Configure a proteção adaptativa do Google Cloud Armor

Esta página contém informações sobre a configuração da proteção adaptativa. Antes de configurar a Proteção adaptável, certifique-se de que se familiariza com as informações na vista geral da Proteção adaptável e com os exemplos de utilização da Proteção adaptável.

Antes de começar

As secções seguintes explicam todas as funções e autorizações da gestão de identidade e de acesso (IAM) necessárias para configurar as políticas de segurança do Cloud Armor. Para os exemplos de utilização neste documento, só precisa da autorização compute.securityPolicies.update.

Configure autorizações IAM para políticas de segurança do Cloud Armor

As seguintes operações requerem a função de administrador de segurança do Compute Identity and Access Management (IAM) (roles/compute.securityAdmin):

• Configurar, modificar, atualizar e eliminar uma política de segurança do Cloud Armor
• Usando os seguintes métodos da API:
  • SecurityPolicies insert
  • SecurityPolicies delete
  • SecurityPolicies patch
  • SecurityPolicies addRule
  • SecurityPolicies patchRule
  • SecurityPolicies removeRule

Um utilizador com a função de administrador de rede de computação (roles/compute.networkAdmin) pode realizar as seguintes operações:

• Definir uma política de segurança do Cloud Armor para um serviço de back-end
• Usando os seguintes métodos da API:
  • BackendServices setSecurityPolicy
  • BackendServices list (apenas gcloud)

Os utilizadores com a função de administrador de segurança (roles/iam.securityAdmin) e a função de administrador de rede de computação (roles/compute.networkAdmin) podem ver as políticas de segurança do Cloud Armor através dos métodos da API SecurityPolicies get, list e getRule.

Configure autorizações da IAM para funções personalizadas

A tabela seguinte apresenta as autorizações base das funções da IAM e os respetivos métodos da API associados.

Ative a proteção adaptável

Siga os passos abaixo para ativar a proteção adaptativa para a sua política de segurança. A proteção adaptativa é aplicada a cada política de segurança individualmente.

gcloud compute security-policies update MY-SECURITY-POLICY \
    --enable-layer7-ddos-defense

gcloud compute security-policies update MY-SECURITY-POLICY \
    --no-enable-layer7-ddos-defense

Configure modelos detalhados

A funcionalidade de modelos detalhados permite-lhe configurar anfitriões ou caminhos específicos como as unidades detalhadas que a proteção adaptativa analisa. Nos exemplos seguintes, cria unidades de tráfego detalhadas para cada anfitrião, personaliza uma unidade de tráfego detalhada e configura a proteção adaptativa para tomar medidas quando o tráfego excede as suas consultas por segundo (CPS) de base. Para mais informações sobre os modelos detalhados, consulte a vista geral da proteção adaptativa.

Configure unidades de tráfego detalhadas

Os exemplos nesta secção usam o comando add-layer7-ddos-defense-threshold-config com algumas ou todas as seguintes flags:

No primeiro exemplo, configura a Proteção adaptável para detetar ataques em e sugerir mitigações independentes para cada anfitrião atrás do seu serviço de back-end, sem substituir quaisquer limites predefinidos.