Integrazione di Cloud Armor con altri prodotti Google

Le sezioni seguenti descrivono in che modo Cloud Armor interagisce con altri Google Cloud prodotti e funzionalità.

Cloud Armor e regole firewall VPC

Le policy di sicurezza di Cloud Armor e le regole firewall VPC hanno funzioni diverse:

Le policy di sicurezza di Cloud Armor forniscono sicurezza perimetrale e agiscono sul traffico client verso i Google Front End (GFE).
Le regole firewall VPC consentono o negano il traffico da e verso i tuoi backend. Devi creare regole firewall di autorizzazione in entrata, i cui target sono le VM di backend con bilanciamento del carico e le cui origini sono intervalli IP utilizzati dai bilanciatori del carico delle applicazioni esterni globali o dai bilanciatori del carico delle applicazioni classici. Queste regole consentono ai GFE e ai sistemi di controllo di integrità di comunicare con le tue VM di backend.

Ad esempio, considera uno scenario in cui vuoi consentire il traffico solo dagli intervalli CIDR 100.1.1.0/24 e 100.1.2.0/24 per accedere al bilanciatore del carico delle applicazioni esterno globale o al bilanciatore del carico delle applicazioni classico. Il tuo obiettivo è bloccare il traffico che raggiunge direttamente le istanze con bilanciamento del carico di backend. In altre parole, solo il traffico esterno sottoposto a proxy tramite il bilanciatore del carico delle applicazioni esterno globale o il bilanciatore del carico delle applicazioni classico con una policy di sicurezza associata può raggiungere le istanze.

Utilizzo della policy di sicurezza Cloud Armor con firewall in entrata
per limitare l'accesso. — Utilizzo della policy di sicurezza Cloud Armor con firewall in entrata per limitare l'accesso (fai clic per ingrandire).

Il diagramma precedente mostra la seguente configurazione di deployment:

Crea due gruppi di istanze, uno nella regione us-west1 e l'altro nella regione europe-west1.
Esegui il deployment delle istanze dell'applicazione di backend sulle VM nei gruppi di istanze.
Crea un bilanciatore del carico delle applicazioni esterno globale o un bilanciatore del carico delle applicazioni classico nel livello Premium. Configura una mappa URL e un singolo servizio di backend i cui backend sono i due gruppi di istanze che hai creato nel passaggio precedente. La regola di forwarding del bilanciatore del carico deve utilizzare l'indirizzo IP esterno 120.1.1.1.
Configura una policy di sicurezza Cloud Armor che consenta il traffico da 100.1.1.0/24 e 100.1.2.0/24 e neghi tutto il resto del traffico.
Associa questa policy al servizio di backend del bilanciatore del carico. Per istruzioni, consulta Configura le policy di sicurezza di Cloud Armor. I bilanciatori del carico HTTP(S) esterni con mappe URL più complesse possono fare riferimento a più servizi di backend. Puoi associare la policy di sicurezza a uno o più servizi di backend in base alle esigenze.
Configura le regole firewall di autorizzazione in entrata per consentire il traffico dal bilanciatore del carico delle applicazioni esterno globale o dal bilanciatore del carico delle applicazioni classico. Per saperne di più, consulta Regole firewall.

Cloud Armor con bilanciatori del carico delle applicazioni esterni e IAP

Identity-Aware Proxy (IAP) verifica l'identità di un utente e poi determina se può accedere a un'applicazione. Per attivare IAP per il bilanciatore del carico delle applicazioni esterno globale o il bilanciatore del carico delle applicazioni classico, utilizza i servizi di backend del bilanciatore del carico. Analogamente, le policy di sicurezza Cloud Armor perimetrali vengono collegate ai servizi di backend di un bilanciatore del carico delle applicazioni esterno globale o di un bilanciatore del carico delle applicazioni classico.

Se per un servizio di backend sono abilitati sia le policy di sicurezza Cloud Armor sia IAP, l'ordine di valutazione dipende dal tipo di bilanciatore del carico:

Per un servizio di backend di un bilanciatore del carico delle applicazioni esterno globale, la valutazione di Cloud Armor viene eseguita per prima. Se Cloud Armor blocca una richiesta, IAP non la valuta. Se Cloud Armor consente una richiesta, IAP la valuta. La richiesta viene bloccata se IAP non la autentica.
Per un servizio di backend di un bilanciatore del carico delle applicazioni classico, la valutazione IAP viene eseguita per prima. Se IAP autentica una richiesta, Cloud Armor la valuta. Se una richiesta non supera l'autenticazione IAP, Cloud Armor non la valuta.

Utilizzo di liste consentite e liste bloccate di indirizzi IP con IAP. — Utilizzo di liste bloccate e liste consentite di indirizzi IP con IAP (fai clic per ingrandire).

Per ulteriori informazioni su IAP e sulle configurazioni correlate, consulta la documentazione di Identity-Aware Proxy.

Cloud Armor con deployment ibridi

In un deployment ibrido, un bilanciatore del carico delle applicazioni esterno globale o un bilanciatore del carico delle applicazioni classico deve accedere a un'applicazione o a un'origine dei contenuti che viene eseguita al di fuori di Google Cloud, ad esempio nell'infrastruttura di un altro provider di servizi cloud. Puoi utilizzare Cloud Armor per proteggere questi deployment.

Nel seguente diagramma, il bilanciatore del carico ha due servizi di backend. Uno ha un gruppo di istanze come backend. L'altro servizio di backend ha un NEG internet come backend e il NEG internet è associato a un'applicazione in esecuzione nel data center di un fornitore di terze parti.

Quando colleghi una policy di sicurezza Cloud Armor al servizio di backend che ha un NEG internet come backend, Cloud Armor esamina ogni richiesta di livello 7 che arriva al bilanciatore del carico delle applicazioni esterno globale o al bilanciatore del carico delle applicazioni classico destinato a quel servizio di backend.

La protezione Cloud Armor per i deployment ibridi è soggetta agli stessi limiti applicati ai NEG internet.

Cloud Armor con Google Kubernetes Engine (GKE)

Le sezioni seguenti descrivono il funzionamento di Cloud Armor con GKE.

GKE Ingress

Dopo aver configurato una policy di sicurezza Cloud Armor, puoi utilizzare Kubernetes Ingress per abilitarla con GKE.

Puoi fare riferimento alla tua policy di sicurezza con una risorsa BackendConfig aggiungendo il nome della policy di sicurezza a BackendConfig. Il seguente manifest BackendConfig specifica una policy di sicurezza denominata example-security-policy:

apiVersion: cloud.google.com/v1
kind: BackendConfig
metadata:
  namespace: cloud-armor-how-to
  name: my-backendconfig
spec:
  securityPolicy:
    name: "example-security-policy"

Per saperne di più sulle funzionalità di Ingress, consulta la sezione Configurazione di Ingress.

Gateway GKE

Dopo aver configurato una policy di sicurezza Cloud Armor, puoi utilizzare l'API Kubernetes Gateway per abilitarla con GKE.

Puoi fare riferimento alla tua policy di sicurezza aggiungendo il nome della policy di sicurezza a una risorsa policy GCPBackendPolicy. Il seguente manifest della risorsa policy GCPBackendPolicy specifica una policy di sicurezza del backend denominata example-security-policy:

Servizio

apiVersion: networking.gke.io/v1
kind: GCPBackendPolicy
metadata:
  name: my-backend-policy
  namespace: lb-service-namespace
spec:
  default:
    securityPolicy: example-security-policy
  targetRef:
    group: ""
    kind: Service
    name: lb-service

Servizio multi-cluster

apiVersion: networking.gke.io/v1
kind: GCPBackendPolicy
metadata:

Integrazione di Cloud Armor con altri prodotti Google Mantieni tutto organizzato con le raccolte Salva e classifica i contenuti in base alle tue preferenze.