このページでは、Google Cloud Armor セキュリティ ポリシーを管理して、アプリケーションへの受信トラフィックをフィルタリングする方法について説明します。Cloud Armor セキュリティ ポリシーは、ウェブ アプリケーションとサービスを分散型サービス拒否（DDoS）攻撃などのインターネットの脅威から保護するのに役立ちます。強力なセキュリティ ポスチャーを適用するには、更新、テスト、バックエンド サービスへの接続、エクスポートまたはインポートを通じてセキュリティ ポリシーを管理する必要があります。
セキュリティ ポリシーを作成または表示するには、Cloud Armor セキュリティ ポリシーを作成して表示するをご覧ください。セキュリティ ポリシー内のルールを管理するには、Cloud Armor セキュリティ ポリシーのルールを管理するをご覧ください。
セキュリティ ポリシーを管理する
以降のセクションでは、セキュリティ ポリシーの更新、削除、テストの方法について説明します。
セキュリティ ポリシーを更新する
このセクションの手順では、Cloud Armor のセキュリティ ポリシーを更新する方法について説明します。ポリシーの説明を変更する、デフォルトのルールを変更する、ターゲット バックエンド サービスを変更する、ルールを追加する、といった操作が可能です。
コンソール
Cloud de Confiance コンソールで、[Cloud Armor ポリシー] ページに移動します。
ポリシーのリストで、更新するポリシーの名前を見つけて、そのポリシーの [メニュー] をクリックします。
- 説明またはデフォルトのルール アクションを更新するには、[編集] を選択して変更した後で [更新] をクリックします。
- ルールを追加するには、[ルールの追加] を選択し、セキュリティ ポリシーにルールを追加するの手順に沿って操作します。
- ターゲット バックエンド サービスを置き換えるには、[ターゲットにポリシーを適用する] を選択し、[ターゲットを追加] をクリックしてターゲットを選択し、[追加] をクリックします。
gcloud
セキュリティ ポリシーを更新するには、次の Google Cloud CLI の手順を行います。
- ルールを更新するには、セキュリティ ポリシーの 1 つのルールを更新するをご覧ください。
- ルールを追加するには、セキュリティ ポリシーにルールを追加するをご覧ください。
- ルールを削除するには、セキュリティ ポリシーからルールを削除するをご覧ください。
- 1 回のアトミック更新で複数のルールを更新するには、セキュリティ ポリシーの複数のルールをアトミックに更新するをご覧ください。
- ルール以外のフィールド（説明など）を更新するには、セキュリティ ポリシーをエクスポートするとセキュリティ ポリシーをインポートするをご覧ください。
セキュリティ ポリシーの削除
このセクションでは、Cloud Armor セキュリティ ポリシーを削除する方法について説明します。ポリシーを削除する前に、ポリシーからすべてのバックエンド サービスを削除します。
コンソール
Cloud de Confiance コンソールで、[Cloud Armor ポリシー] ページに移動します。
削除するポリシーの横にあるチェックボックスをオンにします。
ページの右上で [削除] をクリックします。
gcloud
gcloud compute security-policies delete NAME を使用してください。NAME は、セキュリティ ポリシーの名前に置き換えます。
gcloud compute security-policies delete NAME
セキュリティ ポリシーをテストする
すべての新しいルールをプレビュー モードでデプロイしてから、リクエストログを調べて、ポリシーとルールが期待どおりに動作していることを確認することをおすすめします。
セキュリティ ポリシーの接続と削除
以降のセクションでは、セキュリティ ポリシーを接続および削除する方法について説明します。
セキュリティ ポリシーをバックエンド サービスに接続する
このセクションの手順に沿って、Cloud Armor セキュリティ ポリシーをバックエンド サービスに接続します。1 つのセキュリティ ポリシーを複数のバックエンド サービスに接続できますが、1 つのバックエンド サービスに接続できるセキュリティ ポリシーは、セキュリティ ポリシーの種類ごとに 1 つずつに制限されます。
コンソール
Cloud de Confiance コンソールで、[Cloud Armor ポリシー] ページに移動します。
セキュリティ ポリシーの名前をクリックして、[ポリシーの詳細] ページを開きます。
ページ中央の [ターゲット] タブをクリックします。
[新しいターゲットにポリシーを適用] をクリックします。
[ターゲットを追加] をクリックします。
[ターゲット] リストでターゲットを選択し、[追加] をクリックします。
gcloud
バックエンド セキュリティ ポリシーをバックエンド サービスに接続する場合は、gcloud compute backend-services コマンドと --security-policy フラグを使用します。
gcloud compute backend-services update my-backend \
--security-policy my-policy
エッジ セキュリティ ポリシーをバックエンド サービスに接続する場合は、gcloud compute backend-services コマンドと --edge-security-policy フラグを使用します。
gcloud compute backend-services update my-backend \
--edge-security-policy my-policy
バックエンド サービスからセキュリティ ポリシーを削除する
このセクションの手順に沿って、Cloud Armor セキュリティ ポリシーをバックエンド サービスから削除します。
コンソール
Cloud de Confiance コンソールで、[Cloud Armor ポリシー] ページに移動します。
セキュリティ ポリシーの名前をクリックして、[ポリシーの詳細] ページを開きます。
ページ中央の [ターゲット] タブをクリックします。
ポリシーを削除するターゲット バックエンド サービスを選択します。
[削除] をクリックします。
[ターゲットを削除] メッセージで、[削除] をクリックします。
gcloud
バックエンド セキュリティ ポリシーを削除する場合は、gcloud compute
backend-services コマンドと --security-policy フラグを使用します。
gcloud compute backend-services update my-backend \
--security-policy ""
エッジ セキュリティ ポリシーを削除する場合は、gcloud compute
backend-services コマンドと --edge-security-policy フラグを使用します。
gcloud compute backend-services update my-backend \
--edge-security-policy ""