Mit Sammlungen den Überblick behalten
Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.
Eine Sicherheitsprofilgruppe ist ein Container für Sicherheitsprofile. Eine Firewallrichtlinienregel verweist auf eine Sicherheitsprofilgruppe, um die Layer-7-Prüfung wie die Einbruchsprävention in Ihrem Netzwerk zu aktivieren.
Dieses Dokument bietet eine detaillierte Übersicht über Sicherheitsprofilgruppen und deren Funktionen.
Spezifikationen
Eine Sicherheitsprofilgruppe ist eine Ressource auf Organisationsebene.
Sie können einer Sicherheitsprofilgruppe nur ein Sicherheitsprofil vom Typ threat-prevention hinzufügen.
Jede Sicherheitsprofilgruppe wird eindeutig durch eine URL mit den folgenden Elementen identifiziert:
Organisations-ID: ID der Organisation.
Standort: Geltungsbereich der Sicherheitsprofilgruppe. Der Standort ist immer auf global festgelegt.
Name: Name der Sicherheitsprofilgruppe im folgenden Format:
Ein String mit 1 bis 63 Zeichen
Enthält nur alphanumerische Zeichen oder Bindestriche (-)
Darf nicht mit einer Ziffer beginnen
Verwenden Sie das folgende Format, um eine eindeutige URL-ID für eine Sicherheitsprofilgruppe zu erstellen:
Eine Firewallrichtlinienrichtlinie muss den Namen der Sicherheitsgruppe enthalten, die vom Firewall-Endpunkt verwendet werden soll, um eine Layer-7-Prüfung für den Netzwerk-Traffic durchzuführen.
Die Firewallrichtlinienregel gilt für eingehenden und ausgehenden Traffic des VPC-Netzwerks (Virtual Private Cloud). Der übereinstimmende Traffic wird zusammen mit dem konfigurierten Namen der Sicherheitsprofilgruppe an den Firewall-Endpunkt weitergeleitet.
Der Firewall-Endpunkt verwendet das in der Sicherheitsprofilgruppe angegebene Sicherheitsprofil, um die Pakete auf Bedrohungen zu scannen und konfigurierte Aktionen anzuwenden.
Jeder Sicherheitsprofilgruppe muss eine Projekt-ID zugeordnet sein. Das zugehörige Projekt wird für Kontingente und Zugriffsbeschränkungen für Sicherheitsprofilgruppenressourcen verwendet. Wenn Sie Ihr Dienstkonto mit dem Befehl gcloud auth activate-service-account authentifizieren, können Sie Ihr Dienstkonto der Gruppe der Sicherheitsprofile zuordnen.
Weitere Informationen zum Erstellen einer Profilgruppe finden Sie unter Sicherheitsprofilgruppen erstellen und verwalten.
Identitäts- und Zugriffsverwaltungsrollen
IAM-Rollen (Identity and Access Management) steuern die folgenden Aktionen für Sicherheitsprofilgruppen:
Sicherheitsprofilgruppe in einer Organisation erstellen
Sicherheitsprofilgruppe ändern oder löschen
Details einer Sicherheitsprofilgruppe ansehen
Liste der Sicherheitsprofilgruppen in einer Organisation aufrufen
Sicherheitsprofilgruppe in einer Firewallrichtlinienregel verwenden
In der folgenden Tabelle werden die Rollen beschrieben, die für jeden Schritt erforderlich sind.
Funktion
Erforderliche Rolle
Sicherheitsprofilgruppe erstellen
Rolle compute.networkAdmin für die Organisation, in der die Sicherheitsprofilgruppe erstellt wird.
Sicherheitsprofilgruppe ändern
Rolle compute.networkAdmin für die Organisation, in der die Sicherheitsprofilgruppe erstellt wird.
Details zur Sicherheitsprofilgruppe in einer Organisation ansehen
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-01-31 (UTC)."],[[["\u003cp\u003eSecurity profile groups are containers for security profiles, enabling Layer 7 inspection on network traffic when referenced in a firewall policy rule.\u003c/p\u003e\n"],["\u003cp\u003eEach security profile group is uniquely identified by a URL that includes the organization ID, location (always global), and a name that follows specific formatting rules.\u003c/p\u003e\n"],["\u003cp\u003eFirewall policy rules must specify a security profile group with the \u003ccode\u003eapply_security_profile_group\u003c/code\u003e action to redirect traffic to the firewall endpoint for threat scanning.\u003c/p\u003e\n"],["\u003cp\u003eSecurity profile groups can only contain one \u003ccode\u003ethreat-prevention\u003c/code\u003e security profile and their access is governed by IAM roles, such as Security Profile Admin, compute network viewer and compute network user.\u003c/p\u003e\n"],["\u003cp\u003eEach security profile group is associated with a project ID for managing quotas and access restrictions.\u003c/p\u003e\n"]]],[],null,["# Security profile group overview\n\nA security profile group is a container for security profiles. A firewall\npolicy rule references a security profile group to enable Layer 7 inspection,\nsuch as [intrusion detection and prevention service](/firewall/docs/about-intrusion-prevention),\non your network.\n\nThis document provides a detailed overview of security profile groups and\ntheir capabilities.\n\nSpecifications\n--------------\n\n- A security profile group is an organizational level resource.\n\n- You can add only one [security profile](/firewall/docs/about-security-profiles)\n of type `threat-prevention` to a security profile group.\n\n- Each security profile group is uniquely identified by a URL with\n the following elements:\n\n - **Organization ID:** ID of the organization.\n - **Location:** scope of the security profile group. Location is always set to `global`.\n - **Name:** security profile group name in the following format:\n - A string 1-63 characters long\n - Includes only alphanumeric characters or hyphens (-)\n - Must not start with a number\n\n To construct a unique URL identifier for a security profile group, use the\n following format: \n\n organization/\u003cvar translate=\"no\"\u003eORGANIZATION_ID\u003c/var\u003e/locations/\u003cvar translate=\"no\"\u003eLOCATION\u003c/var\u003e/securityProfileGroups/\u003cvar translate=\"no\"\u003eSECURITY_PROFILE_GROUP_NAME\u003c/var\u003e\n\n For example, a `global` security profile group `example-security-profile-group` in\n organization `2345678432` has the following unique identifier: \n\n organization/2345678432/locations/global/securityProfileGroups/example-security-profile-group\n\n- To perform Layer 7 inspection of the network traffic, a firewall policy rule\n must contain the name of the security profile group to be used by the\n firewall endpoint.\n\n- Security profile groups apply to firewall policies only when you add a\n firewall policy rule with action `apply_security_profile_group`. You can\n configure security profile groups in\n [hierarchical firewall policy rules](/firewall/docs/using-firewall-policies#create-rules)\n and [global network firewall policy rules](/firewall/docs/use-network-firewall-policies#create-rules).\n\n- The firewall policy rule applies to incoming and outgoing traffic of the\n Virtual Private Cloud (VPC) network. The matched traffic is redirected\n to the firewall endpoint along with the configured security profile group name.\n The firewall endpoint uses the security profile specified in the security\n profile group to scan the packets for threats and apply configured actions.\n\n To learn more about how to configure threat prevention, see\n [Configure intrusion detection and prevention service](/firewall/docs/configure-intrusion-prevention).\n- Each security profile group must have an associated project ID. The associated\n project is used for quotas and access restrictions on security\n profile group resources. If you authenticate your service account by using the\n [`gcloud auth activate-service-account` command](/sdk/gcloud/reference/auth/activate-service-account),\n you can associate your service account with the security profile group.\n To learn more about how to create a profile group,\n see [Create and manage security profile groups](/firewall/docs/configure-security-profile-groups#create-security-profile-group).\n\nIdentity and Access Management roles\n------------------------------------\n\nIdentity and Access Management (IAM) roles govern the following security profile group actions:\n\n- Creating a security profile group in an organization\n- Modifying or deleting a security profile group\n- Viewing details of a security profile group\n- Viewing a list of security profile groups in an organization\n- Using a security profile group in a firewall policy rule\n\nThe following table describes the roles that are necessary for each step.\n\nWhat's next\n-----------\n\n- [Configure intrusion detection and prevention service](/firewall/docs/configure-intrusion-prevention)\n- [Create and manage security profile groups](/firewall/docs/configure-security-profile-groups)"]]
