バックエンド サービスでカスタム ヘッダーを作成する

カスタム リクエスト ヘッダーとカスタム レスポンス ヘッダーを使用すると、ロードバランサが HTTP(S) のリクエストとレスポンスに追加できる追加のヘッダーを指定できます。ロードバランサで検出された情報に応じて、これらのヘッダーには次の情報が含まれます。

• クライアントまでのレイテンシ
• クライアントの IP アドレスの地理的位置
• TLS 接続のパラメータ

カスタム リクエスト ヘッダーはバックエンド サービスでサポートされていますが、カスタム レスポンス ヘッダーはバックエンド サービスとバックエンド バケットでサポートされています。

ロードバランサは、バックエンドとクライアントの間でプロキシするすべての HTTP(S) リクエストとレスポンスに、デフォルトで特定のヘッダーを追加します。詳細については、ターゲット プロキシをご覧ください。

始める前に

• 必要に応じて、次のコマンドで Google Cloud CLI を最新バージョンに更新します。

  gcloud components update
  

カスタム ヘッダーの動作

カスタム ヘッダーは次のように動作します。

• ロードバランサがバックエンドにリクエストを転送する、ロードバランサはリクエスト ヘッダーを追加します。

  ロードバランサは、カスタム リクエスト ヘッダーをクライアント リクエストにのみ追加します。ヘルスチェック プローブには追加しません。バックエンドで認可に特定のヘッダーが必要であり、ヘルスチェック パケットにヘッダーが含まれていない場合、ヘルスチェックが失敗する可能性があります。

• ロードバランサはレスポンス ヘッダーを設定してから、クライアントにレスポンスを返します。

カスタム ヘッダーを有効にするには、バックエンド サービスまたはバックエンド バケットのプロパティにヘッダーのリストを指定します。

各ヘッダーを header-name:header-value 文字列として指定します。ヘッダーには、ヘッダー名とヘッダー値を区切るコロンを含める必要があります。

ヘッダー名は次の要件を満たす必要があります。

• ヘッダー名は、有効な HTTP ヘッダー フィールド名の定義でなければなりません（RFC 7230 を遵守）。
• Host ヘッダーの構成は可能ですが、特定の制限が適用されます。
• ヘッダー名を authority にすることはできません。これは Google Cloud が予約する特殊なキーワードです。グローバル外部アプリケーション ロードバランサなどの Envoy ベースのロードバランサの場合、このヘッダーは変更できません。代わりに、予約されたヘッダー名が干渉しないように、他のカスタム ヘッダーを作成することをおすすめします。
• ヘッダー名を X-User-IP または CDN-Loop にすることはできません。
• ホップバイホップ ヘッダー Keep-Alive、Transfer-Encoding、TE、Connection、Trailer、Upgrade、Proxy-Authorization、Proxy-Authenticate は使用しないでください。RFC 2616 により、これらのヘッダーはキャッシュに保存されず、ターゲット プロキシによって伝播されません。
• ヘッダー名を X-Google、X-Goog-、X-GFE、X-Amz- で始めることはできません。
• 追加されたヘッダーのリストに、ヘッダー名を複数回使用することはできません。

ヘッダー値は、次の要件を満たす必要があります。

• ヘッダー値は、HTTP ヘッダー フィールドで有効な定義でなければなりません（RFC 7230 に準拠、古いフォームは使用不可）。
• ヘッダー値は空白にできます。
• ヘッダー値には、中括弧で囲まれた 1 つ以上の変数を含めることができます。この変数は、ロードバランサで提供される値に展開されます。ヘッダー値に使用できる変数のリストについては、次のセクションで説明します。

gcloud コマンドライン ツールには、リクエスト ヘッダーを指定するフラグ --custom-request-header があります。このフラグでは、ヘッダー名とヘッダー値を必ず一重引用符（'）で囲んでください。

フラグの一般的な形式は次のとおりです。

    --custom-request-header='HEADER_NAME:[HEADER_VALUE]'

次の例は、2 つの変数（client_region と client_city）が中かっこで囲まれたヘッダー値の例です。

    --custom-request-header='X-Client-Geo-Location:{client_region},{client_city}'

カリフォルニア州のマウンテン ビューに存在するクライアントの場合、ロードバランサにより次のようなヘッダーが追加されます。

X-Client-Geo-Location:US,Mountain View

Host ヘッダー

グローバル外部アプリケーション ロードバランサでカスタム Host ヘッダーを構成する場合、次の制限が適用されます。

• カスタムの Host リクエスト ヘッダーは、既存の Host リクエスト ヘッダーを置き換える場合にのみ構成できます。
• URL マップでヘッダー アクションを使用して、カスタム Host レスポンス ヘッダーを構成することはできません。ただし、バックエンド サービスではカスタム Host レスポンス ヘッダーを構成できます。
• また、リクエスト ヘッダーとレスポンス ヘッダーの両方に以下が適用されます。
  • カスタム Host ヘッダーを追加または削除することはできません。
  • カスタム Host ヘッダーで変数を使用することはできません。

ヘッダー値でサポートされる変数

カスタム ヘッダー値には、以下の変数を使用できます。

ロードバランサで値を決定できない場合、変数は空の文字列に展開されます。例:

• IP アドレスのロケーションが不明な場合の地理的なロケーションの変数
• TLS が使用されていない場合の TLS パラメータ
• リクエストに Origin ヘッダーが含まれていない場合の {origin_request_header}
• リクエスト ヘッダーに含まれている場合の {cdn_cache_status} ヘッダー

地理的な値（リージョン、下位地域区分、都市）は、クライアントの IP アドレスに基づく推定値です。Google では、正確性を高め、地理的、政治的な変化を反映させるため、これらの値を提供するデータを更新しています。元の X-Forwarded-For ヘッダーに有効な位置情報が含まれている場合でも、Google はロードバランサで受信したパケットに含まれる送信元 IP アドレスの情報を使用して、クライアントの位置を推定します。

ロードバランサによって追加されたヘッダーにより、同じ名前の既存のヘッダーはすべて上書きされます。ヘッダー名では、大文字と小文字は区別されません。ヘッダー名が HTTP/2 バックエンドに渡されると、HTTP/2 プロトコルによりヘッダー名は小文字としてエンコードされます。

ヘッダー値では、先頭の空白と末尾の空白は重要ではなく、バックエンドには渡されません。ヘッダー値で中括弧を許可するために、ロードバランサでは 2 つの左中括弧（{{）を単一の左中括弧（{）に変換し、2 つの右中括弧（}}）を単一の右中括弧（}）に変換します。

相互 TLS カスタム ヘッダー

ロードバランサの TargetHttpsProxy で相互 TLS（mTLS）が構成されている場合、次の追加のヘッダー変数を使用できます。

カスタム リクエスト ヘッダーを構成する

gcloud compute backend-services create BACKEND_SERVICE_NAME \
    --global-health-checks \
    --global \
    --protocol HTTPS \
    --health-checks https-basic-check \
    --custom-request-header='HEADER_NAME:[HEADER_VALUE]'

gcloud compute backend-services update BACKEND_SERVICE_NAME \
    --global \
    --custom-request-header='HEADER_1_NAME:[HEADER_1_VALUE]' \
    --custom-request-header='HEADER_2_NAME:[HEADER_2_VALUE]'

gcloud compute backend-services update BACKEND_SERVICE_NAME \
    --global \
    --no-custom-request-headers

PATCH https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/backendServices/BACKEND_SERVICE_NAME
"customRequestHeaders": [
   "client_city:Mountain View"
]

カスタム レスポンス ヘッダーを構成する

gcloud compute backend-services (create | update) BACKEND_SERVICE_NAME
    --custom-response-header='HEADER_NAME:[HEADER_VALUE]'

gcloud compute backend-buckets (create | update) BACKEND_BUCKET_NAME
    --custom-response-header='HEADER_NAME:[HEADER_VALUE]'

gcloud compute backend-buckets update gaming-lab \
    --custom-response-header='X-Frame-Options: DENY'

gcloud compute backend-services update customer-bs-name \
    --global \
    --custom-response-header='Strict-Transport-Security: max-age=63072000'

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/backendBuckets

PUT https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/backendBuckets/BACKEND_BUCKET_NAME

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/backendServices

PUT https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/backendServices/BACKEND_SERVICE_NAME

"customResponseHeaders":HEADER_NAME:[HEADER_VALUE]

Cloud Storage のレスポンス ヘッダーを設定する

Cloud Storage からのレスポンスに、他の HTTP ヘッダー（クロスオリジン リソース ポリシー、X-Frame-Options ヘッダー、X-XSS-Protection ヘッダーなど）を設定する必要がある場合、Google Cloud には Cloud Storage を使用して Cloud CDN のカスタム ヘッダーを設定するオプションが用意されています。この設定を行うには、このページで説明するように、ロードバランサのバックエンド バケットレベルでカスタム ヘッダーを構成します。

バックエンド バケット レベルで構成されたカスタム レスポンス ヘッダーは、クライアント リクエストがロードバランサの IP アドレスに送信された場合にのみレスポンスに追加されます。クライアントのリクエストが Cloud Storage API に直接送信された場合、カスタム ヘッダーはレスポンスに追加されません。

Google Cloud Armor でカスタム ヘッダーを使用する

Google Cloud Armor セキュリティ ポリシーを構成するときに、カスタム ヘッダーと値を挿入するように Google Cloud Armor を構成できます。Google Cloud Armor セキュリティ ポリシーが、グローバル外部アプリケーション ロードバランサまたは従来のアプリケーション ロードバランサのカスタム ヘッダーと同じカスタム ヘッダー名を挿入するように構成されている場合、ロードバランサによって入力された値は、Google Cloud Armor セキュリティ ポリシーで指定された値によって上書きされます。Google Cloud Armor ポリシーを上書きしたくない場合は、同じ名前を使用しないでください。

制限事項

グローバル ロードバランサで使用されるカスタム ヘッダーには、次の制限が適用されます。

• バックエンド サービスごとのすべてのカスタム リクエスト ヘッダーの合計サイズ（変数を展開する前の名前と値の組み合わせ）は、8 KB、16 個のリクエスト ヘッダーを超えてはなりません。
• バックエンド サービスごとのすべてのカスタム レスポンス ヘッダーの合計サイズ（変数を展開する前の名前と値の組み合わせ）は、8 KB、16 個のレスポンス ヘッダーを超えてはなりません。