Mit Resource Manager-Tags können Sie Zugriff auf Ihre Google Cloud-Ressourcen. Mit Resource Manager-Tags können Sie Ihre Google Cloud-Ressourcen verwalten und Richtlinien bedingt zulassen oder ablehnen je nachdem, ob eine Ressource ein bestimmtes Tag hat. Mit Resource Manager-Tags können Sie Jede VM-Instanz nach Segment und Diensttyp taggen Mit Resource Manager-Tags Hosts werden beim Erstellen von Secure Web Proxy-Richtlinien eindeutig identifiziert.
Diese Seite enthält Anleitungen für Folgendes:
- Erstellen Sie eine Secure Web Proxy-Instanz mit einer leeren Richtlinie.
- Resource Manager-Tags erstellen und auf VM-Instanzen anwenden.
- Verwenden Sie Resource Manager-Tags, um eine Secure Web Proxy-Richtlinie zu erstellen.
- Erstellen Sie eine Secure Web Proxy-Instanz.
- Testen Sie die Verbindung von Ihren VMs.
Unterstützte Funktionen
Secure Web Proxy unterstützt sicheres Tag-basiertes Filtern von Traffic für VM-Instanzen und GKE-Knoten (aber keine GKE-Container). Jede der der unterstützten Ressourcen sind auch projektübergreifend sichtbar (freigegebene VPC), über VPC-Grenzen hinweg (Network Connectivity Center, VPC-Netzwerk-Peering) und in Private Service Connect Sprünge. Beim serverlosen VPC-Zugriff sind keine sicheren Tags verfügbar für Direct Peering oder VPC-verbundene Anwendungen Bei diesen Anwendungen können Sie die Quell-IP-Adresse des VPC-Connector wird nur aus Ihrer serverlosen Umgebung verwendet.
Hinweise
Schließen Sie die Ersteinrichtung ab Schritte
Bitten Sie einen Organisationsadministrator, Ihnen die erforderliche Rolle zum Erstellen und aktualisieren Sie die Tags.
Prüfen Sie, ob die Google Cloud CLI Version 406.0.0 oder höher installiert ist:
gcloud version | head -n1
Wenn Sie eine frühere Version der gcloud CLI installiert haben, aktualisieren Sie die Version:
gcloud components update --version=406.0.0
Secure Web Proxy-Instanz mit einer leeren Richtlinie erstellen
Erstellen Sie zuerst eine leere Sicherheitsrichtlinie, um eine Secure Web Proxy-Instanz zu erstellen und dann einen Web-Proxy erstellen.
Leere Sicherheitsrichtlinie erstellen
Console
Rufen Sie in der Google Cloud Console die Seite Netzwerksicherheit auf.
Klicken Sie auf Secure Web Proxy.
Klicken Sie auf den Tab Richtlinien.
Klicken Sie auf Richtlinie erstellen.
Geben Sie einen Namen für die Richtlinie ein, die Sie erstellen möchten, wie
myswppolicy
.Geben Sie eine Beschreibung der Richtlinie ein, z. B.
My new swp policy
Wählen Sie in der Liste Regionen die Region aus, in der Sie den erstellen Sie die Richtlinie.
Klicken Sie auf Erstellen.
Cloud Shell
Verwenden Sie Ihren bevorzugten Texteditor, um die Datei zu erstellen.
POLICY_FILE
.yaml. ErsetzenPOLICY_FILE
durch den Dateinamen, der für die Richtliniendatei.Fügen Sie der von Ihnen erstellten YAML-Datei Folgendes hinzu:
name: projects/PROJECT_NAME/locations/REGION/gatewaySecurityPolicies/POLICY_NAME description: POLICY_DESCRIPTION
Ersetzen Sie Folgendes:
PROJECT_NAME
: Name Ihres ProjektsREGION
: Region, für die diese Richtlinie giltPOLICY_NAME
: der Name Ihrer Richtlinie wird erstelltPOLICY_DESCRIPTION
: die Beschreibung des die Sie erstellen,
Importieren Sie die Sicherheitsrichtlinie:
gcloud network-security gateway-security-policies import POLICY_NAME \ --source=POLICY_FILE.yaml \ --location=REGION
Web-Proxy erstellen
Console
Rufen Sie in der Google Cloud Console die Seite Netzwerksicherheit auf.
Klicken Sie auf Secure Web Proxy.
Klicken Sie auf Web-Proxy einrichten.
Geben Sie einen Namen für den zu erstellenden Web-Proxy ein. wie
myswp
.Geben Sie eine Beschreibung des Web-Proxys ein, z. B.
My new swp
.Wählen Sie in der Liste Regionen die Region aus, in der Sie den Erstellen Sie den Web-Proxy.
Wählen Sie in der Liste Netzwerk das Netzwerk aus, für das Sie Erstellen Sie den Web-Proxy.
Wählen Sie in der Liste Subnetzwerk das Subnetzwerk aus, für das Sie Erstellen Sie den Web-Proxy.
Geben Sie die IP-Adresse des Web-Proxys ein.
Wählen Sie in der Liste Zertifikat das gewünschte Zertifikat aus. zum Erstellen des Web-Proxys.
Wähle in der Liste Richtlinie die Richtlinie aus, die du erstellt hast. mit dem der Web-Proxy verknüpft werden soll.
Klicken Sie auf Erstellen.
Cloud Shell
Verwenden Sie Ihren bevorzugten Texteditor, um die Datei zu erstellen.
GATEWAY_FILE
.yaml. ErsetzenGATEWAY_FILE
durch den Dateinamen, den Sie für die Web-Proxy-Datei.Fügen Sie der von Ihnen erstellten YAML-Datei Folgendes hinzu:
name: projects/PROJECT_NAME/locations/REGION/gateways/GATEWAY_NAME type: SECURE_WEB_GATEWAY ports: [GATEWAY_PORT_NUMBERS] certificateUrls: [CERTIFICATE_URLS] gatewaySecurityPolicy: projects/PROJECT_NAME/locations/REGION/gatewaySecurityPolicies/POLICY_NAME network: projects/PROJECT_NAME/global/networks/NETWORK_NAME subnetwork: projects/PROJECT_NAME/regions/REGION/subnetworks/SUBNET_NAME addresses: [GATEWAY_IP_ADDRESS] scope: samplescope
Ersetzen Sie Folgendes:
GATEWAY_NAME
: der Name für diese InstanzGATEWAY_PORT_NUMBERS
: eine Liste der Portnummern für dieses Gateway, z. B.[80,443]
CERTIFICATE_URLS
: eine Liste von SSL-Zertifikaten URLsSUBNET_NAME
ist der Name des Subnetzes, das enthältGATEWAY_IP_ADDRESS
GATEWAY_IP_ADDRESS
: eine optionale Liste von IP-Adressen Adressen für Ihre Secure Web Proxy-Instanzen innerhalb des Proxys Subnetze, die zuvor im ErsteinrichtungsschritteWenn Sie keine IP-Adressen auflisten, lassen Sie das Feld aus, damit der Web-Proxy eine IP-Adresse für Sie auswählt.
Erstellen Sie eine Secure Web Proxy-Instanz:
gcloud network-services gateways import GATEWAY_NAME \ --source=GATEWAY_FILE.yaml \ --location=REGION
Verbindung testen
Testen Sie die Verbindung mit dem Befehl curl
auf einer beliebigen VM in Ihrem
VPC-Netzwerk (Virtual Private Cloud):
curl -x https://GATEWAY_IP_ADDRESS:PORT_NUMBER https://www.example.com --proxy-insecure
Es wird ein 403 Forbidden
-Fehler erwartet.
Resource Manager-Tags erstellen und anhängen
So erstellen und hängen Sie Resource Manager-Tags an:
Erstellen Sie die Tag-Schlüssel und -Werte.
Legen Sie das Tag beim Erstellen mit dem Zweck
GCE_FIREWALL
fest. Für Google Cloud-Netzwerkfunktionen wie Secure Web Proxy ist dieGCE_FIREWALL
-Zweck, um das Tag anzuwenden. Sie können das Tag jedoch anderen Aktionen.
Secure Web Proxy-Regeln erstellen
So erstellen Sie Secure Web Proxy-Regeln:
Erstellen Sie mit Ihrem bevorzugten Texteditor ein
RULE_FILE
.yaml-Datei angegeben werden. ErsetzenRULE_FILE
durch den ausgewählten Dateinamen.Fügen Sie der YAML-Datei Folgendes hinzu, um den Zugriff auf eine URL über das ausgewählte Tag zu ermöglichen Datei:
name: projects/PROJECT_NAME/locations/REGION/gatewaySecurityPolicies/POLICY_NAME/rules/RULE_NAME description: RULE_DESCRIPTION enabled: true priority: RULE_PRIORITY sessionMatcher: CEL_EXPRESSION basicProfile: ALLOW
Ersetzen Sie Folgendes:
RULE_NAME
: ein Name für diese RegelRULE_DESCRIPTION
: eine Beschreibung für das Regel erstellen, die Sie erstellen,RULE_PRIORITY
: Priorität dieser Regel Eine niedrigere Zahl entspricht einer höheren Priorität.CEL_EXPRESSION
: ein häufiger Ausdruck Sprachausdruck (CEL)Weitere Informationen finden Sie unter CEL-Matcher. Sprachreferenz.
Um beispielsweise den Zugriff auf
example.com
über die gewünschten Tag möchten, fügen Sie Folgendes in die YAML-Datei ein, die Sie für densessionMatcher
:sessionMatcher: "source.matchTag('TAG_VALUE') && host() == 'example.com'"
Ersetzen Sie
TAG_VALUE
durch das Tag, das Sie verwenden möchten. „allow“ im FormattagValues/1234
.Importieren Sie die von Ihnen erstellten Regeln:
gcloud network-security gateway-security-policies rules import RULE_NAME \ --source=RULE_FILE.yaml \ --location=REGION \ --gateway-security-policy=POLICY_NAME
Verbindung testen
Testen Sie die Verbindung mit dem Befehl curl
von jeder verknüpften VM aus.
mit dem TAG_VALUE
-Tag:
curl -x https://IPv4_ADDRESS:443 http://example.com
--proxy-insecure
Ersetzen Sie IPv4_ADDRESS
durch die IPv4-Adresse Ihres
Secure Web Proxy-Instanz.
Nächste Schritte
- Richtlinien mithilfe einer URL-Liste erstellen
- Statische IP-Adressen für ausgehenden Traffic zuweisen Verkehr