Pubblicare Secure Web Proxy come servizio Private Service Connect

Console

1. Nella Google Cloud console, vai alla pagina Regole SWP.

   Vai alle norme SWP

2. Fai clic su add_boxCrea un criterio.

3. Inserisci un nome per il criterio che vuoi creare, ad esempio myswppolicy.

4. Inserisci una descrizione del criterio.

5. Nell'elenco Regioni, seleziona la regione in cui vuoi creare il criterio del proxy web.

6. Fai clic su Crea.

Cloud Shell

1. Crea un file policy.yaml.

   description: basic Secure Web Proxy policy
   name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1
   

   Sostituisci quanto segue:

   • PROJECT_ID: l'ID del tuo progetto
   • REGION: la regione del criterio

2. Crea un criterio Secure Web Proxy basato su policy.yaml.

   gcloud network-security gateway-security-policies import policy1 \
       --source=policy.yaml \
       --location=REGION
   

Console

1. Nella Google Cloud console, vai alla pagina Regole SWP.

   Vai alle norme SWP

2. Fai clic sul nome del criterio.

3. Per aggiungere regole per consentire ai workload di accedere a internet:

   1. Fai clic su add_boxAggiungi regola.
   2. Inserisci una priorità. Le regole vengono valutate dalla priorità più alta a quella più bassa, dove 0 è la priorità più alta.
   3. Inserisci un nome.
   4. Inserisci una descrizione.
   5. Inserisci uno stato.
   6. Per Azione, seleziona Consenti.
   7. Fai clic su Stato e seleziona Attivato.

   8. Nella sezione Corrispondenza sessione, specifica i criteri per la corrispondenza della sessione.

      • Ad esempio, per consentire il traffico verso google.com dai carichi di lavoro con l'ID valore del tag Resource ManagertagValues/123456, inserisci quanto segue:

        source.matchTag('tagValues/123456') && host() == 'google.com'

      • Per consentire il traffico verso google.com dai carichi di lavoro che utilizzano l'account di servizio account-name@my-project.iam.gserviceaccount.com, inserisci quanto segue:

        source.matchServiceAccount('account-name@my-project.iam.gserviceaccount.com') && host() == 'google.com'

   9. Fai clic su Crea.

Cloud Shell

Per ogni regola da aggiungere:

1. Crea un file rule.yaml e specifica i criteri per l'associazione della sessione.

   • Per consentire il traffico verso un dominio specifico dai carichi di lavoro identificati dall'ID valore del tag Resource Manager, crea il seguente file:

     name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/RULE_NAME
     description: Allow traffic based on tag
     enabled: true
     priority: PRIORITY
     basicProfile: ALLOW
     sessionMatcher: source.matchTag('TAG_VALUE_ID') && host() == 'DOMAIN_NAME'
     

     Sostituisci quanto segue:

     • PROJECT_ID: l'ID del tuo progetto
     • REGION: la regione del criterio
     • RULE_NAME: il nome della regola
     • PRIORITY: la priorità della regola. Le regole vengono valutate dalla priorità più alta a quella più bassa, dove 0 è la priorità più alta
     • TAG_VALUE_ID: l'ID valore del tag dei carichi di lavoro per i quali consentire il traffico
     • DOMAIN_NAME: il nome di dominio a cui consentire il traffico

   • Per consentire il traffico verso un dominio specifico dai carichi di lavoro che utilizzano un account di servizio, crea il seguente file:

     name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/RULE_NAME
     description: Allow traffic based on service account
     enabled: true
     priority: PRIORITY
     basicProfile: ALLOW
     sessionMatcher: source.matchServiceAccount('SERVICE_ACCOUNT') && host() == 'DOMAIN_NAME'
     

     Sostituisci SERVICE_ACCOUNT con il nome dell'account di servizio.

2. Per aggiornare il criterio con la regola che hai definito in rule.yaml, utilizza il seguente comando:

   gcloud network-security gateway-security-policies rules import RULE_NAME \
      --source=rule.yaml \
      --location=REGION \
      --gateway-security-policy=policy1
   

Console

1. Nella console Google Cloud , vai alla pagina Reti VPC.

   Vai a Reti VPC

2. Fai clic sul nome di una rete VPC per visualizzare la pagina Dettagli rete VPC.

3. Fai clic su Subnet.

4. Fai clic su Aggiungi subnet. Nel riquadro visualizzato:

   1. Fornisci un nome.
   2. Seleziona una Regione.
   3. Nella sezione Finalità, seleziona Private Service Connect.
   4. Per Tipo di stack IP, seleziona IPv4 (stack singolo) o IPv4 e IPv6 (stack doppio).
   5. Inserisci un intervallo IPv4. Ad esempio, 10.10.10.0/24.
   6. Se stai creando una subnet a doppio stack, imposta il tipo di accesso IPv6 su Interno.
   7. Fai clic su Aggiungi.

Cloud Shell

Esegui una di queste operazioni:

• Per creare una subnet Private Service Connect solo IPv4, segui questi passaggi:

  gcloud compute networks subnets create SUBNET_NAME \
      --network=NETWORK_NAME \
      --region=REGION \
      --range=SUBNET_RANGE \
      --purpose=PRIVATE_SERVICE_CONNECT
  

• Per creare una subnet Private Service Connect dual-stack, segui questi passaggi:

  gcloud compute networks subnets create SUBNET_NAME \
      --network=NETWORK_NAME \
      --region=REGION \
      --stack-type=IPV4_IPV6 \
      --ipv6-access-type=INTERNAL \
      --range=SUBNET_RANGE \
      --purpose=PRIVATE_SERVICE_CONNECT
  

Sostituisci quanto segue:

• SUBNET_NAME: il nome da assegnare alla sottorete.

• NETWORK_NAME: il nome della VPC per la nuova subnet.

• REGION: la regione della nuova subnet. Deve essere la stessa regione del servizio che stai pubblicando.

• SUBNET_RANGE: l'intervallo di indirizzi IPv4 da utilizzare per la sottorete, ad esempio 10.10.10.0/24.

Console

1. Nella Google Cloud console, vai alla pagina Private Service Connect.

   Vai a Private Service Connect

2. Fai clic sulla scheda Servizi pubblicati.

3. Fai clic su Pubblica servizio.

4. Nella sezione Dettagli target, seleziona Secure Web Proxy.

5. Seleziona l'istanza di Secure Web Proxy che vuoi pubblicare. I campi della rete e della regione vengono compilati con i dettagli dell'istanza Secure Web Proxy selezionata.

6. In Nome servizio, inserisci un nome per il collegamento del servizio.

7. Seleziona una o più subnet Private Service Connect per il servizio. L'elenco viene compilato con le subnet della rete VPC dell'istanza di proxy web sicuro selezionata.

8. Nella sezione Preferenza di connessione, seleziona Accetta automaticamente tutte le connessioni.

9. Fai clic su Aggiungi servizio.

Cloud Shell

Utilizza il comando gcloud compute service-attachments create.

gcloud compute service-attachments create SERVICE_ATTACHMENT_NAME \
    --target-service=SWP_INSTANCE_URI \
    --connection-preference=ACCEPT_AUTOMATIC \
    --nat-subnets=NAT_SUBNET_NAME \
    --region=REGION \
    --project=PROJECT \

Sostituisci quanto segue:

• SERVICE_ATTACHMENT_NAME: il nome dell'allegato del servizio
• SWP_INSTANCE_URI: l'URI dell'istanza di Secure Web Proxy, nel seguente formato: //networkservices.googleapis.com/projects/PROJECT_ID/locations/REGION/gateways/INSTANCE_NAME
• NAT_SUBNET_NAME: il nome della subnet Private Service Connect
• REGION: la regione di implementazione di Secure Web Proxy
• PROJECT: il progetto di implementazione di Secure Web Proxy

Console

1. Nella Google Cloud console, vai alla pagina Private Service Connect.

   Vai a Private Service Connect

2. Fai clic sulla scheda Endpoint collegati.

3. Fai clic su Connetti endpoint.

4. In Destinazione, seleziona Servizio pubblicato.

5. In Servizio di destinazione, inserisci l'URI del collegamento al servizio a cui vuoi collegarti.

   L'URI del collegamento al servizio ha questo formato: projects/SERVICE_PROJECT/regions/REGION/serviceAttachments/SERVICE_NAME

6. In Nome endpoint, inserisci un nome da utilizzare per l'endpoint.

7. Seleziona una Rete per l'endpoint.

8. Seleziona una Subnet per l'endpoint.

9. Seleziona un indirizzo IP per l'endpoint. Se hai bisogno di un nuovo indirizzo IP, puoi crearne uno:

   1. Fai clic sul menu a discesa Indirizzo IP e seleziona Crea indirizzo IP.
   2. Inserisci un nome e una descrizione facoltativa per l'indirizzo IP.
   3. Seleziona una versione IP.

   4. Se stai creando un indirizzo IPv4, seleziona Assegna automaticamente o Fammi scegliere.

      Se hai selezionato Fammi scegliere, inserisci l'indirizzo IP personalizzato che vuoi utilizzare.

   5. Fai clic su Prenota.

10. Fai clic su Aggiungi endpoint.

Cloud Shell

1. Prenota un indirizzo IP interno da assegnare all'endpoint.

   gcloud compute addresses create ADDRESS_NAME \
       --region=REGION \
       --subnet=SUBNET \
       --ip-version=IP_VERSION
   

   Sostituisci quanto segue:

   • ADDRESS_NAME: il nome da assegnare all'indirizzo IP riservato.

   • REGION: la regione per l'indirizzo IP dell'endpoint. Deve essere la stessa regione che contiene l'allegato del servizio del producer di servizi.

   • SUBNET: il nome della subnet per l'indirizzo IP dell'endpoint.

   • IP_VERSION: la versione IP dell'indirizzo IP, che può essere IPV4 o IPV6. IPV4 è il valore predefinito. Per specificare IPV6, l'indirizzo IP deve essere connesso a una subnet con un intervallo di indirizzi IPv6 interno.

2. Crea una regola di forwarding per collegare l'endpoint al collegamento al servizio del produttore di servizi.

   gcloud compute forwarding-rules create ENDPOINT_NAME \
      --region=REGION \
      --network=NETWORK_NAME \
      --address=ADDRESS_NAME \
      --target-service-attachment=SERVICE_ATTACHMENT
   

   Sostituisci quanto segue:

   • ENDPOINT_NAME: il nome da assegnare all'endpoint.

   • REGION: la regione per l'endpoint. Deve essere la stessa regione che contiene l'allegato del servizio del producer di servizi.

   • NETWORK_NAME: il nome della rete VPC per l'endpoint.

   • ADDRESS_NAME: il nome dell'indirizzo riservato.

   • SERVICE_ATTACHMENT: l'URI del collegamento al servizio del produttore del servizio. Ad esempio: projects/SERVICE_PROJECT/regions/REGION/serviceAttachments/SERVICE_NAME