Secure Web Proxy を Private Service Connect サービスとして公開する

複数の VPC ネットワークに Secure Web Proxy のデプロイを集中化するには、Private Service Connect サービス アタッチメントを介して Secure Web Proxy を利用できるようにします。

Private Service Connect を使用して Secure Web Proxy をデプロイする手順は次のとおりです。

  1. Secure Web Proxy ポリシーと ルールを作成します。
  2. ポリシーを使用する Secure Web Proxy インスタンスを作成します。
  3. サービス アタッチメントを作成して、Secure Web Proxy インスタンスを Private Service Connect サービスとして公開します。
  4. Secure Web Proxy に接続する必要がある各 VPC ネットワークに Private Service Connect コンシューマ エンドポイントを作成します。
  5. ワークロードのアウトバウンド トラフィックを、リージョン内の中央の Secure Web Proxy インスタンスに転送します。
Private Service Connect サービス アタッチメント モードでの Secure Web Proxy のデプロイ。
Secure Web Proxy を Private Service Connect サービスとして公開すると、複数の VPC ネットワークにわたるワークロードの下り（外向き）トラフィック管理を集中化できます （クリックして拡大）。

始める前に

このページの手順を完了する前に、 初期設定の手順を完了してください。

Secure Web Proxy インスタンスを作成して構成する

このガイドでは、セッションごとにトラフィックを照合する Secure Web Proxy ポリシーとルールを作成する方法について説明します。

TLS インスペクションの構成については、 TLS インスペクションを有効にするをご覧ください。

アプリケーション レベルのマッチングの構成については、 以下をご覧ください。 Secure Web Proxy インスタンスを作成してデプロイする

Secure Web Proxy ポリシーを作成する

コンソール

  1. コンソールで、[SWP ポリシー] ページに移動します。 Google Cloud

    [SWP ポリシー] に移動

  2. [ポリシーを作成] をクリックします。

  3. 作成するポリシーの名前（myswppolicy など）を入力します。

  4. ポリシーの説明を入力します。

  5. [リージョン] リストで、ウェブプロキシ ポリシーを作成するリージョンを選択します。

  6. [作成] をクリックします。

Cloud Shell

  1. policy.yaml ファイルを作成します。

    description: basic Secure Web Proxy policy
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1

    以下を置き換えます。

    • PROJECT_ID: プロジェクトのプロジェクト ID
    • REGION: ポリシーのリージョン

  2. policy.yaml に基づいて Secure Web Proxy ポリシーを作成します。

    gcloud network-security gateway-security-policies import policy1 \
    --source=policy.yaml \
    --location=REGION

Secure Web Proxy ルールをポリシーに追加する

各ワークロードからの下り（外向き）トラフィックを許可するように Secure Web Proxy ルールを構成します。

このセクションでは、Resource Manager タグまたはサービス アカウントで識別されるワークロードからのトラフィックを許可するルールを作成する方法について説明します。他の方法でトラフィックを照合する方法については、 CEL マッチャー言語リファレンスをご覧ください。

コンソール

  1. コンソールで、[SWP ポリシー] ページに移動します。 Google Cloud

    [SWP ポリシー] に移動

  2. ポリシーの名前をクリックします。

  3. ワークロードがインターネットにアクセスできるようにルールを追加する手順は次のとおりです。

    1. [add_box**ルールを追加**] をクリックします。
    2. 優先度を入力します。ルールは優先度の高い順に評価されます。0 が最も高い優先度です。
    3. 名前を入力します。
    4. 内容を入力してください。
    5. ステータスを入力します。
    6. [**アクション**] で [**許可**] を選択します。
    7. [Status] をクリックし、[Enabled] を選択します。

    8. [**セッション マッチ**] セクションで、 セッションを照合する条件を指定します。

      • たとえば、Resource Manager タグ値 ID tagValues/123456 を持つワークロードから google.com へのトラフィックを許可するには、次のように入力します。

        source.matchTag('tagValues/123456') && host() == 'google.com'

      • サービス アカウント my-service-account@my-project.iam.gserviceaccount.com を使用するワークロードから google.com へのトラフィックを許可するには、次のように入力します。

        source.matchServiceAccount('my-service-account@my-project.iam.gserviceaccount.com') && host() == 'google.com'

    9. [作成] をクリックします。

Cloud Shell

追加するルールごとに、次の操作を行います。

  1. rule.yaml ファイルを作成し、セッションを照合する 条件を指定します。

    • Resource Manager タグ値 ID で識別されるワークロードから特定のドメインへのトラフィックを許可するには、次のファイルを作成します。

      name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/RULE_NAME
description: