创建和管理自定义镜像安全配置文件

您只能为数据包镜像创建自定义镜像安全配置文件。自定义镜像安全配置文件是一种配置，它要求指定的网络流量必须由指定的网络防火墙政策规则进行检查。与网络防火墙政策规则中的镜像规则匹配的流量会镜像到该网络防火墙政策规则的安全配置文件所引用的端点组。

本页面介绍如何使用 Google Cloud CLI 创建和管理自定义安全配置文件。

准备工作

角色

如需获得创建、查看、更新或删除 自定义安全配置文件所需的权限，请让您的管理员向您授予组织的必要 IAM 角色 。如需详细了解如何授予角色，请参阅 管理对项目、文件夹和组织的访问权限。

如需检查本页面中列出的操作的进度，请确保 您的用户角色具有以下 Compute Network User (roles/compute.networkUser) 权限：

  • networksecurity.operations.get
  • networksecurity.operations.list

创建自定义安全配置文件

您只能创建 CUSTOM_MIRRORING 类型的安全配置文件。您可以在组织级或项目级创建安全配置文件。

创建自定义安全配置文件时，您可以指定自定义安全配置文件的名称、位置以及流量定向到的端点组。

在本部分中，您将为数据包镜像创建自定义安全配置文件。

直接镜像模式

为直接数据包镜像模式创建自定义安全配置文件。

控制台

  1. 在 Google Cloud 控制台中，前往 安全配置文件 页面。

    前往“安全配置文件”页面

  2. 从项目选择器菜单中，选择您的组织或项目。

  3. 在安全配置文件 标签页中，点击创建配置文件 。

  4. 在名称字段中，输入名称。

  5. 在安全配置文件用途 字段中，选择 NSI 带外 。

  6. 在项目 字段中，选择托管镜像端点 组的项目。

  7. 在镜像端点组 字段中，选择镜像端点组。

  8. 点击创建 。

gcloud

如需为直接数据包镜像模式创建自定义安全配置文件， 请使用 gcloud network-security security-profiles custom-mirroring create 命令：

gcloud network-security security-profiles custom-mirroring \
    create CUSTOM_MIRRORING_PROFILE_NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    --location=global \
    --mirroring-endpoint-group ENDPOINT_GROUP \
    --description DESCRIPTION \
    [--billing-project QUOTA_PROJECT_ID]

替换以下内容：

  • CUSTOM_MIRRORING_PROFILE_NAME：自定义安全配置文件的名称。

    如果您未采用唯一网址标识符 格式， 则必须指定组织或项目名称以及位置。

  • ORGANIZATION_ID：您的组织 ID。使用此标志可创建组织级安全配置文件。

  • PROJECT_ID：您的项目 ID。使用此标志可创建项目级安全配置文件。

  • ENDPOINT_GROUP：镜像端点组的网址，例如 projects/12345678/locations/global/mirroringEndpointGroups/mirroringEPG。

  • DESCRIPTION：自定义镜像配置文件的可选说明。

  • QUOTA_PROJECT_ID：您的配额项目 ID。 此标志仅适用于组织级安全配置文件。

Terraform

如需创建安全配置文件，您可以使用 google_network_security_security_profile 资源。

resource "google_network_security_security_profile" "default" {
  name     = "security-profile"
  type     = "CUSTOM_MIRRORING"
  parent   = "organizations/${data.google_organization.default.org_id}"
  location = "global"

  custom_mirroring_profile {
    mirroring_endpoint_group = google_network_security_mirroring_endpoint_group.default.id
  }
}

如需了解如何应用或移除 Terraform 配置，请参阅 基本 Terraform 命令。

代理镜像模式

为代理数据包镜像模式创建自定义安全配置文件。

gcloud

如需为代理数据包镜像模式创建自定义安全配置文件， 请使用 gcloud network-security security-profiles custom-mirroring create 命令：

gcloud beta network-security security-profiles custom-mirroring \
    create CUSTOM_MIRRORING_PROFILE_NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    --location=global \
    --mirroring-endpoint-group ENDPOINT_GROUP \
    --description DESCRIPTION \
    --mirroring-deployment-groups DEPLOYMENT_GROUP_1,DEPLOYMENT_GROUP_2 \
    [--billing-project QUOTA_PROJECT_ID]

替换以下内容：

  • CUSTOM_MIRRORING_PROFILE_NAME：自定义安全配置文件的名称。

    如果您未采用唯一网址标识符 格式， 则必须指定组织或项目名称以及位置。

  • ORGANIZATION_ID：您的组织 ID。使用此标志可创建组织级安全配置文件。

  • PROJECT_ID：您的项目 ID。使用此标志 可创建项目级安全配置文件（预览版）。

    --project 标志在 （预览版）中提供。如需使用此标志，请运行 gcloud beta network-security security-profiles custom-mirroring create 命令。

  • ENDPOINT_GROUP：镜像端点组的网址，例如 projects/12345678/locations/global/mirroringEndpointGroups/mirroringEPG。

  • DESCRIPTION：自定义镜像配置文件的可选说明。

  • DEPLOYMENT_GROUP_1, DEPLOYMENT_GROUP_2：镜像部署组的英文逗号分隔列表。部署组必须是连接到代理数据包镜像模式的镜像端点组的部署组的子集。

    部署组必须采用 projects/PROJECT_ID/locations/global/mirroringDeploymentGroups/DEPLOYMENT_GROUP 格式指定。

  • QUOTA_PROJECT_ID：您的配额项目 ID。 此标志仅适用于组织级安全配置文件。

Terraform

如需创建安全配置文件，您可以使用 google_network_security_security_profile 资源。

以下示例展示了如何创建组织级安全配置文件：

resource "google_network_security_security_profile" "default" {
  name     = "security-profile"
  type     = "CUSTOM_MIRRORING"
  parent   = "organizations/${data.google_organization.default.org_id}"
  location = "global"

  custom_mirroring_profile {
    mirroring_endpoint_group = google_network_security_mirroring_endpoint_group.default.id
  }
}

以下示例展示了如何创建项目级安全配置文件：

resource "google_network_security_security_profile" "default" {
  name     = "security-profile"
  type     = "CUSTOM_MIRRORING"
  parent   = "projects/${data.google_project.default.project_id}"
  location = "global"

  custom_mirroring_profile {
    mirroring_endpoint_group = google_network_security_mirroring_endpoint_group.default.id
  }
}

如需了解如何应用或移除 Terraform 配置，请参阅 基本 Terraform 命令。

列出和查看自定义安全配置文件的详细信息

您可以列出组织或项目中的自定义安全配置文件，并查看配置文件的详细信息，例如其名称和端点组 ID。

控制台

  1. 在 Google Cloud 控制台中，前往 安全配置文件 页面。

    前往“安全配置文件”页面

  2. 从项目选择器菜单中，选择您的组织或项目。 该标签页会列出所有安全配置文件。

  3. 在安全配置文件 标签页中，点击安全配置文件的名称以查看其详细信息。

gcloud

如需列出所有自定义镜像安全配置文件，请使用 gcloud network-security security-profiles custom-mirroring list 命令：

gcloud network-security security-profiles custom-mirroring list \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    --location=global \
    [--billing-project QUOTA_PROJECT_ID]

如需查看自定义镜像安全配置文件的详细信息，请使用 gcloud network-security security-profiles custom-mirroring describe 命令：

gcloud network-security security-profiles custom-mirroring \
    describe CUSTOM_MIRRORING_PROFILE_NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    --location=global \
    [--billing-project QUOTA_PROJECT_ID]

替换以下内容：

  • CUSTOM_MIRRORING_PROFILE_NAME：自定义安全配置文件的名称。

    如果您未采用唯一网址标识符 格式， 则必须指定组织或项目名称以及位置。

  • ORGANIZATION_ID：安全配置文件所在的组织 ID。

  • PROJECT_ID：安全配置文件所在的项目 ID。

  • QUOTA_PROJECT_ID：您的配额项目 ID。 此标志仅适用于组织级安全配置文件。

输出类似于以下内容：

  • 组织级安全配置文件：organizations/ORGANIZATION_ID/locations/global/securityProfiles/CUSTOM_MIRRORING_PROFILE_NAME
  • 项目级安全配置文件：projects/PROJECT_ID/locations/global/securityProfiles/CUSTOM_MIRRORING_PROFILE_NAME

删除自定义安全配置文件

您可以通过指定自定义镜像安全配置文件的名称、位置和组织或项目来删除它。但是，如果自定义安全配置文件被安全配置文件组引用，则无法删除该自定义安全配置文件。

控制台

  1. 在 Google Cloud 控制台中，前往 安全配置文件 页面。

    前往“安全配置文件”页面

  2. 从项目选择器菜单中，选择您的组织或项目。

  3. 在安全配置文件 标签页中，选中安全配置文件的复选框，然后点击删除 。

  4. 再次点击删除 进行确认。

gcloud

如需删除自定义镜像安全配置文件，请使用 gcloud network-security security-profiles custom-mirroring delete 命令：

gcloud network-security security-profiles custom-mirroring \
    delete CUSTOM_MIRRORING_PROFILE_NAME \
    --organization ORGANIZATION_ID | --project PROJECT_ID \
    --location=global \
    [--billing-project QUOTA_PROJECT_ID]

替换以下内容：

  • CUSTOM_MIRRORING_PROFILE_NAME：您要删除的自定义安全配置文件的名称。

    如果您未采用唯一网址标识符 格式， 则必须指定组织或项目名称以及位置。

  • ORGANIZATION_ID：安全配置文件所在的组织 ID。

  • PROJECT_ID：安全配置文件所在的项目 ID。

  • QUOTA_PROJECT_ID：您的配额项目 ID。 此标志仅适用于组织级安全配置文件。

后续步骤