创建和管理拦截端点组关联

拦截端点组 关联 是一种全球性资源，用于将消费者的虚拟私有云网络链接到 拦截端点组 以进行流量检查。对于每个需要流量检查的 VPC 网络，您都需要创建一个拦截端点组关联。在您配置端点组、端点组关联和防火墙规则以重定向流量后，VPC 网络即可进行流量检查。

在您配置端点组和端点组关联，并配置防火墙规则以重定向要检查的流量后，VPC 网络即可进行流量检查。

本页面介绍如何创建和管理拦截端点组关联。

准备工作

• 启用项目中的 Compute Engine API。 Google Cloud

• 在项目中 启用 Network Security API Google Cloud 。

• 安装 gcloud CLI。

• 创建 VPC 网络 和子网。

• 创建拦截端点 组。

角色

如需创建、查看或删除拦截端点组关联，请让您的 管理员向您授予项目的必要 Identity and Access Management (IAM) 角色 。如需详细了解如何授予角色，请参阅管理对项目、文件夹和 组织的访问权限。

如需检查本页面上列出的操作的进度，请确保您的用户角色拥有以下 Intercept Endpoint Admin 角色 (roles/networksecurity.interceptEndpointAdmin) 和权限：

• networksecurity.interceptEndpointGroupAssociations.create
• networksecurity.interceptEndpointGroupAssociations.delete
• networksecurity.interceptEndpointGroupAssociations.update
• networksecurity.interceptEndpointGroupAssociations.get
• networksecurity.interceptEndpointGroupAssociations.list
• networksecurity.interceptEndpointGroups.use
• compute.networks.use

创建拦截端点组关联

您可以将一个 VPC 网络与多个拦截端点组相关联。您还可以将一个拦截端点组与多个 VPC 网络相关联。

在创建和管理拦截端点 组 部分，您创建了一个拦截端点组来处理拦截的 流量。不过，您还必须指定可以检查哪些 VPC 的流量。为此，您需要创建一个项目级拦截端点组关联。

您必须在与 VPC 网络相同的项目中创建拦截端点组关联。

gcloud network-security intercept-endpoint-group-associations create ENDPOINT_GROUP_ASSOCIATION_ID \
    --location global \
    --network NETWORK \
    --no-async \
    --intercept-endpoint-group \
        projects/ENDPOINT_GROUP_PROJECT_ID/locations/global/interceptEndpointGroups/ENDPOINT_GROUP_ID

resource "google_network_security_intercept_endpoint_group_association" "default" {
  intercept_endpoint_group_association_id = "intercept-endpoint-group-association"
  location                                = "global"
  network                                 = google_compute_network.consumer_network.id
  intercept_endpoint_group                = google_network_security_intercept_endpoint_group.default.id
}

查看拦截端点组关联的详细信息

您可以查看拦截端点组关联的详细信息，包括其名称、拦截端点组、位置和网络。

您还可以从 VPC 网络详情页面的端点组 标签页中查看拦截端点组关联的详细信息。

gcloud network-security intercept-endpoint-group-associations describe ENDPOINT_GROUP_ASSOCIATION_ID \
    --location global

列出拦截端点组关联

您可以列出项目中的所有拦截器端点组关联，包括其 ID。

gcloud network-security intercept-endpoint-group-associations list

删除拦截端点组关联

您可以删除拦截部署组的拦截端点组关联。

gcloud network-security intercept-endpoint-group-associations delete ENDPOINT_GROUP_ASSOCIATION_ID \
    --no-async \
    --location global