セキュリティ プロファイル グループは、セキュリティ プロファイルのコンテナです。ファイアウォール ポリシー ルールは、セキュリティ プロファイル グループを参照して、ネットワークのレイヤ 7 検査 を有効にします。 たとえば、侵入検知および防止サービス や URL フィルタリング サービスなどです。 セキュリティ プロファイル グループでは、WildFire 分析 （プレビュー版）の検査も有効にできます。
このドキュメントでは、セキュリティ プロファイル グループとその機能について詳しく説明します。
仕様
セキュリティ プロファイル グループは、組織レベルまたはプロジェクト レベルで構成できるリソースです。
組織レベルのセキュリティ プロファイル グループ: 組織全体の組織レベルのセキュリティ プロファイルをグループ化するために使用します。
プロジェクト レベルのセキュリティ プロファイル グループ: プロジェクト内のプロジェクト レベルのセキュリティ プロファイルをグループ化するために使用します。
セキュリティ プロファイル グループの名前は、次の URL 識別子形式で構成されます。
組織レベル:
organizations/ORGANIZATION_ID/locations/global/securityProfileGroups/NAMEプロジェクト レベル:
projects/PROJECT_ID/locations/global/securityProfileGroups/NAME
セキュリティ プロファイル グループの
NAMEは、次の要件を満たす必要があります。- 1 ～ 63 文字の文字列
- 小文字の英数字またはハイフン（-）のみを使用している
- 文字で始まる
例:
組織レベルのセキュリティ プロファイル グループ:
organizations/2345678432/locations/global/securityProfileGroups/example-security-profile-groupプロジェクト レベルのセキュリティ プロファイル グループ:
projects/my-project-123/locations/global/securityProfileGroups/example-security-profile-group
セキュリティ プロファイル グループ名に一意の URL 識別子を使用している場合、URL には組織またはプロジェクトとロケーションが含まれます。 名前のみを指定する場合は、
gcloudコマンドを使用するときに、組織 ID またはプロジェクト ID とロケーションを個別に指定する必要があります。セキュリティ プロファイル グループでは、 セキュリティ プロファイルを
THREAT_PREVENTION、URL_FILTERINGのタイプの任意の順序で追加できます。セキュリティ プロファイル グループに含めることができるセキュリティ プロファイルは、各タイプにつき 1 つのみです。 複数のプロファイルを追加する場合は、タイプが異なることを確認してください。たとえば、
URL_FILTERINGタイプのセキュリティ プロファイルを追加する場合は、トラフィックをスキャンしてフィルタリングするために、THREAT_PREVENTIONタイプの 2 つ目の プロファイルを追加できます。
ファイアウォール ポリシー ルールとの統合
セキュリティ プロファイル グループは、アクション apply_security_profile_group を使用してファイアウォール ポリシー ルールを追加する場合にのみ、ファイアウォール ポリシーに適用されます。セキュリティ プロファイル グループは、次のファイアウォール ポリシー ルールで構成できます。
階層型ファイアウォール ポリシー: 組織レベルまたはフォルダレベルで管理されるこれらのポリシーは、組織レベルのセキュリティ プロファイル グループのみを参照できます。
グローバル ネットワーク ファイアウォール ポリシー: プロジェクト レベルで管理されるこれらのポリシーは、任意のプロジェクトの組織レベルのセキュリティ プロファイル グループとプロジェクト レベルのセキュリティ プロファイル グループを参照できます。
ネットワーク トラフィックのレイヤ 7 検査を行うには、ファイアウォール エンドポイントで使用されるセキュリティ プロファイル グループの名前をファイアウォール ポリシールールに含める必要があります。
トラフィックの検査と処理
ファイアウォール ポリシー ルールは、Virtual Private Cloud（VPC）ネットワークの受信トラフィックと送信トラフィックに適用されます。一致したトラフィックは、構成済みのセキュリティ プロファイル グループ名とともにファイアウォール エンドポイントにリダイレクトされます。
ファイアウォール エンドポイントは、セキュリティ プロファイル グループで指定されたセキュリティ プロファイルを使用して、次の処理を行います。
- ドメインと Server Name Indication（SNI）情報を検査する
- パケットの脅威と不明なファイルベースのマルウェアをスキャンする
- 構成済みのアクションを適用する
検査シーケンス
ファイアウォール エンドポイントは通常、次の順序でセキュリティ プロファイルを処理します。
- URL フィルタリング: エンドポイントは
URL_FILTERINGセキュリティ プロファイルを実行します。 - 脅威防止とマルウェア分析: エンドポイントは
THREAT_PREVENTIONセキュリティ プロファイルを実行します。
構成の詳細については、次のドキュメントをご覧ください。
リソースの関連付け
各セキュリティ プロファイル グループにはプロジェクト ID が関連付けられている必要があります。関連付けられたプロジェクトは、セキュリティ プロファイル グループ リソースに対する割り当てとアクセス制限に使用されます。
gcloud auth activate-service-account コマンドを使用してサービス アカウントを認証する場合は、
サービス アカウントをセキュリティ プロファイル グループに関連付けることができます。
詳細については、 セキュリティ プロファイル グループを作成するをご覧ください。
組織レベルとプロジェクト レベルのセキュリティ プロファイル グループの違い
組織レベルとプロジェクト レベルのセキュリティ プロファイル グループの違いをまとめると、次のようになります。
- 組織レベルのセキュリティ プロファイル グループは、組織レベルとプロジェクト レベルの両方のエンドポイントに適用されます。
- プロジェクト レベルのセキュリティ プロファイル グループは、セキュリティ プロファイル グループと同じプロジェクト内のプロジェクト レベルのファイアウォール エンドポイントに適用されます。組織レベルのファイアウォール エンドポイントには適用できません。
- 組織レベルのセキュリティ プロファイル グループは、組織レベルのセキュリティ プロファイルのみをグループ化できます。
- プロジェクト レベルのセキュリティ プロファイル グループは、同じプロジェクトに存在するプロジェクト レベルのセキュリティ プロファイルのみをグループ化できます。
Identity and Access Management ロール
Identity and Access Management（IAM）のロールは、次のセキュリティ プロファイル グループのアクションを管理します。
- 組織またはプロジェクトでのセキュリティ プロファイル グループの作成
- 組織またはプロジェクトでのセキュリティ プロファイル グループの変更または削除
- 組織またはプロジェクトでのセキュリティ プロファイル グループの詳細の表示
- 組織またはプロジェクトでのセキュリティ プロファイル グループの一覧表示
- ファイアウォール ポリシー ルールでのセキュリティ プロファイル グループの使用
次の表に、各ステップに必要なロールを示します。
| 機能 | 必要なロール |
|---|---|
| セキュリティ プロファイル グループを作成する | 次のいずれかのロール:
|
| セキュリティ プロファイル グループを変更する | 次のいずれかのロール:
|
| セキュリティ プロファイル グループを削除する | 次のいずれかのロール:
|
| 組織とプロジェクトのセキュリティ プロファイル グループの詳細を表示する | 次のいずれかのロール:
|
| 組織とプロジェクトのすべてのセキュリティ プロファイル グループを表示する | 次のいずれかのロール:
|
| ファイアウォール ポリシー ルールでセキュリティ プロファイル グループを使用する | 次のいずれかのロール:
|