource Manager-Tags können Sie den Zugriff auf Ihre Google Cloud-Ressourcen steuern. Mit Resource Manager-Tags können Sie Ihre Google Cloud-Ressourcen organisieren und Richtlinien je nachdem, ob eine Ressource ein bestimmtes Tag hat, zulassen oder ablehnen. Mit Resource Manager-Tags können Sie jede VM-Instanz nach Segment und Diensttyp taggen. Mit Resource Manager-Tags können Sie Hosts beim Erstellen von Secure Web Proxy-Richtlinien eindeutig identifizieren.

Diese Seite enthält Anleitungen für Folgendes:

  • Erstellen Sie eine Secure Web Proxy-Instanz mit einer leeren Richtlinie.
  • Resource Manager-Tags erstellen und auf VM-Instanzen anwenden
  • Verwenden Sie Resource Manager-Tags, um eine Secure Web Proxy-Richtlinie zu erstellen.
  • Erstellen Sie eine Secure Web Proxy-Instanz.
  • Verbindung von Ihren VMs testen

Hinweise

Secure Web Proxy-Instanz mit einer leeren Richtlinie erstellen

Zum Erstellen einer Secure Web Proxy-Instanz erstellen Sie zuerst eine leere Sicherheitsrichtlinie und dann einen Web-Proxy.

Leere Sicherheitsrichtlinie erstellen

Console

  1. Rufen Sie in der Google Cloud Console die Seite Netzwerksicherheit auf.

    Netzwerksicherheit aufrufen

  2. Klicken Sie auf Secure Web Proxy.

  3. Klicken Sie auf den Tab Richtlinien.

  4. Klicken Sie auf Richtlinie erstellen.

  5. Geben Sie einen Namen für die Richtlinie ein, die Sie erstellen möchten, z. B. myswppolicy.

  6. Geben Sie eine Beschreibung der Richtlinie ein, z. B. My new swp policy.

  7. Wählen Sie in der Liste Regionen die Region aus, in der Sie die Richtlinie erstellen möchten.

  8. Klicken Sie auf Erstellen.

Cloud Shell

  1. Erstellen Sie die Datei POLICY_FILE.yaml mit Ihrem bevorzugten Texteditor. Ersetzen Sie POLICY_FILE durch den Dateinamen, den Sie für die Richtliniendatei verwenden möchten.

  2. Fügen Sie der erstellten YAML-Datei Folgendes hinzu:

    name: projects/PROJECT_NAME/locations/REGION/gatewaySecurityPolicies/POLICY_NAME
description: POLICY_DESCRIPTION

    Ersetzen Sie Folgendes:

    • PROJECT_NAME: Name Ihres Projekts
    • REGION: die Region, für die diese Richtlinie gilt
    • POLICY_NAME: der Name der Richtlinie, die Sie erstellen
    • POLICY_DESCRIPTION: die Beschreibung der Richtlinie, die Sie erstellen

  3. Sicherheitsrichtlinie importieren:

    gcloud network-security gateway-security-policies import POLICY_NAME \
    --source=POLICY_FILE.yaml \
    --location=REGION

Web-Proxy erstellen

Console

  1. Rufen Sie in der Google Cloud Console die Seite Netzwerksicherheit auf.

    Netzwerksicherheit aufrufen

  2. Klicken Sie auf Secure Web Proxy.

  3. Klicken Sie auf Web-Proxy einrichten.

  4. Geben Sie einen Namen für den Web-Proxy ein, den Sie erstellen möchten, z. B. myswp.

  5. Geben Sie eine Beschreibung des Web-Proxys ein, z. B. My new swp.

  6. Wählen Sie in der Liste Regionen die Region aus, in der Sie den Web-Proxy erstellen möchten.

  7. Wählen Sie in der Liste Netzwerk das Netzwerk aus, in dem Sie den Web-Proxy erstellen möchten.

  8. Wählen Sie in der Liste Subnetzwerk das Subnetzwerk aus, in dem Sie den Web-Proxy erstellen möchten.

  9. Geben Sie die IP-Adresse des Web-Proxys ein.

  10. Wählen Sie in der Liste Zertifikat das Zertifikat aus, das Sie zum Erstellen des Web-Proxys verwenden möchten.

  11. Wählen Sie in der Liste Richtlinie die Richtlinie aus, die Sie erstellt haben, um den Web-Proxy zu verknüpfen.

  12. Klicken Sie auf Erstellen.

Cloud Shell

  1. Erstellen Sie die Datei GATEWAY_FILE.yaml mit Ihrem bevorzugten Texteditor. Ersetzen Sie GATEWAY_FILE durch den gewünschten Dateinamen für die Web-Proxy-Datei.

  2. Fügen Sie der erstellten YAML-Datei Folgendes hinzu:

    name: projects/PROJECT_NAME/locations/REGION/gateways/GATEWAY_NAME
type: SECURE_WEB_GATEWAY
ports: [GATEWAY_PORT_NUMBERS]
certificateUrls: [CERTIFICATE_URLS]
gatewaySecurityPolicy: projects/PROJECT_NAME/locations/REGION/gatewaySecurityPolicies/POLICY_NAME
network: projects/PROJECT_NAME/global/networks/NETWORK_NAME
subnetwork: projects/PROJECT_NAME/regions/REGION/subnetworks/SUBNET_NAME
addresses: [GATEWAY_IP_ADDRESS]
scope: samplescope

    Ersetzen Sie Folgendes:

    • GATEWAY_NAME: der Name für diese Instanz
    • GATEWAY_PORT_NUMBERS: eine Liste von Portnummern für dieses Gateway, z. B. [80,443]
    • CERTIFICATE_URLS: eine Liste von SSL-Zertifikat-URLs

    • SUBNET_NAME: der Name des Subnetzes, das GATEWAY_IP_ADDRESS enthält

    • GATEWAY_IP_ADDRESS: eine optionale Liste von IP-Adressen für Ihre Secure Web Proxy-Instanzen in den Proxy-Subnetzen, die zuvor in den ersten Einrichtungsschritten erstellt wurden

      Wenn Sie keine IP-Adressen auflisten möchten, lassen Sie das Feld weg, damit der Web-Proxy eine IP-Adresse für Sie auswählt.

  3. Erstellen Sie eine Secure Web Proxy-Instanz:

    gcloud network-services gateways import GATEWAY_NAME \
    --source=GATEWAY_FILE.yaml \
    --location=REGION

Verbindung testen

Testen Sie die Konnektivität mit dem Befehl curl von einer beliebigen VM in Ihrem VPC-Netzwerk (Virtual Private Cloud):

  curl -x https://GATEWAY_IP_ADDRESS:PORT_NUMBER https://www.example.com --proxy-insecure

Ein 403 Forbidden-Fehler wird erwartet.

Resource Manager-Tags erstellen und anhängen

So erstellen und hängen Sie Resource Manager-Tags an:

  1. Erstellen Sie die Tag-Schlüssel und -Werte.

    Legen Sie beim Erstellen des Tags den Zweck GCE_FIREWALL fest. Google Cloud-Netzwerkfeatures wie Secure Web Proxy erfordern den Zweck GCE_FIREWALL, um das Tag anzuwenden. Sie können das Tag jedoch auch für andere Aktionen verwenden.

  2. Binden Sie Tags an VM-Instanzen.

Regeln für Secure Web Proxy erstellen

So erstellen Sie Secure Web Proxy-Regeln:

  1. Verwenden Sie Ihren bevorzugten Texteditor, um eine RULE_FILE.yaml-Datei zu erstellen. Ersetzen Sie RULE_FILE durch den gewünschten Dateinamen.

  2. Fügen Sie der YAML-Datei Folgendes hinzu, um den Zugriff auf eine URL vom gewünschten Tag aus zuzulassen:

    name: projects/PROJECT_NAME/locations/REGION/gatewaySecurityPolicies/POLICY_NAME/rules/RULE_NAME
description: RULE_DESCRIPTION
enabled: true
priority: RULE_PRIORITY
sessionMatcher: CEL_EXPRESSION
basicProfile: ALLOW

    Ersetzen Sie Folgendes:

    • RULE_NAME: ein Name für diese Regel
    • RULE_DESCRIPTION: eine Beschreibung der Regel, die Sie erstellen
    • RULE_PRIORITY: die Priorität für diese Regel; eine niedrigere Zahl entspricht einer höheren Priorität

    • CEL_EXPRESSION: ein CEL-Ausdruck (Common Expression Language)

      Weitere Informationen finden Sie in der Sprachreferenz für CEL-Matcher.

    Wenn Sie beispielsweise den Zugriff auf example.com vom gewünschten Tag aus zulassen möchten, fügen Sie der YAML-Datei, die Sie für sessionMatcher erstellt haben, Folgendes hinzu:

    sessionMatcher: "source.matchTag('TAG_VALUE') && host() == 'example.com'"

    Ersetzen Sie TAG_VALUE durch das Tag im Format tagValues/1234, das Sie zulassen möchten.

  3. Importieren Sie die erstellten Regeln:

    gcloud network-security gateway-security-policies rules import RULE_NAME \
   --source=RULE_FILE.yaml \
   --location=REGION \
   --gateway-security-policy=POLICY_NAME

Verbindung testen

Testen Sie die Konnektivität mit dem Befehl curl von einer beliebigen VM, die mit dem Tag TAG_VALUE verknüpft ist:

curl -x https://IPv4_ADDRESS:443 http://example.com
--proxy-insecure

Ersetzen Sie IPv4_ADDRESS durch die IPv4-Adresse Ihrer Secure Web Proxy-Instanz.

Nächste Schritte