App Engine ファイアウォール ルールを作成する

次の gcloud app firewall-rules コマンドを実行して、ファイアウォール ルールを作成します。

1. ファイアウォール ルールを作成するには、次のコマンドを実行します。

   gcloud app firewall-rules create PRIORITY --action ALLOW_OR_DENY --source-range IP_RANGE --description DESCRIPTION

   ここで
   • PRIORITY には、1 から 2147483646 までの整数を指定します。この値によりルールの重要度と評価順序が定義されます。優先度 1 のルールが最初に評価されます。優先度 2147483647 のルールは最後に評価されます。この値は default ルール用に予約されています。
   • ALLOW_OR_DENY は、ルールに一致したリクエストのアクセスを許可するか拒否するかを指定します。有効な値は allow または deny です。ルールに allow を設定すると、リクエストがアプリに転送されます。ルールに deny を設定すると、リクエストには 403 Forbidden エラーが返されます。
   • IP_RANGE には、ルールを適用する IP アドレスの範囲を指定します。IP 範囲は CIDR 表記で定義する必要があります。ここにはサブネット マスクを使用することもでき、IPv4 と IPv6 の両方に対応しています。
   • DESCRIPTION には、ルールの説明を 100 文字以内で指定します。これは省略可能です。
2. 次のコマンドを実行してルールをテストし、優先度とアクションが期待どおり動作することを確認します。

   gcloud app firewall-rules test-ip IP_ADDRESS

   IP_ADDRESS は、ファイアウォールでテストする IP アドレスです。
3. 既存のルールを一覧表示するには、次のコマンドを実行します。

   gcloud app firewall-rules list

4. 既存のルールを削除するには、次のコマンドを実行します。

   gcloud app firewall-rules delete PRIORITY

   PRIORITY は、削除するルールの優先度値です。

例:

以下のサンプルを参考にして、ファイアウォールを作成してください。

• IPv6 アドレスとサブネット マスクを許可するルールを追加し、そのルールをテストして、他のルールより前に評価されることを確認します。

  gcloud app firewall-rules create 123 --source-range fe80::3636:3bff:fecc:8778/128 --action allow
  gcloud app firewall-rules test-ip fe80::3636:3bff:fecc:8778

• IPv4 アドレスとサブネット マスクを拒否するルールを追加し、そのルールをテストして、適切に評価されることを確認します。

  gcloud app firewall-rules create 123456 --source-range "74.125.0.0/16" --action deny
  gcloud app firewall-rules test-ip 74.125.0.8

• default ルールを更新してテストし、他のルールと一致しないすべての IP アドレスが制限されることを確認します。

  gcloud app firewall-rules update default --action deny
  gcloud app firewall-rules test-ip 123.456.7.89

App Engine アプリケーションのファイアウォール ルールをプログラムで作成するには、Admin API の apps.firewall.ingressRules メソッドを使用します。

ファイアウォール ルールをテストして、優先度とアクションが期待どおりに動作することを確認するには、apps.firewall.ingressRules.list メソッドを使用し、テストする IP アドレスを matchingAddress パラメータ内で指定します。