Google 会使用 AI 技术将内容翻译成您偏好的语言。AI 翻译可能包含错误。
管理 Cloud Armor 安全政策
本页面介绍了如何管理 Google Cloud Armor 安全政策，以过滤流向应用的传入流量。Cloud Armor 安全政策可帮助保护您的 Web 应用和服务免受分布式拒绝服务 (DDoS 攻击) 攻击和来自互联网的其他威胁。若要强制执行强大的安全状况，您需要通过更新、测试、附加到后端服务以及导出或导入来管理安全政策。
如需创建或查看安全政策，请参阅创建和查看 Cloud Armor 安全政策。如需管理安全政策中的规则，请参阅管理 Cloud Armor 安全政策规则。
管理安全政策
以下部分介绍了如何更新、删除或测试安全政策。
更新安全政策
本部分中的步骤介绍了如何更新 Cloud Armor 安全政策。您可以修改政策的说明、修改默认规则、更改目标后端服务或添加规则。
控制台
在 Cloud de Confiance 控制台中，前往 Cloud Armor 政策页面。
前往“Cloud Armor 政策”页面
在政策列表中找到要更新的政策的名称，然后点击该政策的 more_vert菜单。
- 如需更新说明或默认规则操作，请选择修改，进行所需的更改，然后点击更新。
- 如要添加规则，请选择添加规则，然后按照向安全政策添加规则中的步骤操作。
- 如需替换目标后端服务，请选择将政策应用于目标，点击添加目标，选择一个目标，然后点击添加。
gcloud
如要更新安全政策，请使用以下 Google Cloud CLI 步骤：
删除多项安全政策
本部分介绍了如何删除 Cloud Armor 安全政策。
必须先从政策中移除所有后端服务，然后才能删除政策。
控制台
在 Cloud de Confiance 控制台中，前往 Cloud Armor 政策页面。
前往“Cloud Armor 政策”页面
选中要删除的政策旁边的复选框。
点击页面右上角的delete删除。
gcloud
使用 gcloud compute security-policies delete NAME。将 NAME 替换为安全政策的名称：
gcloud compute security-policies delete NAME
测试安全政策
我们建议您在预览模式下部署所有新规则，然后检查请求日志，以验证政策和规则的行为符合预期。
添加和移除安全政策
以下部分介绍了如何附加和移除安全政策。
将安全政策附加到后端服务
按照本部分中的步骤将 Cloud Armor 安全政策附加到后端服务。您可以将一个安全政策附加到多个后端服务，但一个后端服务只能附加每种类型中的一个安全政策。
控制台
在 Cloud de Confiance 控制台中，前往 Cloud Armor 政策页面。
前往“Cloud Armor 政策”页面
点击安全政策的名称，打开政策详情页面。
在页面中间，点击目标标签页。
点击将政策应用于新目标。
点击添加目标。
在目标列表中，选择一个目标，然后点击添加。
gcloud
将后端安全政策附加到后端服务时，请使用 gcloud compute backend-services 命令和 --security-policy 标志：
gcloud compute backend-services update my-backend \
--security-policy my-policy
将边缘安全政策附加到后端服务时，请使用 gcloud compute backend-services 命令和 --edge-security-policy 标志：
gcloud compute backend-services update my-backend \
--edge-security-policy my-policy
从后端服务中移除安全政策
按照本部分中的步骤从后端服务中移除 Cloud Armor 安全政策。
控制台
在 Cloud de Confiance 控制台中，前往 Cloud Armor 政策页面。
前往“Cloud Armor 政策”页面
点击安全政策的名称，打开政策详情页面。
在页面中间，点击目标标签页。
选择要从中移除政策的目标后端服务。
点击移除。
在移除目标消息中，点击移除。
gcloud
移除后端安全政策时，请使用 gcloud compute
backend-services 命令和 --security-policy 标志：
gcloud compute backend-services update my-backend \
--security-policy ""
移除边缘安全政策时，请使用 gcloud compute
backend-services 命令和 --edge-security-policy 标志：
gcloud compute backend-services update my-backend \
--edge-security-policy ""
导入和导出安全政策
以下部分介绍了如何导入和导出安全政策。
导出安全政策
您可以使用 Google Cloud CLI 将 Cloud Armor 安全政策导出为 YAML 或 JSON 文件。此功能具有以下优势：
gcloud
在以下命令中，NAME 是安全政策的名称。有效文件格式为 YAML 和 JSON。如果您不指定文件格式，则 Cloud Armor 会使用 YAML。
gcloud compute security-policies export NAME \
--file-name FILE_NAME \
--file-format FILE_FORMAT
以下示例展示了将 my-policy 安全政策以 YAML 格式导出到 my-file 文件的命令：
gcloud compute security-policies export my-policy \
--file-name my-file \
--file-format yaml
以下示例显示了导出的安全政策：
description: my description
fingerprint: PWfLGDWQDLY=
id: '123'
name: my-policy
rules:
- action: allow
description: default rule
match:
config:
srcIpRanges:
- '*'
versionedExpr: SRC_IPS_V1
preview: false
priority: 2147483647
selfLink: https://www.googleapis.com/compute/v1/projects/my-project/global/securityPolicies/my-policy
使用文本编辑器修改导出的文件，然后使用 import 命令将其导入回 Cloud de Confiance by S3NS 。
导入安全政策
您可以使用 Google Cloud CLI 从 YAML 或 JSON 文件导入 Cloud Armor 安全政策。您不能使用 import 命令更新现有政策的规则。相反，您必须使用更新安全政策中的单个规则过程逐个更新规则，或者使用以原子方式更新安全政策中的多个规则过程一次性更新所有规则。
gcloud
如需导入安全政策，请使用以下 gcloud compute
security-policies import NAME 命令。
gcloud compute security-policies import NAME \
--file-name FILE_NAME \
[--file-format FILE_FORMAT]
例如，以下命令通过导入文件 my-file 来更新政策 my-policy。
gcloud compute security-policies import my-policy \
--file-name my-file \
--file-format json
将 NAME 替换为安全政策的名称。如果您未提供文件格式，将根据文件结构采用正确的格式。如果结构无效，gcloud CLI 会返回一条出错提示。
如果导入时该政策的指纹已过期，则 Cloud Armor 会返回错误。这意味着该政策在上次导出后已被修改。如需解决此问题，请对政策使用 describe 命令以获取最新指纹。您可以将 --format=yaml 或 --format=json 与 describe 命令结合使用，以便更轻松地进行比较。将 describe 输出的 rules 部分与政策文件中的 rules 部分进行比较，合并所有差异，然后将文件中的过时指纹替换为 describe 输出中的最新指纹。
后续步骤
如未另行说明，那么本页面中的内容已根据知识共享署名 4.0 许可获得了许可，并且代码示例已根据 Apache 2.0 许可获得了许可。有关详情，请参阅 Google 开发者网站政策。Java 是 Oracle 和/或其关联公司的注册商标。
最后更新时间 (UTC)：2026-11-04。
[[["易于理解","easyToUnderstand","thumb-up"],["解决了我的问题","solvedMyProblem","thumb-up"],["其他","otherUp","thumb-up"]],[["没有我需要的信息","missingTheInformationINeed","thumb-down"],["太复杂/步骤太多","tooComplicatedTooManySteps","thumb-down"],["内容需要更新","outOfDate","thumb-down"],["翻译问题","translationIssue","thumb-down"],["示例/代码问题","samplesCodeIssue","thumb-down"],["其他","otherDown","thumb-down"]],["最后更新时间 (UTC)：2026-11-04。"],[],[]]
