Cloud IDS を構成する

次の手順でアプリケーションの Cloud IDS を構成します。Cloud IDS のコンセプトについては、Cloud IDS の概要をご覧ください。

始める前に

Cloud IDS を構成する前に、次の要件を満たす必要があります。

Cloud IDS の IAM 権限を設定する

Cloud IDS には、Identity and Access Management（IAM）ロールがいくつかあります。このコマンドの例を参考に、必要な IAM 権限をプリンシパルに付与してください。

• Cloud IDS 管理者のロール（roles/ids.admin）。 このロールを持つプロジェクト プリンシパルは、IDS エンドポイントを作成できます。プロジェクト オーナーにはすでにこの権限が付与されているため、IDS エンドポイントを作成するために明示的に ids.admin ロールを付与する必要はありません。

  gcloud projects add-iam-policy-binding PROJECT_ID \
     --role=roles/ids.admin \
     --member=user:USER_NAME ;
  

  このロールにより次の操作が可能になります。

  • エンドポイントの作成
  • エンドポイントの削除
  • エンドポイントの取得
  • エンドポイントの一覧表示

• Cloud IDS 閲覧者のロール（roles/ids.viewer）。プロジェクト閲覧者と、このロールを持つプリンシパルは、IDS エンドポイントに対する読み取り専用権限を持ちます。プロジェクトのオーナー、編集者、閲覧者にはすでにこの権限が付与されています。

  gcloud projects add-iam-policy-binding PROJECT_ID \
     --role=roles/ids.viewer \
     --member=user:USER_NAME ;
  

• コンピューティング パケット ミラーリング ユーザーのロール（roles/compute.packetMirroringUser）。パケット ミラーリング ポリシーを IDS エンドポイントに接続するために必要なロールです。ロール compute.securityAdmin またはロール container.serviceAgent を割り当てられている場合は、すでにこの権限が付与されています。このロールについて詳しくは、IAM の基本ロールと事前定義ロールのリファレンスをご覧ください。

  gcloud projects add-iam-policy-binding PROJECT_ID \
     --role=roles/compute.packetMirroringUser \
     --member=user:USER_NAME ;
  

• ログ閲覧者のロール（roles/logging.viewer）。Cloud IDS の重要なコア機能である、最近の脅威の表示に必要な追加のロールです。このロールについて詳しくは、アクセス制御ガイドをご覧ください。

  gcloud projects add-iam-policy-binding PROJECT_ID \
     --role=roles/logging.viewer \
     --member=user:USER_NAME ;
  

また、次の権限も追加で必要になります。

• compute.regions.list
• compute.zones.list

プライベート サービス アクセスを設定する

IDS エンドポイントを作成するには、Service Networking API を有効にして、Virtual Private Cloud（VPC）ネットワークのネットワーク ピアリングを設定する必要があります。この設定は、Google Cloud コンソールまたは Google Cloud CLI を使用して、お客様のプロジェクトごとに 1 回だけ行います。IP アドレス範囲を割り当てる際は、RFC 1918 に準拠したプライベート IP アドレス範囲（10.0.0.0/8、172.16.0.0/12、192.168.0.0/16）を使用する必要があります。そうでない場合、エンドポイントの作成に失敗します。

プライベート サービス アクセスを設定するには、次の手順で操作します。

1. 次のコマンドを使用して、Service Networking API を有効にします。PROJECT_ID は実際のプロジェクト ID に置き換えてください。

   gcloud services enable servicenetworking.googleapis.com \
    --project=PROJECT_ID
   

2. ネットワークで IP アドレス範囲をまだ割り当てていない場合は、VPC ネットワークで Google サービスに IP 範囲を割り当てる必要があります。次のコマンドでは、addresses フィールドを省略できます。VPC ネットワークで使用されていないアドレス範囲がGoogle Cloud により選択されます。

   gcloud compute addresses create RESERVED_RANGE_NAME \
     --global \
     --purpose=VPC_PEERING \
     --addresses=192.168.0.0 \
     --prefix-length=16 \
     --description="DESCRIPTION" \
     --network=VPC_NETWORK
   

   次のように置き換えます。

   • RESERVED_RANGE_NAME: 割り振り範囲の名前（my-allocated-range など）。

   • DESCRIPTION: 範囲の説明（allocated for my-service など）。

   • VPC_NETWORK: VPC ネットワークの名前（my-vpc-network など）

3. サービス プロデューサーへのプライベート接続を作成します。プライベート接続により、VPC ネットワークとサービス プロデューサーのネットワークの間に VPC ネットワーク ピアリング接続が確立されます。

   既存のプライベート接続がある場合は、gcloud services vpc-peerings update コマンドを使用して更新します。

   gcloud services vpc-peerings update \
     --service=servicenetworking.googleapis.com \
     --ranges=RESERVED_RANGE_NAME \
     --network=VPC_NETWORK \
     --project=PROJECT_ID
   

   プライベート接続がまだない場合は、gcloud services vpc-peerings connect コマンドを使用します。このコマンドにより、オペレーション名を返す長時間実行オペレーションが開始されます。

   gcloud services vpc-peerings connect \
     --service=servicenetworking.googleapis.com \
     --ranges=RESERVED_RANGE_NAME \
     --network=VPC_NETWORK \
     --project=PROJECT_ID
   

   次のように置き換えます。

   • RESERVED_RANGE_NAME: 1 つ以上の割り当て範囲の名前

   • VPC_NETWORK: VPC ネットワークの名前

   • PROJECT_ID: VPC ネットワークが使用されるプロジェクトの ID

   オペレーションが成功したかどうかを確認するには、gcloud services vpc-peerings operations describe コマンドを使用します。

   gcloud services vpc-peerings operations describe \
       --name=OPERATION_NAME
   

   OPERATION_NAME は、前の手順で返されたオペレーション名に置き換えます。

モニタリングする VPC ネットワークごとに手順 2～3 を繰り返します。

省略可: VPC Service Controls を有効にする

プライベート サービス アクセスを有効にすると、必要に応じて Cloud IDS で VPC Service Controls を有効にできます。有効になっている場合は、services vpc-peerings enable-vpc-service-controls コマンドを実行して、すべてのピアリング接続で VPC Service Controls を有効にします。

gcloud services vpc-peerings enable-vpc-service-controls \
    --service=servicenetworking.googleapis.com \
    --network=VPC_NETWORK \
    --project=PROJECT_ID

次のように置き換えます。

• VPC_NETWORK: VPC ネットワークの名前

• PROJECT_ID: VPC ネットワークが使用されるプロジェクトの ID

Cloud IDS エンドポイントを作成する

ワークロードをデプロイしたすべてのリージョンに IDS エンドポイントを作成することをおすすめします。リージョンごとに複数の IDS エンドポイントを作成することもできます。次の手順で IDS エンドポイントを作成し、IDS サービス プロファイルを割り当てます。

gcloud ids endpoints delete ENDPOINT_NAME \
   [--project=PROJECT_ID] \
   [--zone=ZONE] \
   [--no-async] \
   [GCLOUD_WIDE_FLAG...]

gcloud ids endpoints describe ENDPOINT_NAME \
   [--project=PROJECT_ID] \
   [--zone=ZONE] \
   [GCLOUD_WIDE_FLAG...]

gcloud ids endpoints list /
    [--filter=EXPRESSION] \
    [--limit=LIMIT] \
    [--page-size=PAGE_SIZE] \
    [--sort-by=[FIELD,...]] \
    [--uri] \
    [GCLOUD_WIDE_FLAG...]

POST https://ids.googleapis.com/v1/projects/PROJECT_NAME/locations/ZONE/endpoints?endpointId=ENDPOINT_NAME
{
    "network": "NETWORK_NAME",
    "severity": "SEVERITY_LEVEL",
}

DELETE https://ids.googleapis.com/v1/projects/PROJECT_NAME/locations/ZONE/endpoints?endpointId=ENDPOINT_NAME

GET https://ids.googleapis.com/v1/projects/PROJECT_NAME/locations/ZONE/endpoints?endpointId=ENDPOINT_NAME

GET https://ids.googleapis.com/v1/projects/PROJECT_NAME/locations/ZONE/endpoints

GET https://ids.googleapis.com/v1/projects/PROJECT_NAME/locations/-/endpoints

省略可: 脅威の例外を構成する

Cloud IDS エンドポイントの作成または更新時に、--threat-exceptions フラグを使用してノイズの多いまたは不要な脅威 ID を無効にできます。次の例では、既存の Cloud IDS エンドポイント ENDPOINT_NAME を更新して、脅威 ID THREAT_ID1 と THREAT_ID2 を除外します。

   gcloud ids endpoints update ENDPOINT_NAME 

      --threat-exceptions=THREAT_ID1,THREAT_ID2
   

次のステップ

• ログを確認する
• 問題のトラブルシューティングを行う