ניהול משאבים של מדיניות חומת אש באמצעות אילוצים בהתאמה אישית

המסוף

1. במסוף Google Cloud , נכנסים לדף מדיניות הארגון.

   מעבר למדיניות הארגון

2. לוחצים על Project picker (כלי לבחירת פרויקטים) בחלק העליון של הדף.

3. בכלי לבחירת פרויקטים, בוחרים את המשאב שרוצים להגדיר לו את מדיניות הארגון.

4. לוחצים על add Custom constraint (הגבלה מותאמת אישית).

5. בתיבה שם לתצוגה, מזינים שם קל לקריאה לאילוץ. האורך המקסימלי של השדה הוא 200 תווים. אל תשתמשו בפרטים אישיים מזהים (PII) או במידע אישי רגיש בשמות של אילוצים, כי הם עלולים להיחשף בהודעות שגיאה.

6. בתיבה מזהה אילוץ, מזינים את השם שרוצים לתת לאילוץ המותאם אישית החדש. אילוץ מותאם אישית חייב להתחיל ב-custom., ויכול לכלול רק אותיות רישיות, אותיות קטנות או מספרים, לדוגמה, custom.createFirewallPolicy. האורך המקסימלי של השדה הזה הוא 70 תווים, לא כולל הקידומת, לדוגמה, organizations/123456789/customConstraints/custom..

7. בתיבה Description (תיאור), מזינים תיאור של האילוץ שיהיה קל להבין, שיוצג כהודעת שגיאה אם תהיה הפרה של המדיניות. האורך המקסימלי של השדה הוא 2,000 תווים.

8. בתיבה Resource type, בוחרים את השם של משאב REST‏ Google Cloudשמכיל את האובייקט והשדה שרוצים להגביל. לדוגמה, compute.googleapis.com/FirewallPolicy.

9. בקטע שיטת אכיפה, בוחרים אם לאכוף את ההגבלה רק על שיטת REST CREATE או גם על שיטת REST CREATE וגם על שיטת UPDATE.

10. כדי להגדיר תנאי, לוחצים על edit Edit condition.

    1. בחלונית Add condition, יוצרים תנאי CEL שמתייחס למשאב שירות נתמך. האורך המקסימלי של השדה הוא 1,000 תווים.

    2. לוחצים על Save.

11. בקטע פעולה, בוחרים אם לאשר או לדחות את השיטה שנבדקה אם התנאי שלמעלה מתקיים.

12. לוחצים על יצירת אילוץ.

אחרי שמזינים ערך בכל שדה, מופיעה משמאל הגדרת ה-YAML המקבילה למגבלה המותאמת אישית הזו.

gcloud

כדי ליצור אילוץ בהתאמה אישית באמצעות Google Cloud CLI, יוצרים קובץ YAML לאילוץ בהתאמה אישית:

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resource_types: compute.googleapis.com/RESOURCE_NAME
method_types:
– METHOD1
– METHOD2
condition: "CONDITION"
action_type: ACTION
display_name: DISPLAY_NAME
description: DESCRIPTION

מחליפים את מה שכתוב בשדות הבאים:

• ‫ORGANIZATION_ID: מזהה הארגון, למשל 123456789.

• ‫CONSTRAINT_NAME: השם שרוצים לתת לאילוץ המותאם אישית החדש. אילוץ מותאם אישית חייב להתחיל ב-custom., ויכול לכלול רק אותיות רישיות, אותיות קטנות או מספרים, לדוגמה, custom.createFirewallPolicy. האורך המקסימלי של השדה הזה הוא 70 תווים, לא כולל הקידומת, לדוגמה, organizations/123456789/customConstraints/custom.

• ‫RESOURCE_NAME: השם (לא ה-URI) של משאב ה-REST של Compute Engine API שמכיל את האובייקט והשדה שרוצים להגביל. לדוגמה, FirewallPolicy.

• ‫METHOD1,METHOD2,...: רשימה של methods מסוג RESTful שצריך לאכוף לגביהם את האילוץ. הערך יכול להיות CREATE או CREATE ו-UPDATE.

• ‫CONDITION: תנאי בשפת CEL שנכתב על סמך ייצוג של משאב שירות נתמך. האורך המקסימלי של השדה הוא 1,000 תווים. מידע נוסף על המשאבים שאפשר לכתוב תנאים לגביהם זמין במאמר בנושא משאבים נתמכים.

• ‫ACTION: הפעולה שתתבצע אם התנאי condition יתקיים. האפשרויות הן ALLOW או DENY.

• ‫DISPLAY_NAME: שם קריא לאנשים של האילוץ. האורך המקסימלי של השדה הוא 200 תווים.

• ‫DESCRIPTION: תיאור ידידותי למשתמש של האילוץ, שיוצג כהודעת שגיאה אם תהיה הפרה של המדיניות. האורך המקסימלי של השדה הוא 2,000 תווים.

מידע נוסף על יצירת אילוץ בהתאמה אישית זמין במאמר הגדרת אילוצים בהתאמה אישית.

gcloud

1. יוצרים קובץ אילוצים enforceLoggingEnabled.yaml עם הפרטים הבאים.

   name: organizations/ORGANIZATION_ID/customConstraints/custom.enforceLoggingEnabled
   resource_types: compute.googleapis.com/FirewallPolicy
   condition: "resource.rules.exists(rule, rule.action != 'goto_next' && rule.enableLogging == false)"
   action_type: DENY
   method_types: [CREATE, UPDATE]
   display_name: Enforce that all rules have logging enabled
   description: Firewall policy rules with action other than goto_next can only be created when firewall rules logging is enabled.

   מחליפים את ORGANIZATION_ID במזהה הארגון.

2. מגדירים את האילוץ המותאם אישית.

   gcloud org-policies set-custom-constraint enforceLoggingEnabled.yaml
   

3. יוצרים קובץ מדיניות enforceLoggingEnabled-policy.yaml עם הפרטים שמופיעים בדוגמה הבאה, ומחילים את האילוץ הזה ברמת הפרויקט. אפשר להגדיר את ההרשאה הזו גם ברמת הארגון או התיקייה.

   name: projects/PROJECT_ID/policies/custom.enforceLoggingEnabled
   spec:
    rules:
    – enforce: true

   מחליפים את PROJECT_ID במזהה הפרויקט.

4. אוכפים את המדיניות.

   gcloud org-policies set-policy enforceLoggingEnabled-policy.yaml
   

5. כדי לבדוק את האילוץ, יוצרים כלל במדיניות חומת האש שמאפשר תעבורת נתונים נכנסת מסוג TCP ביציאה 22, כשהרישום מושבת.

   כדי ליצור מדיניות חומת אש, משתמשים בפקודה הבאה:

    gcloud compute network-firewall-policies create test-fw-policy --global
   

   לאחר מכן, יוצרים כלל במדיניות שמאפשר תעבורת TCP נכנסת:

    gcloud compute network-firewall-policies rules create 1000 \
        --action ALLOW \
        --direction INGRESS \
        --firewall-policy test-fw-policy \
        --src-ip-ranges 0.0.0.0/0 \
        --layer4-configs tcp:22 \
        --no-enable-logging \
        --global-firewall-policy
   

   הפלט אמור להיראות כך:

   ERROR: (gcloud.compute.network-firewall-policies.create) Could not fetch resource:
   - Operation denied by custom org policy: [customConstraints/custom.enforceLoggingEnabled] :Firewall policy rules with action other than goto_next can only be created when firewall rules logging is enabled.

6. מוחקים את מדיניות חומת האש שנוצרה בשלב הקודם.

    gcloud compute network-firewall-policies delete test-fw-policy --global
   

gcloud

1. יוצרים קובץ אילוצים מסוג restrictFirewallPolicyRulesSshRanges.yaml עם הפרטים הבאים.

   name: organizations/$ORGANIZATION_ID/customConstraints/custom.restrictFirewallPolicyRulesSshRanges
   resource_types: compute.googleapis.com/FirewallPolicy
   condition: "resource.rules.exists(rule,
   rule.priority < 2147483644 &&
   (rule.direction == 'INGRESS') &&
   !rule.match.srcIpRanges.all(ipRange, ipRange.startsWith('192.168.')) &&
   rule.match.layer4Configs.all(l4config, l4config.ipProtocol == 'tcp' && l4config.ports.all(port, port == '22'))
   )"
   action_type: DENY
   method_types: [CREATE, UPDATE]
   display_name: Limit firewall policy rules that allow ingress SSH traffic
   description: Firewall Policy rules that allow ingress SSH traffic can only be created with allowed source ranges.

   מחליפים את ORGANIZATION_ID במזהה הארגון.

2. מגדירים את האילוץ המותאם אישית.

   gcloud org-policies set-custom-constraint restrictFirewallPolicyRulesSshRanges.yaml
   

3. יוצרים restrictFirewallPolicyRulesSshRanges-policy.yaml קובץ מדיניות עם המידע שמופיע בדוגמה הבאה, ומאכפים את האילוץ ברמת הפרויקט. אפשר גם להגדיר את האילוץ הזה ברמת הארגון או התיקייה.

   name: projects/PROJECT_ID/policies/custom.restrictFirewallPolicyRulesSshRanges
   spec:
   rules:
   – enforce: true

   מחליפים את PROJECT_ID במזהה הפרויקט.

4. אוכפים את המדיניות.

   gcloud org-policies set-policy restrictFirewallPolicyRulesSshRanges-policy.yaml
   

5. כדי לבדוק את האילוץ, יוצרים כלל במדיניות חומת האש שמאפשר תעבורת נתונים נכנסת (ingress) מסוג SSH TCP ביציאה 22 עם טווח כתובות IP של המקור 10.0.0.0/0.

   כדי ליצור מדיניות חומת אש, משתמשים בפקודה הבאה:

   gcloud compute network-firewall-policies create test-fw-policy --global
   

   לאחר מכן, יוצרים כלל במדיניות שמאפשר תעבורת נתונים נכנסת מסוג SSH:

   gcloud compute network-firewall-policies rules create 1000 \
       --action ALLOW \
       --direction INGRESS \
       --firewall-policy test-fw-policy \
       --src-ip-ranges 10.0.0.0/8 \
       --layer4-configs tcp:22 \
       --global-firewall-policy
   

   הפלט אמור להיראות כך:

   ERROR: (gcloud.compute.network-firewall-policies.create) Could not fetch resource:
   - Operation denied by custom org policy: [customConstraints/custom.restrictFirewallPolicyRulesSshRanges]: Firewall Policy rules that allow ingress SSH traffic can only be created with allowed source ranges.

6. מוחקים את מדיניות חומת האש שנוצרה בשלב הקודם.

   gcloud compute network-firewall-policies delete test-fw-policy --global
   

gcloud

1. יוצרים קובץ אילוצים מסוג restrictFirewallPolicyRulesSshAddressGroups.yaml עם הפרטים הבאים.

   name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictFirewallPolicyRulesSshAddressGroups
   resource_types: compute.googleapis.com/FirewallPolicy
   condition: "!resource.rules.all(rule, rule.priority >= 2147483644 || rule.match.srcAddressGroups.exists(group, ['ADDRESS_GROUP_1','ADDRESS_GROUP_2', ... , 'ADDRESS_GROUP_N'].exists(value, value == group) ) )"
   action_type: DENY
   method_types: [CREATE, UPDATE]
   display_name: Limit firewall policy rules that allow ingress SSH traffic
   description: Firewall policy rules that allow ingress SSH traffic can only be created with allowed address groups.

   מחליפים את ORGANIZATION_ID במזהה הארגון.

   מחליפים את '<code><var>ADDRESS_GROUP_1</var></code>', '<code><var>ADDRESS_GROUP_2</var></code>', ... , '<code><var>ADDRESS_GROUP_N</var></code>' במזהי כתובות URL ייחודיים של קבוצות הכתובות שרוצים לאפשר, לדוגמה, 'organizations/my-org/locations/europe-west1/addressGroups/my-address-group'.

2. מגדירים את האילוץ המותאם אישית.

   gcloud org-policies set-custom-constraint restrictFirewallPolicyRulesSshAddressGroups.yaml
   

3. יוצרים קובץ מדיניות restrictFirewallPolicyRulesSshAddressGroups-policy.yaml באמצעות הדוגמה הבאה. לאחר מכן, אוכפים את המגבלה ברמת הפרויקט. אפשר גם להגדיר את האילוץ הזה ברמת הארגון או התיקייה.

   name: projects/PROJECT_ID/policies/custom.restrictFirewallPolicyRulesSshAddressGroups
   spec:
   rules:
   – enforce: true

   מחליפים את PROJECT_ID במזהה הפרויקט.

4. אוכפים את המדיניות.

   gcloud org-policies set-policy restrictFirewallPolicyRulesSshAddressGroups-policy.yaml
   

5. כדי לבדוק את האילוץ, יוצרים כלל במדיניות חומת האש שמאפשר תעבורת נתונים נכנסת (ingress) מסוג SSH TCP ביציאה 22 עם קבוצת כתובות מקור test-address-group.

   כדי ליצור מדיניות חומת אש, משתמשים בפקודה הבאה:

   gcloud compute network-firewall-policies create test-fw-policy --global
   

   לאחר מכן, יוצרים כלל במדיניות שמאפשר תעבורת נתונים נכנסת מסוג SSH:

   gcloud compute network-firewall-policies rules create 1000 \
       --action ALLOW \
       --direction INGRESS \
       --firewall-policy test-fw-policy \
       --src-address-groups organizations/my-org/locations/europe-west1/addressGroups/test-address-group \
       --layer4-configs tcp:22 \
       --global-firewall-policy
   

   הפלט אמור להיראות כך:

   ERROR: (gcloud.compute.network-firewall-policies.create) Could not fetch resource:
   - Operation denied by custom org policy: [customConstraints/custom.restrictFirewallPolicyRulesSshAddressGroups]: Firewall policy rules that allow ingress SSH traffic can only be created with allowed address groups.

6. מוחקים את מדיניות חומת האש שנוצרה בשלב הקודם.

   gcloud compute network-firewall-policies delete test-fw-policy --global