Cette page explique comment gérer les stratégies de sécurité Google Cloud Armor afin de filtrer le trafic entrant vers votre application. Les stratégies de sécurité Cloud Armor contribuent à protéger vos applications et services Web contre les attaques par déni de service distribué (DDoS) et d'autres menaces provenant d'Internet. Pour appliquer une stratégie de sécurité stricte, vous devez gérer vos stratégies de sécurité en les mettant à jour, en les testant, en les associant à des services de backend, et en les exportant ou en les important.
Pour créer ou afficher des stratégies de sécurité, consultez Créer et afficher des stratégies de sécurité Cloud Armor. Pour gérer les règles d'une stratégie de sécurité, consultez Gérer les règles de stratégie de sécurité Cloud Armor.
Gérer les stratégies de sécurité
Les sections suivantes expliquent comment mettre à jour, supprimer ou tester vos stratégies de sécurité.
Mettre à jour les stratégies de sécurité
Les étapes de cette section décrivent comment mettre à jour une stratégie de sécurité Cloud Armor. Vous pouvez modifier la description de la stratégie, la règle par défaut, le service de backend cible ou ajouter des règles.
Console
Dans la console Cloud de Confiance , accédez à la page Stratégies Cloud Armor.
Recherchez le nom de la stratégie que vous souhaitez mettre à jour dans la liste des stratégies, puis cliquez sur Menu pour cette stratégie.
- Pour mettre à jour la description ou l'action de règle par défaut, sélectionnez Modifier, apportez les modifications souhaitées et cliquez sur Mettre à jour.
- Pour ajouter une règle, sélectionnez Ajouter une règle, puis suivez les étapes de la section Ajouter des règles à une stratégie de sécurité.
- Pour remplacer le service de backend cible, sélectionnez Appliquer la stratégie à la cible, cliquez sur Ajouter une cible, sélectionnez une cible, puis cliquez sur Ajouter.
gcloud
Pour mettre à jour une stratégie de sécurité, suivez les instructions Google Cloud CLI suivantes :
- Pour mettre à jour une règle, consultez Mettre à jour une seule règle dans une stratégie de sécurité.
- Pour ajouter une règle, consultez Ajouter des règles à une stratégie de sécurité.
- Pour supprimer une règle, consultez Supprimer des règles d'une stratégie de sécurité.
- Pour mettre à jour plusieurs règles lors d'une seule mise à jour atomique, consultez Mettre à jour de façon atomique plusieurs règles dans une stratégie de sécurité.
- Pour mettre à jour les champs non liés aux règles (tels que la description), consultez Exporter des stratégies de sécurité et Importer des stratégies de sécurité.
Supprimer des stratégies de sécurité
Cette section explique comment supprimer une stratégie de sécurité Cloud Armor. Supprimez tous les services de backend de la stratégie avant de la supprimer.
Console
Dans la console Cloud de Confiance , accédez à la page Stratégies Cloud Armor.
Cochez la case située à côté de la règle que vous souhaitez supprimer.
En haut à droite de la page, cliquez sur Supprimer.
gcloud
Utilisez gcloud compute security-policies delete NAME. Remplacez NAME par le nom de la stratégie de sécurité :
gcloud compute security-policies delete NAME
Tester les stratégies de sécurité
Nous vous recommandons de déployer toutes les nouvelles règles en mode aperçu, puis d'examiner vos journaux de requêtes pour vérifier que les stratégies et les règles se comportent comme prévu.
Associer et supprimer des stratégies de sécurité
Les sections suivantes expliquent comment associer et supprimer des stratégies de sécurité.
Associer une stratégie de sécurité à un service de backend
Suivez les étapes de cette section pour associer une stratégie de sécurité Cloud Armor à un service de backend. Vous pouvez associer une stratégie de sécurité à plusieurs services de backend, mais un service de backend ne peut être associé qu'à un seul type de stratégie de sécurité.
Console
Dans la console Cloud de Confiance , accédez à la page Stratégies Cloud Armor.
Cliquez sur le nom de la stratégie de sécurité pour ouvrir la page Détails de la stratégie.
Au milieu de la page, cliquez sur l'onglet Cibles.
Cliquez sur Appliquer la règle à la nouvelle cible.
Cliquez sur Ajouter une cible.
Dans la liste Cible, sélectionnez une cible, puis cliquez sur Ajouter.
gcloud
Lorsque vous associez une stratégie de sécurité de backend à un service de backend, utilisez la commande gcloud compute backend-services et le flag --security-policy :
gcloud compute backend-services update my-backend \
--security-policy my-policy
Lorsque vous associez une stratégie de sécurité périphérique à un service de backend, utilisez la commande gcloud compute backend-services et l'option --edge-security-policy :
gcloud compute backend-services update my-backend \
--edge-security-policy my-policy
Supprimer une stratégie de sécurité d'un service de backend
Suivez les étapes de cette section pour supprimer une stratégie de sécurité Cloud Armor d'un service de backend.
Console
Dans la console Cloud de Confiance , accédez à la page Stratégies Cloud Armor.
Cliquez sur le nom de la stratégie de sécurité pour ouvrir la page Détails de la stratégie.
Au milieu de la page, cliquez sur l'onglet Cibles.
Sélectionnez le service de backend cible dont vous supprimez la règle.
Cliquez sur Supprimer.
Dans le message Supprimer la cible, cliquez sur Supprimer.
gcloud
Lorsque vous supprimez une stratégie de sécurité de backend, utilisez la commande gcloud compute
backend-services et le flag --security-policy :
gcloud compute backend-services update my-backend \
--security-policy ""
Lorsque vous supprimez une stratégie de sécurité périphérique, utilisez la commande gcloud compute
backend-services et le flag --edge-security-policy :
gcloud compute backend-services update my-backend \
--edge-security-policy ""