このページの一部またはすべての情報は、S3NS の Cloud de Confiance に適用されない場合があります。詳細については、Google Cloud との違いをご確認ください。

Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

Cloud Armor セキュリティポリシーを管理する

このページでは、Google Cloud Armor セキュリティポリシーを管理し、アプリケーションへの受信トラフィックをフィルタリングする方法について説明します。Cloud Armor セキュリティポリシーは、分散型サービス拒否（DDoS）攻撃やその他のインターネット脅威からウェブアプリケーションとサービスを保護するのに役立ちます。強固なセキュリティポスチャーを適用するには、セキュリティポリシーの作成、テスト、統合を通じて管理する必要があります。セキュリティポリシーを作成または表示するには、Cloud Armor セキュリティポリシーを作成して表示するをご覧ください。

セキュリティポリシーを管理する

以降のセクションでは、セキュリティポリシーの一覧表示、更新、削除、テストを行う方法について説明します。

セキュリティポリシーを一覧表示する

このセクションの手順に沿って、プロジェクト内の Cloud Armor セキュリティポリシーを一覧表示します。

コンソール

Cloud de Confiance コンソールで、[Cloud Armor ポリシー] ページに移動します。

[Cloud Armor ポリシー] に移動
ポリシーを表示するには、ポリシーのリストで、その特定のポリシーの名前をクリックします。

gcloud

gcloud compute security-policies list

次に例を示します。

gcloud compute security-policies list

出力:

NAME: my-policy
REGION: us-central1

詳細については、gcloud compute security-policies list をご覧ください。

セキュリティポリシーを更新する

このセクションの手順では、Cloud Armor のセキュリティポリシーを更新する方法について説明します。ポリシーの説明の変更、デフォルトのルールの変更、ターゲットバックエンドサービスの変更、ルールの追加を行うことができます。

コンソール

Cloud de Confiance コンソールで、[Cloud Armor ポリシー] ページに移動します。

[Cloud Armor ポリシー] に移動
ポリシーのリストで、更新するポリシーの名前を見つけて、そのポリシーの [メニュー] をクリックします。
- 説明またはデフォルトのルールアクションを更新するには、[編集] を選択して変更した後で [更新] をクリックします。
- ルールを追加するには、[ルールを追加] を選択し、セキュリティポリシーにルールを追加するの手順に沿って操作します。
- ターゲットバックエンドサービスを置き換えるには、[ターゲットへのポリシーの適用] を選択し、[ターゲットを追加] をクリックしてターゲットを選択してから、[追加] をクリックします。

gcloud

セキュリティポリシーを更新するには、次の Google Cloud CLI の手順を行います。

ルールを更新するには、セキュリティポリシーで 1 つのルールを更新するをご覧ください。
ルールを追加するには、セキュリティポリシーにルールを追加するをご覧ください。
ルールを削除するには、セキュリティポリシーからルールを削除するをご覧ください。
1 回のアトミックアップデートで複数のルールを更新するには、セキュリティポリシーの複数のルールをアトミックに更新するをご覧ください。
ルール以外のフィールド（説明など）を更新するには、セキュリティポリシーをエクスポートするとセキュリティポリシーをインポートするをご覧ください。

セキュリティポリシーの削除

このセクションでは、Cloud Armor セキュリティポリシーを削除する方法について説明します。ポリシーを削除する前に、ポリシーからすべてのバックエンドサービスを削除します。

コンソール

Cloud de Confiance コンソールで、[Cloud Armor ポリシー] ページに移動します。

[Cloud Armor ポリシー] に移動
削除するポリシーの横にあるチェックボックスをオンにします。
ページの右上で [削除] をクリックします。

gcloud

gcloud compute security-policies delete NAME を使用してください。NAME は、セキュリティポリシーの名前に置き換えます。

gcloud compute security-policies delete NAME

セキュリティポリシーをテストする

すべての新しいルールをプレビューモードでデプロイしてから、リクエストログを調べて、ポリシーとルールが期待どおりに動作していることを確認することをおすすめします。

セキュリティポリシーのルールを管理する

以降のセクションでは、セキュリティポリシーのルールの一覧表示、追加、更新、削除を行う方法について説明します。

セキュリティポリシーのルールを一覧表示する

このセクションの手順に沿って、Cloud Armor セキュリティポリシーのルールを一覧表示します。

コンソール

Cloud de Confiance コンソールで、[Cloud Armor ポリシー] ページに移動します。

[Cloud Armor ポリシー] に移動
特定のセキュリティポリシーの名前をクリックします。[ポリシーの詳細] ページの [ルール] タブにポリシールールが表示されます。

gcloud

次の gcloud コマンドを使用して、セキュリティポリシー内のすべてのルールを一覧表示します。

gcloud compute security-policies describe NAME \

次の gcloud コマンドを使用して、指定されたリージョンの 1 つのセキュリティポリシー内のすべてのルールを、ポリシーの説明とともに一覧表示します。

gcloud compute security-policies describe NAME \
  --region REGION

次の gcloud コマンドを使用して、ルールの説明を取得します。

gcloud compute security-policies rules describe PRIORITY \
    --security-policy POLICY_NAME

たとえば、次のコマンドは、セキュリティポリシー my-policy の優先度が 1, 000 のルールを記述します。

gcloud compute security-policies rules describe 1000 \
    --security-policy my-policy

出力:

action: deny(403)
description: block traffic from 192.0.2.0/24 and 198.51.100.0/24
kind: compute#securityPolicyRule
match:
  srcIpRanges:
  - '192.0.2.0/24'
  - '198.51.100.0/24'
preview: false
priority: 1000

詳細については、gcloud compute security-policies describe をご覧ください。

セキュリティポリシーにルールを追加する

このセクションの手順に沿って、Cloud Armor セキュリティポリシーにルールを追加します。

コンソール

Cloud de Confiance コンソールで、[Cloud Armor ポリシー] ページに移動します。

[Cloud Armor ポリシー] に移動
セキュリティポリシーの名前をクリックして、[ポリシーの詳細] ページを開きます。
ページ中央の [ルール] タブをクリックします。
[ルールを追加] をクリックします。
（省略可）ルールの説明を入力します。
モードを選択します。
- 基本モード: IP アドレスまたは IP 範囲に基づいて、トラフィックを許可または拒否します。
- 詳細モード: ルール式に基づいてトラフィックを許可または拒否します。
[一致] フィールドで、ルールが適用される条件を指定します。
- 基本モード: ルールで照合する IP アドレス範囲の数を 1 ～ 10 の間で入力します。追加できる IP アドレス範囲は 10 個までです。上限については、Cloud Armor の割り当てと上限をご覧ください。
- 詳細モード:
  - 一致条件作成ツール（プレビュー）: 視覚的なビルダーを使用して、生の CEL コードを記述せずに式を作成します。条件を組み合わせてグループ化し、文字列変換を適用します。一致条件作成ツールを使用するをご覧ください。
  - 一致条件エディタ: 受信リクエストと照らして評価する式を入力します。詳細については、カスタムルール言語リファレンスをご覧ください。
- 次の式は、User-Agent ヘッダーに文字列 example を含む IP アドレス 1.2.3.4 からのリクエストと一致します。
```
  inIpRange(origin.ip, '1.2.3.4/32') && has(request.headers['user-agent']) && request.headers['user-agent'].contains('example')
```
- 次の式は、特定の値を含む Cookie を持つリクエストと一致します。
```
    has(request.headers['cookie']) && request.headers['cookie'].contains('cookie_name=cookie_value')
  
```
- 次の式は、リージョン AU からのリクエストと一致します。
```
    origin.region_code == 'AU'
  
```
- 次の式は、指定された IP 範囲に存在しないリージョン AU からのリクエストを照合します。
```
    origin.region_code == "AU" && !inIpRange(origin.ip, '1.2.3.0/24')
  
```
- 次の式は、URI が正規表現に一致する場合、リクエストを照合します。
```
    request.path.matches('/example_path/')
  
```
- 次の式は、user-id ヘッダーに Base64 でエンコードされた値が含まれており、その値をデコードすると特定の文字列が含まれている場合に、リクエストを照合します。
```
    has(request.headers['user-id']) && request.headers['user-id'].base64Decode().contains('myValue')
  
```
- 事前構成された式セットを使用する次の式は、SQLi 攻撃を照合します。
```
    evaluatePreconfiguredWaf('sqli-stable')
  
```
[アクション] リストで、[許可] または [拒否] を選択します。
拒否ルールを作成している場合は、[拒否ステータス] メッセージを選択します。
ルールのプレビューモードを有効にするには、[有効にする] を選択します。
[優先度] フィールドに正の整数を入力します。
[追加] をクリックします。

gcloud

gcloud compute security-policies rules create PRIORITY コマンドを使用します。PRIORITY は、ポリシー内のルールの優先度に置き換えます。

gcloud compute security-policies rules create PRIORITY \
    --security-policy POLICY_NAME \
    --description DESCRIPTION \
    --src-ip-ranges IP_RANGES | --expression EXPRESSION \
    --action=[ allow | deny-403 | deny-404 | deny-502 ] \
    --preview

たとえば、次のコマンドは、優先度 1000 のルールを追加して、IP アドレス範囲 192.0.2.0/24 と 198.51.100.0/24 からのトラフィックをブロックします。

gcloud compute security-policies rules create 1000 \
    --security-policy my-policy \
    --description "block traffic from 192.0.2.0/24 and 198.51.100.0/24" \
    --src-ip-ranges "192.0.2.0/24","198.51.100.0/24" \
    --action "deny-403"

条件を指定するには、--expression フラグを使用します。次のコマンドは、User-Agent ヘッダーに文字列 example を含む IP アドレス 1.2.3.4 からのトラフィックを許可するルールを追加します。

gcloud compute security-policies rules create 1000 \
    --security-policy my-policy \
    --expression "inIpRange(origin.ip, '1.2.3.4/32') && has(request.headers['user-agent']) && request.headers['user-agent'].contains('example')" \
    --action allow \
    --description "Block User-Agent 'example'"

次のコマンドは、リクエストの Cookie に特定の値が含まれている場合に、リクエストをブロックするルールを追加します。

gcloud compute security-policies rules create 1000 \
    --security-policy my-policy \
    --expression "has(request.headers['cookie']) && request.headers['cookie'].contains('80=BLAH')" \
    --action deny-403 \
    --description "Cookie Block"

次のコマンドは、リージョン AU からのリクエストをブロックするルールを追加します。

gcloud compute security-policies rules create 1000 \
    --security-policy my-policy \
    --expression "origin.region_code == 'AU'" \
    --action deny-403 \
    --description "AU block"

次のコマンドは、指定した IP 範囲にないリージョン AU からのリクエストをブロックするルールを追加します。

gcloud compute security-policies rules create 1000 \
    --security-policy my-policy \
    --expression "origin.region_code == "AU" && !inIpRange(origin.ip, '1.2.3.0/24')" \
    --action deny-403 \
    --description "country and IP block"

次のコマンドは、正規表現に一致する URI を含むリクエストをブロックするルールを追加します。

gcloud compute security-policies rules create 1000 \
    --security-policy my-policy \
    --expression "request.path.matches('/example_path/')" \
    --action deny-502 \
    --description "regex block"

次のコマンドは、Base64 デコードされた user-id ヘッダーの値に特定の値が含まれている場合に、リクエストをブロックするルールを追加します。

gcloud compute security-policies rules create 1000 \
    --security-policy my-policy \
    --expression "has(request.headers['user-id']) && request.headers['user-id'].base64Decode().contains('myValue')" \
    --action deny-403 \
    --description "country and IP block"

次のコマンドは、SQLi 攻撃を緩和する目的で設定された事前構成済みの式を使用するルールを追加します。

gcloud compute security-policies rules create 1000 \
    --security-policy my-policy \
    --expression "evaluatePreconfiguredWaf('sqli-stable')" \
    --action deny-403

セキュリティポリシー内の単一のルールを更新する

このセクションでは、Cloud Armor セキュリティポリシーの単一のルールを更新する方法について説明します。複数のルールをアトミックに更新するには、セキュリティポリシーで複数のルールをアトミックに更新するをご覧ください。

コンソール

Cloud de Confiance コンソールで、[Cloud Armor ポリシー] ページに移動します。

[Cloud Armor ポリシー] に移動
セキュリティポリシーの名前をクリックして、[ポリシーの詳細] ページを開きます。
ページ中央の [ルール] タブをクリックします。
更新するルールの横にある [編集] をクリックします。[ルールの編集] ページが表示されます。
変更を加え、[更新] をクリックします。

gcloud

ルールを更新するには、次のコマンドを使用します。一度に更新できるセキュリティポリシーは 1 つだけです。

gcloud compute security-policies rules update PRIORITY [ \
    --security-policy POLICY_NAME  \
    --description DESCRIPTION  \
    --src-ip-ranges IP_RANGES  | --expression EXPRESSION \
    --action=[ allow | deny-403 | deny-404 | deny-502 ]  \
    --preview
  ]

たとえば、次のコマンドは、IP アドレス範囲 192.0.2.0/24 からのトラフィックを許可する優先度 1111 のルールを更新します。

gcloud compute security-policies rules update 1111 \
    --security-policy my-policy \
    --description "allow traffic from 192.0.2.0/24" \
    --src-ip-ranges "192.0.2.0/24" \
    --action "allow"

上記のコマンドの詳細については、gcloud compute security-policies rules update をご覧ください。

ルールの優先度を更新するには、REST API を使用します。securityPolicies.patchRule をご覧ください。

一致条件作成ツールを使用する

一致条件作成ツールは、 Cloud de Confiance コンソールのビジュアルインターフェースです。これにより、Common Expression Language（CEL）コードを記述せずに複雑な Cloud Armor ルール式を作成できます。コードを記述する代わりに、ビルダーの構造化された UI を使用して条件とグループロジックを組み合わせることができます。これにより、構文エラーを回避し、ルール構造をより適切に可視化できます。ビルダーは、フラットリストと 5 レベルまでのネストされたロジックをサポートしています。このツールは、マルチクラウドバックエンドまたはハイブリッドデプロイを保護するルールを構成するときに使用します。この場合、トラフィックをルーティングする前に特定のリクエスト属性を検査する必要がある場合があります。

一致条件作成ツールの機能

一致条件作成ツールには次の機能があります。

ロジックとネスト: AND 演算子と OR 演算子を使用して複数の条件を組み合わせます。ビルダーは、最大 5 つの式をグループ化してネストすることをサポートしています。
文字列変換: 文字列ベースの属性（request.path や request.headers など）の場合、評価前に変換を適用してデータを正規化します。サポートされている変換は次のとおりです。
- 小文字と大文字
- Base64 デコード
- URL デコードと URL デコード（Unicode）
- UTF-8 から Unicode への変換
双方向解析: 視覚的な一致条件ビルダーと未加工テキストの一致条件エディタを切り替えます。UI は、未加工の CEL コードをビジュアルブロックに自動的に解析します。
関数サポート: ビルダーは、事前構成された WAF ルール、アドレスグループ、Threat Intelligence などの関数ベースの式用の UI コントロールを提供します。

制限事項

一致条件作成ツールは、高度なルールを作成するためのデフォルトのインターフェースです。式にサポートされていないロジック（不明なマクロなど）が含まれている場合、ビルダーは無効になります。このような場合は、[一致条件エディタ] の未加工のテキストを使用してルールを編集します。

また、ビルダーで使用できる特定の式は、プロジェクトの Google Cloud Armor Enterprise ティアとセキュリティポリシーのタイプによって異なります。

セキュリティポリシーの複数のルールをアトミックに更新する

アトミック更新機能を使用すると、1 回の更新で複数のルールに変更を適用できます。単一ルールの更新では、古いルールと新しいルールが短期間重複する可能性があるため、エラーなどの意図しない動作が発生することがあります。

複数のルールをアトミックに更新するには、現在のセキュリティポリシーを JSON ファイルまたは YAML ファイルにエクスポートして、ファイルを変更します。変更したファイルを使用してセキュリティポリシーを作成し、バックエンドサービスのセキュリティポリシーを切り替えます。

gcloud

次の例に示すように、更新するポリシーをエクスポートします。

gcloud compute security-policies export my-policy \
    --file-name my-file \
    --file-format yaml

エクスポートされたポリシーは、たとえば次の例のようになります。

    description: my description
    fingerprint: PWfLGDWQDLY=
    id: '123'
    name: my-policy
    rules:
    - action: deny(404)
      description: my-rule-1
      match:
        expr:
          expression: evaluatePreconfiguredWaf('xss-stable')
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 1
    - action: allow
      description: my-rule-2
      match:
        config:
          srcIpRanges:
          - '1.2.3.4'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 2
    - action: deny
      description: default rule
      kind: compute#securityPolicyRule
      match:
        config:
          srcIpRanges:
          - '*'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 2147483647
    selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/securityPolicies/my-policy

テキストエディタを使用してポリシーを変更します。たとえば、既存のルールの優先度を変更したり、ルールを追加したりできます。

    description: my description
    fingerprint: PWfLGDWQDLY=
    id: '123'
    name: my-policy
    rules:
    - action: deny(404)
      description: my-rule-1
      match:
        expr:
          expression: evaluatePreconfiguredWaf('xss-stable')
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 1
    - action: allow
      description: my-new-rule
      match:
        config:
          srcIpRanges:
          - '1.2.3.1'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 10
    - action: allow
      description: my-rule-2
      match:
        config:
          srcIpRanges:
          - '1.2.3.4'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 11
    - action: deny
      description: default rule
      kind: compute#securityPolicyRule
      match:
        config:
          srcIpRanges:
          - '*'
        versionedExpr: SRC_IPS_V1
      preview: false
      priority: 2147483647
    selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/securityPolicies/my-policy

次の例に示すように、新しい Cloud Armor セキュリティポリシーを作成し、変更したファイルの名前と形式を指定します。
```
gcloud compute security-policies create new-policy \
    --file-name modified-policy \
    --file-format yaml
```
次の例に示すように、関連するバックエンドサービスから古いセキュリティポリシーを削除します。
```
gcloud compute backend-services update my-backend \
    --security-policy ""
```
次の例に示すように、新しいセキュリティポリシーをバックエンドサービスに追加します。
```
gcloud compute backend-services update my-backend \
    --security-policy new-policy
```
古いポリシーが使用されていない場合は、ポリシーを削除します。
```
gcloud compute security-policies delete my-policy
```

セキュリティポリシーからルールを削除する

このセクションの手順に沿って、Cloud Armor セキュリティポリシーからルールを削除します。

コンソール

Cloud de Confiance コンソールで、[Cloud Armor ポリシー] ページに移動します。

[Cloud Armor ポリシー] に移動
セキュリティポリシーの名前をクリックして、[ポリシーの詳細] ページを開きます。
ページ中央の [ルール] タブで、削除するルールの横にあるチェックボックスをオンにします。
[削除] をクリックします。

gcloud

ルールを削除するには、次のコマンドを使用します。一度に変更できるセキュリティポリシーは 1 つだけですが、一度に複数のルールを削除できます。

gcloud compute security-policies rules delete PRIORITY [...] [
    --security-policy POLICY_NAME \
  ]

次に例を示します。

gcloud compute security-policies rules delete 1000 \
    --security-policy my-policy

セキュリティポリシーの接続と削除

以降のセクションでは、セキュリティポリシーの関連付けと削除の方法について説明します。

セキュリティポリシーをバックエンドサービスに接続する

このセクションの手順に沿って、Cloud Armor セキュリティポリシーをバックエンドサービスに接続します。セキュリティポリシーは複数のバックエンドサービスに接続できますが、1 つのバックエンドサービスに接続できるセキュリティポリシーは種類ごとに 1 つだけです。

コンソール

Cloud de Confiance コンソールで、[Cloud Armor ポリシー] ページに移動します。

[Cloud Armor ポリシー] に移動
セキュリティポリシーの名前をクリックして、[ポリシーの詳細] ページを開きます。
ページ中央の [ターゲット] タブをクリックします。
[新しいターゲットにポリシーを適用] をクリックします。
[ターゲットを追加] をクリックします。
[ターゲット] リストでターゲットを選択し、[追加] をクリックします。

gcloud

バックエンドセキュリティポリシーをバックエンドサービスに接続する場合は、gcloud compute backend-services コマンドと --security-policy フラグを使用します。

gcloud compute backend-services update my-backend \
    --security-policy my-policy

エッジセキュリティポリシーをバックエンドサービスに接続する場合は、gcloud compute backend-services コマンドと --edge-security-policy フラグを使用します。

gcloud compute backend-services update my-backend \
    --edge-security-policy my-policy

バックエンドサービスからセキュリティポリシーを削除する

このセクションの手順に沿って、Cloud Armor セキュリティポリシーをバックエンドサービスから削除します。

コンソール

Cloud de Confiance コンソールで、[Cloud Armor ポリシー] ページに移動します。

[Cloud Armor ポリシー] に移動
セキュリティポリシーの名前をクリックして、[ポリシーの詳細] ページを開きます。
ページ中央の [ターゲット] タブをクリックします。
ポリシーを削除する対象のバックエンドサービスを選択します。
[削除] をクリックします。
[ターゲットを削除] メッセージで、[削除] をクリックします。

gcloud

バックエンドセキュリティポリシーを削除する場合は、gcloud compute backend-services コマンドと --security-policy フラグを使用します。

gcloud compute backend-services update my-backend \
    --security-policy ""

エッジセキュリティポリシーを削除する場合は、gcloud compute backend-services コマンドと --edge-security-policy フラグを使用します。

gcloud compute backend-services update my-backend \
    --edge-security-policy ""

Cloud Armor セキュリティ ポリシーを管理する

セキュリティ ポリシーを管理する

セキュリティ ポリシーを一覧表示する

コンソール

gcloud

セキュリティ ポリシーを更新する

コンソール

gcloud

セキュリティ ポリシーの削除

コンソール

gcloud

セキュリティ ポリシーをテストする

セキュリティ ポリシーのルールを管理する

セキュリティ ポリシーのルールを一覧表示する

コンソール

gcloud

セキュリティ ポリシーにルールを追加する

コンソール

gcloud

セキュリティ ポリシー内の単一のルールを更新する

コンソール

gcloud

一致条件作成ツールを使用する

一致条件作成ツールの機能

制限事項

セキュリティ ポリシーの複数のルールをアトミックに更新する

gcloud

セキュリティ ポリシーからルールを削除する

コンソール

gcloud

セキュリティ ポリシーの接続と削除

セキュリティ ポリシーをバックエンド サービスに接続する

コンソール

gcloud

バックエンド サービスからセキュリティ ポリシーを削除する

コンソール

gcloud

セキュリティ ポリシーのインポートとエクスポート

セキュリティ ポリシーをエクスポートする

gcloud

セキュリティ ポリシーをインポートする

gcloud

使用可能な事前構成ルールを一覧表示する

gcloud

次のステップ

Cloud Armor セキュリティポリシーを管理する

セキュリティポリシーを管理する

セキュリティポリシーを一覧表示する

セキュリティポリシーを更新する

セキュリティポリシーの削除

セキュリティポリシーをテストする

セキュリティポリシーのルールを管理する

セキュリティポリシーのルールを一覧表示する

セキュリティポリシーにルールを追加する

セキュリティポリシー内の単一のルールを更新する

セキュリティポリシーの複数のルールをアトミックに更新する

セキュリティポリシーからルールを削除する

セキュリティポリシーの接続と削除

セキュリティポリシーをバックエンドサービスに接続する

バックエンドサービスからセキュリティポリシーを削除する

セキュリティポリシーのインポートとエクスポート

セキュリティポリシーをエクスポートする

セキュリティポリシーをインポートする