使用自定义限制条件管理防火墙政策资源

控制台

1. 在 Google Cloud 控制台中，转到组织政策页面。

   转到组织政策

2. 选择页面顶部的项目选择器。

3. 在项目选择器中，选择要为其设置组织政策的资源。

4. 点击 add 自定义限制条件。

5. 在显示名称框中，为限制条件输入一个易记的名称。此字段的最大长度为 200 个字符。 请勿在限制条件名称中使用 PII 或敏感数据，因为这些可能会在错误消息中公开。

6. 在限制条件 ID 框中，为新的自定义限制条件输入所需的名称。自定义限制条件必须以 custom. 开头，只能包含大写字母、小写字母或数字，例如 custom.createFirewallPolicy。该字段的长度上限为 70 个字符，不计算前缀（例如 organizations/123456789/customConstraints/custom.）。

7. 在说明框中，输入直观易懂的限制条件说明，在违反政策时此说明内容会以错误消息的形式显示。此字段的最大长度为 2,000 个字符。

8. 在资源类型框中，选择包含要限制的对象和字段的 Google CloudREST 资源的名称。例如 compute.googleapis.com/FirewallPolicy。

9. 在强制执行方法下，选择是仅对 REST CREATE 方法还是同时对 REST CREATE 和 UPDATE 方法强制执行限制条件。

10. 如需定义条件，请点击 edit修改条件。

    1. 在添加条件面板中，创建一个引用受支持的服务资源的 CEL 条件。此字段的最大长度为 1,000 个字符。

    2. 点击保存。

11. 在操作下，选择在满足上述条件时是允许还是拒绝评估的方法。

12. 点击创建限制条件。

在每个字段中输入值后，右侧将显示此自定义限制条件的等效 YAML 配置。

gcloud

如需使用 Google Cloud CLI 创建自定义限制条件，请为自定义限制条件创建 YAML 文件：

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resource_types: compute.googleapis.com/RESOURCE_NAME
method_types:
– METHOD1
– METHOD2
condition: "CONDITION"
action_type: ACTION
display_name: DISPLAY_NAME
description: DESCRIPTION

请替换以下内容：

• ORGANIZATION_ID：您的组织 ID，例如 123456789。

• CONSTRAINT_NAME：新的自定义限制条件的名称。 自定义限制条件必须以 custom. 开头，只能包含大写字母、小写字母或数字，例如 custom.createFirewallPolicy。该字段的长度上限为 70 个字符，不计算前缀（例如 organizations/123456789/customConstraints/custom）。

• RESOURCE_NAME：包含要限制的对象和字段的 Compute Engine API REST 资源的名称（而非 URI）。例如 FirewallPolicy。

• METHOD1,METHOD2,...：要对其强制执行限制条件的 RESTful 方法的列表。可以是 CREATE 或 CREATE 和 UPDATE。

• CONDITION：针对受支持的服务资源的表示法编写的 CEL 条件。此字段的最大长度为 1000 个字符。 如需详细了解可用于针对其编写条件的资源，请参阅支持的资源。

• ACTION：满足 condition 时要执行的操作。可以是 ALLOW 或 DENY。

• DISPLAY_NAME：限制条件的直观易记名称。 此字段的最大长度为 200 个字符。

• DESCRIPTION：直观易懂的限制条件说明，在违反政策时显示为错误消息。 此字段的最大长度为 2,000 个字符。

如需详细了解如何创建自定义限制条件，请参阅定义自定义限制条件。

gcloud

1. 创建一个包含以下信息的 enforceLoggingEnabled.yaml 限制条件文件。

   name: organizations/ORGANIZATION_ID/customConstraints/custom.enforceLoggingEnabled
   resource_types: compute.googleapis.com/FirewallPolicy
   condition: "resource.rules.exists(rule, rule.action != 'goto_next' && rule.enableLogging == false)"
   action_type: DENY
   method_types: [CREATE, UPDATE]
   display_name: Enforce that all rules have logging enabled
   description: Firewall policy rules with action other than goto_next can only be created when firewall rules logging is enabled.

   将 ORGANIZATION_ID 替换为您的组织 ID。

2. 设置自定义限制条件。

   gcloud org-policies set-custom-constraint enforceLoggingEnabled.yaml
   

3. 创建一个包含以下示例中提供的信息的 enforceLoggingEnabled-policy.yaml 政策文件，并在项目级层强制执行此限制条件。您也可以在组织级层或文件夹级层设置此限制条件。

   name: projects/PROJECT_ID/policies/custom.enforceLoggingEnabled
   spec:
    rules:
    – enforce: true

   将 PROJECT_ID 替换为您的项目 ID。

4. 强制执行该政策：

   gcloud org-policies set-policy enforceLoggingEnabled-policy.yaml
   

5. 如需测试限制条件，请创建一条停用了日志记录的防火墙政策规则，以允许端口 22 上的入站 TCP 流量。

   使用以下命令创建防火墙政策：

    gcloud compute network-firewall-policies create test-fw-policy --global
   

   然后，在该政策中创建一条允许入站 TCP 流量的规则：

    gcloud compute network-firewall-policies rules create 1000 \
        --action ALLOW \
        --direction INGRESS \
        --firewall-policy test-fw-policy \
        --src-ip-ranges 0.0.0.0/0 \
        --layer4-configs tcp:22 \
        --no-enable-logging \
        --global-firewall-policy
   

   输出类似于以下内容：

   ERROR: (gcloud.compute.network-firewall-policies.create) Could not fetch resource:
   - Operation denied by custom org policy: [customConstraints/custom.enforceLoggingEnabled] :Firewall policy rules with action other than goto_next can only be created when firewall rules logging is enabled.

6. 删除上一步中创建的防火墙政策。

    gcloud compute network-firewall-policies delete test-fw-policy --global
   

gcloud

1. 创建一个包含以下信息的 restrictFirewallPolicyRulesSshRanges.yaml 限制条件文件。

   name: organizations/$ORGANIZATION_ID/customConstraints/custom.restrictFirewallPolicyRulesSshRanges
   resource_types: compute.googleapis.com/FirewallPolicy
   condition: "resource.rules.exists(rule,
   rule.priority < 2147483644 &&
   (rule.direction == 'INGRESS') &&
   !rule.match.srcIpRanges.all(ipRange, ipRange.startsWith('192.168.')) &&
   rule.match.layer4Configs.all(l4config, l4config.ipProtocol == 'tcp' && l4config.ports.all(port, port == '22'))
   )"
   action_type: DENY
   method_types: [CREATE, UPDATE]
   display_name: Limit firewall policy rules that allow ingress SSH traffic
   description: Firewall Policy rules that allow ingress SSH traffic can only be created with allowed source ranges.

   将 ORGANIZATION_ID 替换为您的组织 ID。

2. 设置自定义限制条件。

   gcloud org-policies set-custom-constraint restrictFirewallPolicyRulesSshRanges.yaml
   

3. 创建一个包含以下示例中提供的信息的 restrictFirewallPolicyRulesSshRanges-policy.yaml 政策文件，并在项目级层强制执行此限制条件。您也可以在组织级层或文件夹级层设置此限制条件。

   name: projects/PROJECT_ID/policies/custom.restrictFirewallPolicyRulesSshRanges
   spec:
   rules:
   – enforce: true

   将 PROJECT_ID 替换为您的项目 ID。

4. 强制执行该政策：

   gcloud org-policies set-policy restrictFirewallPolicyRulesSshRanges-policy.yaml
   

5. 如需测试限制条件，请创建一条来源 IP 地址范围为 10.0.0.0/0 的防火墙政策规则，以允许端口 22 上的 SSH 入站 TCP 流量。

   使用以下命令创建防火墙政策：

   gcloud compute network-firewall-policies create test-fw-policy --global
   

   然后，在政策中创建一条允许 SSH 入站流量的规则：

   gcloud compute network-firewall-policies rules create 1000 \
       --action ALLOW \
       --direction INGRESS \
       --firewall-policy test-fw-policy \
       --src-ip-ranges 10.0.0.0/8 \
       --layer4-configs tcp:22 \
       --global-firewall-policy
   

   输出类似于以下内容：

   ERROR: (gcloud.compute.network-firewall-policies.create) Could not fetch resource:
   - Operation denied by custom org policy: [customConstraints/custom.restrictFirewallPolicyRulesSshRanges]: Firewall Policy rules that allow ingress SSH traffic can only be created with allowed source ranges.

6. 删除上一步中创建的防火墙政策。

   gcloud compute network-firewall-policies delete test-fw-policy --global
   

gcloud

1. 创建一个包含以下信息的 restrictFirewallPolicyRulesSshAddressGroups.yaml 限制条件文件。

   name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictFirewallPolicyRulesSshAddressGroups
   resource_types: compute.googleapis.com/FirewallPolicy
   condition: "!resource.rules.all(rule, rule.priority >= 2147483644 || rule.match.srcAddressGroups.exists(group, ['ADDRESS_GROUP_1','ADDRESS_GROUP_2', ... , 'ADDRESS_GROUP_N'].exists(value, value == group) ) )"
   action_type: DENY
   method_types: [CREATE, UPDATE]
   display_name: Limit firewall policy rules that allow ingress SSH traffic
   description: Firewall policy rules that allow ingress SSH traffic can only be created with allowed address groups.

   将 ORGANIZATION_ID 替换为您的组织 ID。

   将 '<code><var>ADDRESS_GROUP_1</var></code>'、'<code><var>ADDRESS_GROUP_2</var></code>'、...、'<code><var>ADDRESS_GROUP_N</var></code>' 替换为您要允许的地址组的唯一网址标识符，例如 'organizations/my-org/locations/europe-west1/addressGroups/my-address-group'。

2. 设置自定义限制条件。

   gcloud org-policies set-custom-constraint restrictFirewallPolicyRulesSshAddressGroups.yaml
   

3. 使用以下示例创建 restrictFirewallPolicyRulesSshAddressGroups-policy.yaml 政策文件。然后，在项目级强制执行限制条件。您也可以在组织级层或文件夹级层设置此限制条件。

   name: projects/PROJECT_ID/policies/custom.restrictFirewallPolicyRulesSshAddressGroups
   spec:
   rules:
   – enforce: true

   将 PROJECT_ID 替换为您的项目 ID。

4. 强制执行该政策：

   gcloud org-policies set-policy restrictFirewallPolicyRulesSshAddressGroups-policy.yaml
   

5. 如需测试限制条件，请创建一条来源地址组为 test-address-group 的防火墙政策规则，以允许端口 22 上的 SSH 入站 TCP 流量。

   使用以下命令创建防火墙政策：

   gcloud compute network-firewall-policies create test-fw-policy --global
   

   然后，在政策中创建一条允许 SSH 入站流量的规则：

   gcloud compute network-firewall-policies rules create 1000 \
       --action ALLOW \
       --direction INGRESS \
       --firewall-policy test-fw-policy \
       --src-address-groups organizations/my-org/locations/europe-west1/addressGroups/test-address-group \
       --layer4-configs tcp:22 \
       --global-firewall-policy
   

   输出类似于以下内容：

   ERROR: (gcloud.compute.network-firewall-policies.create) Could not fetch resource:
   - Operation denied by custom org policy: [customConstraints/custom.restrictFirewallPolicyRulesSshAddressGroups]: Firewall policy rules that allow ingress SSH traffic can only be created with allowed address groups.

6. 删除上一步中创建的防火墙政策。

   gcloud compute network-firewall-policies delete test-fw-policy --global