建立及管理鏡像端點群組

本頁說明如何在消費者的帳戶中設定及管理鏡像端點群組，以代表生產者的鏡像流量部署項目群組。

建議您在安全管理員擁有的專案中建立鏡像端點群組。如要建立鏡像端點群組關聯，安全管理員必須將「Mirroring Endpoint Admin」(鏡像端點管理員) (roles/networksecurity.mirroringAdmin) 和「Mirroring Endpoint Network Admin」(鏡像端點網路管理員) (roles/networksecurity.mirroringEndpointNetworkAdmin) 角色指派給專案或網路管理員。

如果您已在與虛擬私有雲 (VPC) 網路相關聯的防火牆政策中，啟用鏡像規則動作 MIRROR，並建立鏡像端點群組關聯，鏡像流量就會轉送至鏡像端點群組。

事前準備

角色

如要取得建立、查看或刪除鏡像端點群組所需的權限，請要求管理員在 Google Cloud 專案中授予您必要的Identity and Access Management (IAM) 角色。如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和機構的存取權」。

如要查看這個頁面列出的作業進度，請確認您的使用者角色具備「鏡像端點管理員」(roles/networksecurity.mirroringEndpointAdmin) 和「鏡像部署使用者」(roles/networksecurity.mirroringDeploymentUser) 角色和權限。

您必須在供應商專案中擁有鏡像流量部署項目使用者角色 (roles/networksecurity.mirroringDeploymentUser)，才能將消費者的鏡像端點群組連結至供應商的鏡像流量部署項目群組。

配額

如要查看與鏡像端點群組相關聯的配額，請參閱「配額與限制」。

建立鏡像端點群組

本節說明如何建立鏡像端點群組，以鏡像特定區域中的封包。如要將流量鏡像至單一部署群組，請在直接模式中建立鏡像端點群組。如要將流量鏡像至多個部署群組，請在代理程式模式 (預覽版) 中建立鏡像端點群組。

直接鏡像模式

為鏡像的直接模式建立鏡像端點群組。

gcloud

如要為直接鏡像模式建立鏡像端點群組，請使用 gcloud network-security mirroring-endpoint-groups create 指令：

 gcloud network-security mirroring-endpoint-groups create ENDPOINT_GROUP \
     --location global \
     --project PROJECT_NAME \
     --mirroring-deployment-group DEPLOYMENT_GROUP \
     --no-async

更改下列內容：

  • ENDPOINT_GROUP：鏡像端點群組的名稱。

  • PROJECT_NAME：要在其中建立鏡像端點群組的專案名稱。

  • DEPLOYMENT_GROUP：目標鏡像流量部署項目的名稱。

如要將鏡像端點群組與虛擬私有雲網路建立關聯，請參閱「建立及管理鏡像端點群組關聯」。

Terraform

如要建立鏡像端點群組，可以使用 google_network_security_mirroring_endpoint_group 資源。

resource "google_network_security_mirroring_endpoint_group" "default" {
  mirroring_endpoint_group_id = "mirroring-endpoint-group"
  location                    = "global"
  mirroring_deployment_group  = google_network_security_mirroring_deployment_group.default.id
}

如要瞭解如何套用或移除 Terraform 設定，請參閱「基本 Terraform 指令」。

鏡像模式的代理程式模式

為封包鏡像的代理程式模式建立鏡像端點群組。

gcloud

如要為代理程式模式建立鏡像端點群組，請使用 gcloud network-security mirroring-endpoint-groups create 指令：

gcloud beta network-security mirroring-endpoint-groups create ENDPOINT_GROUP \
    --location global \
    --project PROJECT_NAME \
     --type broker \
    --mirroring-deployment-groups DEPLOYMENT_GROUP_1,DEPLOYMENT_GROUP_2 \
    --no-async

更改下列內容：

  • ENDPOINT_GROUP：鏡像端點群組的名稱。

  • PROJECT_NAME：要在其中建立鏡像端點群組的專案名稱。

  • TYPE：將 broker 指定為鏡像端點群組的類型。預設值為 direct。

  • DEPLOYMENT_GROUP：以半形逗號分隔的鏡像部署群組清單。

如要將鏡像端點群組與虛擬私有雲網路建立關聯，請參閱「建立及管理鏡像端點群組關聯」。

Terraform

如要建立鏡像端點群組，可以使用 google_network_security_mirroring_endpoint_group 資源。

resource "google_network_security_mirroring_endpoint_group" "default" {
  mirroring_endpoint_group_id = "mirroring-endpoint-group"
  location                    = "global"
  mirroring_deployment_group  = google_network_security_mirroring_deployment_group.default.id
}

如要瞭解如何套用或移除 Terraform 設定，請參閱「基本 Terraform 指令」。

查看鏡像端點群組

您可以查看特定鏡像端點群組的詳細資料。

gcloud

如要查看鏡像端點群組的詳細資料，請使用 gcloud network-security mirroring-endpoint-groups describe 指令：

 gcloud network-security mirroring-endpoint-groups \
     describe ENDPOINT_GROUP \
     --location global

將 ENDPOINT_GROUP 替換為鏡像端點群組的名稱。

列出鏡像端點群組

您可以列出專案中的所有鏡像端點群組。

gcloud

如要列出所有 Mirroring 端點群組，請使用 gcloud network-security mirroring-endpoint-groups list 指令：

 gcloud network-security mirroring-endpoint-groups list \
     --project PROJECT_NAME \
     --location global

將 PROJECT_NAME 替換為建立鏡像端點群組的專案名稱。

刪除鏡像端點群組

您可以指定名稱、位置和專案，刪除鏡像端點群組。

gcloud

如要刪除 Mirroring 端點群組，請使用 gcloud network-security mirroring-endpoint-groups delete 指令：

 gcloud network-security mirroring-endpoint-groups delete ENDPOINT_GROUP
     --project PROJECT_NAME \
     --location global \
     --no-async

更改下列內容：

  • ENDPOINT_GROUP：鏡像端點群組的名稱。

  • PROJECT_NAME：建立鏡像端點群組的專案名稱。

後續步驟