Puedes configurar políticas de seguridad de Google Cloud Armor para proteger tus servicios de ataques web y de denegación de servicio (DoS). Estas políticas usan la infraestructura global de Google para proteger tus aplicaciones y controlar el tráfico que fluye a través de los balanceadores de cargas.
En este documento, se proporcionan ejemplos de configuraciones de políticas de seguridad para varios tipos de balanceadores de cargas.
Usa la Cloud de Confiance consola o gcloud CLI para crear políticas de seguridad. En estas instrucciones, se supone que configuras políticas para un balanceador de cargas y un servicio de backend existentes. Para ver un ejemplo, consulta Crea el ejemplo.
Para crear reglas y vincular una política de seguridad a un servicio de backend, haz lo siguiente:
En la consola de Cloud de Confiance , ve a la página Políticas de Cloud Armor.
Haz clic en Crear políticas.
En el campo Nombre, ingresa el nombre de tu política.
Ingresa una descripción de la política (opcional).
En Tipo de política, elige Política de seguridad de backend o Política de seguridad perimetral.
En Acción de la regla predeterminada, selecciona Permitir para permitir el acceso de forma predeterminada o selecciona Rechazar para rechazar el acceso de forma predeterminada.
La regla predeterminada es la de menor prioridad que tiene efecto solo si no se aplica ninguna otra regla.
Si configuras una regla de rechazo, selecciona un código de respuesta de rechazo. Cloud Armor devuelve este código de estado si se rechaza una solicitud.
Haz clic en Próximo paso.
Agrega más reglas:
Selecciona el modo:
En el campo Coincidencia, especifica las condiciones a las que se aplica la regla:
En Acción, selecciona Permitir o Rechazar.
Para habilitar el modo de vista previa, selecciona Habilitar. En el modo de vista previa, Cloud Armor registra el efecto de la regla sin aplicarla.
Ingresa la Prioridad de la regla (de 0 a 2,147,483,646). Consulta Orden de evaluación de la regla.
Haz clic en Listo.
Para agregar más reglas, haz clic en Agregar regla. De lo contrario, haz clic en Siguiente paso.
Aplica políticas a los objetivos:
Para crear una política de seguridad de Cloud Armor, usa el comando gcloud compute security-policies create.
Usa la marca --type para especificar CLOUD_ARMOR (backend) o CLOUD_ARMOR_EDGE (borde). Si omites la marca, Cloud Armor crea una política de seguridad de backend:
gcloud compute security-policies create NAME \
[--type=CLOUD_ARMOR|CLOUD_ARMOR_EDGE] \
[--file-format=FILE_FORMAT | --description=DESCRIPTION] \
[--file-name=FILE_NAME]
Reemplaza lo siguiente:
NAME: El nombre de la política de seguridadFILE_FORMAT: Es el formato del archivo especificado en --file-name. Especifica yaml o json.DESCRIPTION: La descripción de la política de seguridadFILE_NAME: Es el nombre de un archivo que contiene una exportación en formato YAML o JSON de la política de seguridad.Con el siguiente comando, se actualiza una política, se activa el análisis de JSON y se cambia el nivel de registro a VERBOSE:
gcloud compute security-policies update my-policy \
--json-parsing=STANDARD \
--log-level=VERBOSE
Para agregar reglas a una política de seguridad, usa el comando gcloud
compute security-policies rules create PRIORITY.
gcloud compute security-policies rules create PRIORITY \
[--security-policy POLICY_NAME] \
[--description DESCRIPTION] \
--src-ip-ranges IP_RANGE,... | --expression EXPRESSION \
--action=[ allow | deny-403 | deny-404 | deny-502 ] \
[--preview]
Reemplaza lo siguiente:
PRIORITY: Es la prioridad de la regla. Consulta Orden de evaluación de reglas.POLICY_NAME: El nombre de tu política de seguridadDESCRIPTION: una descripción de la reglaIP_RANGE,...: Es una lista separada por comas de rangos de direcciones IP.EXPRESSION: Una expresión del lenguaje de reglas de Cloud ArmorPor ejemplo, el siguiente comando agrega una regla para bloquear el tráfico de 192.0.2.0/24 y 198.51.100.0/24. La regla tiene una prioridad de 1,000:
gcloud compute security-policies rules create 1000 \
--security-policy my-policy \
--description "block traffic from 192.0.2.0/24 and 198.51.100.0/24" \
--src-ip-ranges "192.0.2.0/24","198.51.100.0/24" \
--action "deny-403"
Con la marca --preview agregada, la regla se agrega a la política, pero no se aplica, y cualquier tráfico que active la regla solo se registra.
gcloud compute security-policies rules create 1000 \
--security-policy my-policy \
--description "block traffic from 192.0.2.0/24 and 198.51.100.0/24" \
--src-ip-ranges "192.0.2.0/24","198.51.100.0/24" \
--action "deny-403" \
--preview
Usa la marca --expression para especificar una condición personalizada. Consulta los atributos del lenguaje de reglas personalizadas.
El siguiente comando agrega una regla para permitir el tráfico desde la dirección IP 1.2.3.4 que contiene la cadena example en el encabezado User-Agent:
gcloud compute security-policies rules create 1000 \
--security-policy my-policy \
--expression "inIpRange(origin.ip, '1.2.3.4/32') && has(request.headers['user-agent']) && request.headers['user-agent'].contains('example')" \
--action allow \
--description "Block User-Agent 'example'"
Con el siguiente comando, se agrega una regla para bloquear solicitudes si la cookie de la solicitud contiene un valor específico:
gcloud compute security-policies rules create 1000 \
--security-policy my-policy \
--expression "has(request.headers['cookie']) && request.headers['cookie'].contains('cookie_name=cookie_value')" \
--action "deny-403" \
--description "Cookie Block"
Con el siguiente comando, se agrega una regla para bloquear solicitudes de la región AU:
gcloud compute security-policies rules create 1000 \
--security-policy my-policy \
--expression "origin.region_code == 'AU'" \
--action "deny-403" \
--description "AU block"
Con el siguiente comando, se agrega una regla para bloquear las solicitudes de la región AU que no están en el rango de IP especificado:
gcloud compute security-policies rules create 1000 \
--security-policy my-policy \
--expression "origin.region_code == 'AU' && !inIpRange(origin.ip, '1.2.3.0/24')" \
--action "deny-403" \
--description "country and IP block"
Con el siguiente comando, se agrega una regla para bloquear solicitudes con un URI que coincide con una expresión regular:
gcloud compute security-policies rules create 1000 \
--security-policy my-policy \
--expression "request.path.matches('/example_path/')" \
--action "deny-403" \
--description "regex block"
Con el siguiente comando, se agrega una regla para bloquear solicitudes si el valor decodificado en Base64 del encabezado de user-id contiene un valor específico:
gcloud compute security-policies rules create 1000 \
--security-policy my-policy \
--expression "has(request.headers['user-id']) && request.headers['user-id'].base64Decode().contains('myValue')" \
--action "deny-403" \
--description "country and IP block"
Con el siguiente comando, se agrega una regla que usa un conjunto de expresiones preconfiguradas para mitigar los ataques de SQLi:
gcloud compute security-policies rules create 1000 \
--security-policy my-policy \
--expression "evaluatePreconfiguredWaf('sqli-v422-stable')" \
--action "deny-403"
Con el siguiente comando, se agrega una regla que usa un conjunto de expresiones preconfiguradas para permitir el acceso desde todas las direcciones IP en una lista de direcciones IP con nombre:
gcloud compute security-policies rules create 1000 \
--security-policy my-policy \
--expression "evaluatePreconfiguredWaf('sourceiplist-fastly')" \
--action "allow"
Sigue los pasos de esta sección para configurar políticas de seguridad de Cloud Armor con alcance regional para los balanceadores de cargas de aplicaciones externos regionales.
Sigue los pasos de esta sección para configurar una política de seguridad para un servicio de backend con alcance regional:
Crea una política de seguridad con alcance regional.
gcloud compute security-policies create POLICY_NAME \
--type=CLOUD_ARMOR \
--region=REGION
Reemplaza lo siguiente:
POLICY_NAME: El nombre de la política de seguridadREGION: la región en la que se creará la política de seguridadVincula la política de seguridad con alcance regional a un servicio de backend con alcance regional. Reemplaza BACKEND_NAME por el nombre de tu servicio de backend existente con alcance regional.
gcloud compute backend-services update BACKEND_NAME \
--security-policy=POLICY_NAME \
--region=REGION
En este ejemplo, como administrador de seguridad, deseas satisfacer un requisito de residencia que exige que todas las cargas de trabajo de backend y las reglas del WAF se implementen en una región específica. Supongamos que ya cumpliste con las siguientes condiciones:
Puedes agregar reglas del WAF y otras reglas avanzadas a tu política con los siguientes comandos:
Agrega una regla del WAF a la política:
gcloud compute security-policies rules create 1000 --action=deny-404 \
--expression="evaluatePreconfiguredWaf('xss-v422-stable', ['owasp-crs-v042200-id941100-xss', 'owasp-crs-v042200-id941160-xss'])" \
--security-policy=POLICY_NAME \
--region=REGION
Reemplaza lo siguiente:
POLICY_NAME: El nombre de la política de seguridadREGION: La región de la política de seguridadAgrega una regla avanzada a la política:
gcloud compute security-policies rules create 1000 --action=allow \
--expression="has(request.headers['cookie']) && request.headers['cookie'].contains('80=EXAMPLE')" \
--security-policy=POLICY_NAME \
--region=REGION
Agrega una regla de límite de frecuencia a la política:
gcloud compute security-policies rules create 1000 --action=throttle \
--src-ip-ranges="1.1.1.1/32" \
--rate-limit-threshold-count=1000 \
--rate-limit-threshold-interval-sec=120 \
--conform-action="allow" \
--exceed-action="deny-429" \
--enforce-on-key=IP \
--ban-duration-sec=999 \
--ban-threshold-count=5000 \
--ban-threshold-interval-sec=60 \
--security-policy=POLICY_NAME \
--region=REGION
Reemplaza lo siguiente:
POLICY_NAME: El nombre de la política de seguridadREGION: La región de la política de seguridadSalvo que se indique lo contrario, el contenido de esta página está sujeto a la licencia Atribución 4.0 de Creative Commons, y los ejemplos de código están sujetos a la licencia Apache 2.0. Para obtener más información, consulta las políticas del sitio de Google Developers. Java es una marca registrada de Oracle o sus afiliados.
Última actualización: 2026-09-17 (UTC)