Les sections suivantes expliquent comment Cloud Armor interagit avec d'autres fonctionnalités et produits Trusted Cloud by S3NS .
Règles de pare-feu VPC et Cloud Armor
Les stratégies de sécurité Cloud Armor et les règles de pare-feu VPC ont des fonctions différentes :
- Les règles de sécurité Cloud Armor offrent une sécurité périphérique et agissent sur le trafic client vers les GFE (Google Front End).
- Les règles de pare-feu VPC autorisent ou refusent le trafic vers et depuis vos backends. Vous devez créer des règles de pare-feu autorisant le trafic entrant, dont les cibles sont les VM de backend à équilibrage de charge et dont les sources sont des plages d'adresses IP utilisées par des équilibreurs de charge d'application externes globaux ou des équilibreurs de charge d'application classiques. Ces règles autorisent les GFE et les systèmes de vérification de l'état à communiquer avec vos VM de backend.
Par exemple, supposons que vous souhaitiez n'autoriser que le trafic provenant des plages CIDR 100.1.1.0/24 et 100.1.2.0/24 à accéder à votre équilibreur de charge d'application externe global ou à votre équilibreur de charge d'application classique. Votre objectif est d'empêcher le trafic d'atteindre directement les instances backend à équilibrage de charge. En d'autres termes, seul le trafic externe transmis par proxy via l'équilibreur de charge d'application externe global ou l'équilibreur de charge d'application classique associé à une stratégie de sécurité peut atteindre les instances.
Le schéma précédent illustre la configuration de déploiement suivante :
- Créez deux groupes d'instances, un dans la région
us-west1
et l'autre dans la régioneurope-west1
. - Déployez des instances d'application backend sur les VM dans les groupes d'instances.
- Créez un équilibreur de charge d'application externe global ou un équilibreur de charge d'application classique en Niveau Premium. Configurez un mappage d'URL et un service de backend unique dont les backends sont les deux groupes d'instances que vous avez créés à l'étape précédente. La règle de transfert de l'équilibreur de charge doit utiliser l'adresse IP externe
120.1.1.1
. - Configurez une stratégie de sécurité Cloud Armor qui autorise le trafic provenant des plages CIDR 100.1.1.0/24 et 100.1.2.0/24 et refuse tout autre trafic.
- Associez cette stratégie au service de backend de l'équilibreur de charge. Pour obtenir des instructions, consultez Configurer des stratégies de sécurité Cloud Armor. Les équilibreurs de charge HTTP(S) externes avec des mappages d'URL plus complexes peuvent référencer plusieurs services de backend. Vous pouvez associer la stratégie de sécurité à un ou plusieurs des services de backend, si nécessaire.
- Configurez des règles de pare-feu autorisant le trafic entrant pour accepter le trafic provenant de l'équilibreur de charge d'application externe mondial ou de l'équilibreur de charge d'application classique. Pour plus d'informations, consultez la section Règles de pare-feu.
Cloud Armor avec Cloud Run, App Engine ou Cloud Run Functions
Vous pouvez utiliser les règles de sécurité Cloud Armor avec un backend de NEG sans serveur qui pointe vers un service Cloud Run, App Engine ou Cloud Run Functions.
Toutefois, lorsque vous utilisez Cloud Armor avec des NEG sans serveur, Cloud Run ou des fonctions Cloud Run, tous les accès au point de terminaison sans serveur doivent être filtrés par une règle de sécurité Cloud Armor.
Les utilisateurs disposant de l'URL par défaut d'une application sans serveur peuvent contourner l'équilibreur de charge et accéder directement à l'URL du service. Cela permet de contourner les règles de sécurité Cloud Armor. Pour résoudre ce problème, désactivez l'URL par défaut que Trusted Cloud attribue automatiquement aux services Cloud Run ou aux fonctions Cloud Run Functions (2e génération). Pour protéger les applications App Engine, vous pouvez utiliser des contrôles d'entrée.
Si vous utilisez des contrôles d'entrée pour appliquer vos contrôles d'accès à l'ensemble du trafic entrant, vous pouvez utiliser le paramètre d'entrée internal-and-gclb
lorsque vous configurez Cloud Run Functions ou Cloud Run.
Le paramètre d'entrée internal-and-gclb
n'autorise que le trafic interne et le trafic envoyé à une adresse IP externe exposée par l'équilibreur de charge d'application externe mondial ou l'équilibreur de charge d'application classique. Le trafic envoyé à ces URL par défaut depuis l'extérieur de votre réseau privé est bloqué.
Cela empêche les utilisateurs de contourner les contrôles d'accès (tels que les règles de sécurité Cloud Armor) configurés via l'équilibreur de charge d'application externe global ou l'équilibreur de charge d'application classique.
Pour en savoir plus sur les NEG sans serveur, consultez les pages Présentation des groupes de points de terminaison du réseau sans serveur et Configurer des NEG sans serveur.
Cloud Armor avec Cloud Service Mesh
Vous pouvez configurer des règles de sécurité pour les services internes de votre maillage de services afin d'appliquer une limitation du débit côté serveur global par client. Cela vous permet de partager équitablement la capacité disponible de votre service et de réduire le risque de surcharge de vos services par des clients malveillants ou au comportement inapproprié. Vous associez une stratégie de sécurité à une stratégie de point de terminaison Cloud Service Mesh pour appliquer la limitation du débit au trafic entrant côté serveur. Toutefois, vous ne pouvez pas configurer de règle de sécurité Google Cloud Armor si vous utilisez le routage du trafic TCP. Pour en savoir plus sur l'utilisation de Cloud Armor avec Cloud Service Mesh, consultez Configurer la limitation du débit avec Cloud Armor.