本頁面由 Cloud Translation API 翻譯而成。

將 Secure Web Proxy 發布為 Private Service Connect 服務

如要將 Secure Web Proxy 部署作業集中在多個虛擬私有雲網路中，您可以透過 Private Service Connect 服務附件提供 Secure Web Proxy。

使用 Private Service Connect 部署 Secure Web Proxy 的步驟如下：

建立 Secure Web Proxy 政策和規則。
建立使用政策的 Secure Web Proxy 執行個體。
建立服務連結，將 Secure Web Proxy 執行個體發布為 Private Service Connect 服務。
在需要連線至安全網頁 Proxy 的每個 VPC 網路中，建立 Private Service Connect 用戶端端點。
將工作負載輸出流量導向區域內的集中式 Secure Web Proxy 例項。

在 Private Service Connect 服務連結模式中部署 Secure Web Proxy。 — 將安全網頁 Proxy 發布為私人服務連線服務，即可集中管理多個虛擬私有雲網路中工作負載的出站流量。(按一下可放大)。

事前準備

請先完成初始設定步驟，再完成本頁中的步驟。

建立及設定 Secure Web Proxy 執行個體

本指南說明如何建立 Secure Web Proxy 政策和規則，以便根據工作階段比對流量。

如要瞭解如何選擇性設定 TLS 檢查功能，請參閱「啟用 TLS 檢查功能」。

如要瞭解如何選擇性設定應用程式層級比對，請參閱「部署 Secure Web Proxy 執行個體」。

建立 Secure Web Proxy 政策

控制台

在 Google Cloud 控制台中，前往「SWP Policies」頁面。

前往「SWP 政策」
按一下「建立政策」。
輸入要建立的政策名稱，例如 myswppolicy。
輸入政策說明。
在「區域」清單中，選取要建立網頁 Proxy 政策的區域。
按一下 [建立]。

Cloud Shell

建立 policy.yaml 檔案。

description: basic Secure Web Proxy policy
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1

更改下列內容：

PROJECT_ID：專案的專案 ID
REGION：政策的區域

根據 policy.yaml 建立 Secure Web Proxy 政策。

gcloud network-security gateway-security-policies import policy1 \
    --source=policy.yaml \
    --location=REGION

在政策中新增 Secure Web Proxy 規則

設定 Secure Web Proxy 規則，允許各個工作負載的輸出流量。

本節說明如何建立規則，允許由 Resource Manager 標記或服務帳戶識別的工作負載傳送的流量。如要瞭解如何以其他方式比對流量，請參閱 CEL 比對器語言參考資料。

主控台

在 Google Cloud 控制台中，前往「SWP Policies」頁面。

前往「SWP 政策」
按一下政策名稱。
如要新增規則，允許工作負載存取網際網路，請按照下列步驟操作：
1. 按一下「新增規則」。
2. 輸入優先順序。系統會從最高優先順序到最低優先順序評估規則，其中 0 為最高優先順序。
3. 輸入名稱。
4. 輸入說明。
5. 輸入狀態。
6. 在「Action」中，選取「Allow」。
7. 按一下「狀態」，然後選取「已啟用」。
8. 在「工作階段比對」部分，指定工作階段比對條件。
  - 舉例來說，如要允許工作負載透過 Resource Manager 代碼值 ID tagValues/123456 將流量傳送至 google.com，請輸入以下內容：
    
    source.matchTag('tagValues/123456') && host() == 'google.com'
  - 如要允許使用服務帳戶 account-name@my-project.iam.gserviceaccount.com 的工作負載將流量傳送至 google.com，請輸入以下內容：
    
    source.matchServiceAccount('account-name@my-project.iam.gserviceaccount.com') && host() == 'google.com'
9. 按一下 [建立]。

Cloud Shell

針對要新增的每項規則，執行下列操作：

建立 rule.yaml 檔案，並指定比對工作階段的條件。
- 如要允許由 Resource Manager 代碼值 ID 識別的工作負載，將流量導向特定網域，請建立下列檔案：
```
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/RULE_NAME
description: Allow traffic based on tag
enabled: true
priority: PRIORITY
basicProfile: ALLOW
sessionMatcher: source.matchTag('TAG_VALUE_ID') && host() == 'DOMAIN_NAME'
```
  更改下列內容：
  - PROJECT_ID：專案的專案 ID
  - REGION：政策的區域
  - RULE_NAME：規則名稱
  - PRIORITY：規則的優先順序。系統會從最高優先順序評估規則，其中 0 為最高優先順序
  - TAG_VALUE_ID：允許流量進入的工作負載的標記值 ID
  - DOMAIN_NAME：允許流量前往的網域名稱
- 如要允許使用服務帳戶的工作負載將流量傳送至特定網域，請建立下列檔案：
```
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/RULE_NAME
description: Allow traffic based on service account
enabled: true
priority: PRIORITY
basicProfile: ALLOW
sessionMatcher: source.matchServiceAccount('SERVICE_ACCOUNT') && host() == 'DOMAIN_NAME'
```
  將 SERVICE_ACCOUNT 替換為服務帳戶名稱。

如要使用 rule.yaml 中定義的規則更新政策，請使用下列指令：

gcloud network-security gateway-security-policies rules import RULE_NAME \
   --source=rule.yaml \
   --location=REGION \
   --gateway-security-policy=policy1

部署 Secure Web Proxy 執行個體

在要用於傳出流量的虛擬私有雲 (VPC) 網路中，以明確轉送模式部署安全 Web Proxy 執行個體。建立執行個體時，請將其與您在先前步驟中建立的政策和規則建立關聯。

使用 Private Service Connect 服務連結發布 Secure Web Proxy 時，不支援下一個躍點轉送模式。

如要瞭解如何設定執行個體，請參閱「設定網路 Proxy」。您目前不需要完成該頁面上的其他步驟。

在樞紐和輻條模型中，將 Secure Web Proxy 部署為 Private Service Connect 服務

本節說明如何部署安全 Web Proxy 做為 Private Service Connect 服務，並使用樞紐和輻條模型集中管理出口流量。