Secure Web Proxy 확장 프로그램 구성

승인 확장 프로그램을 구성합니다.

1. 확장 프로그램을 request-authz.com와 연결하는 YAML 파일에 확장 프로그램을 정의합니다. 제공된 샘플 값을 사용합니다.

   cat >swp-request-authz-extension.yaml <<EOF
   name: my-swp-request-authz-ext
   authority: ext11.com
   loadBalancingScheme: INTERNAL_MANAGED
   service: "request-authz.com"
   forwardHeaders:
     - Authorization
   failOpen: false
   timeout: "0.1s"
   wireFormat: EXT_AUTHZ_GRPC
   EOF
   

   Secure Web Proxy 확장 프로그램은 리전별 리소스이며 Secure Web Proxy 인스턴스와 동일한 리전에 있어야 합니다.

   요청 승인 정책의 경우 ext_proc 프로토콜도 지원되지만 콜아웃이 ext_authz 프로토콜을 사용하도록 wireFormat 값을 EXT_AUTHZ_GRPC로 설정할 수 있습니다.

   기본적으로 failOpen은 false로 설정되어 있습니다. 확장 프로그램이 제한 시간을 초과하거나 실패하면 요청 처리가 중지됩니다. 이 기본 옵션은 가용성보다 보안 또는 무결성을 우선시할 때 사용하는 것이 좋습니다.

2. 승인 확장 프로그램을 가져옵니다. 다음 샘플 값과 함께 gcloud beta service-extensions authz-extensions import 명령어를 사용합니다.

   gcloud beta service-extensions authz-extensions import my-swp-request-authz-ext \
       --source=swp-request-authz-extension.yaml \
       --location=us-west1
   

동일한 프로젝트에서 확장 프로그램으로 승인 정책을 구성합니다.

example.com/mcp에 대한 모든 요청에 대해 정책은 특정 주체의 상호 TLS 인증을 요구하고 승인 결정을 승인 확장 프로그램 my-swp-authz-request-ext에 추가로 위임합니다.

1. my-swp-authz-request-ext 확장 프로그램을 Secure Web Proxy 프록시 swp-instance1와 연결하는 승인 정책을 정의합니다. 제공된 샘플 값을 사용합니다.

   cat >swp-request-authz-policy.yaml <<EOF
   name: my-swp-request-authz-policy
   target:
     resources:
       - "projects/PROJECT_ID/locations/us-west1/gateways/swp-instance1"
   policyProfile: REQUEST_AUTHZ
   httpRules:
   - to:
       operations:
       - hosts:
         - exact: "example.com"
       - paths:
         - prefix: "/mcp"
     from:
       sources:
       - principals:
         - principal_selector: CLIENT_CERT_DNS_NAME_SANS
           principal:
             exact: "spiffe://p.global.123.workload.id.goog/ns/ns1/sa/hellomcp"
   action: CUSTOM
   customProvider:
     authzExtension:
       resources:
         - "projects/PROJECT_ID/locations/us-west1/authzExtensions/my-swp-request-authz-ext"
   EOF
   

   PROJECT_ID를 프로젝트 ID로 바꿉니다.

   요청 승인 정책의 경우 policyProfile 값은 REQUEST_AUTHZ이어야 합니다.

   CUSTOM 작업은 확장 프로그램이 프록시와 연결되어 있음을 나타냅니다.

   승인 정책 리소스에 대한 자세한 내용은 authzPolicy 참조 문서를 참고하세요.

2. 승인 정책을 프로젝트로 가져옵니다. 다음 샘플 값과 함께 gcloud beta network-security authz-policies import 명령어를 사용합니다.

   gcloud beta network-security authz-policies import my-swp-request-authz-policy \
       --source=swp-request-authz-policy.yaml \
       --location=us-west1
   

승인 확장 프로그램을 구성합니다.

1. 확장 프로그램을 content-sdp.com와 연결하는 YAML 파일에 확장 프로그램을 정의합니다. 제공된 샘플 값을 사용합니다.

   cat >swp-authz-content-extension.yaml <<EOF
   name: my-swp-content-authz-ext
   authority: ext11.com
   loadBalancingScheme: INTERNAL_MANAGED
   service: "content-sdp.com"
   failOpen: false
   timeout: "0.1s"
   EOF
   

   콘텐츠 승인 정책의 경우 policyProfile 값은 CONTENT_AUTHZ이어야 합니다.

   CONTENT_AUTHZ 정책의 경우 wireFormat 값을 EXT_PROC_GRPC로 명시적으로 설정할 필요가 없습니다. 기본적으로 콜아웃은 ext_proc 프로토콜을 사용합니다.

2. 승인 확장 프로그램을 가져옵니다. 다음 샘플 값과 함께 gcloud beta service-extensions authz-extensions import 명령어를 사용합니다.

   gcloud beta service-extensions authz-extensions import my-swp-content-authz-ext \
       --source=swp-content-authz-extension.yaml \
       --location=us-west1
   

확장 프로그램으로 승인 정책을 구성합니다.

1. 확장 프로그램 my-swp-content-authz-ext을 Secure Web Proxy 프록시 swp-instance1와 연결하는 승인 정책을 정의합니다. 제공된 샘플 값을 사용합니다.

   cat >swp-content-authz-policy.yaml <<EOF
   name: my-swp-content-authz-policy
   target:
     resources:
       - "projects/PROJECT_ID/locations/us-west1/gateways/swp-instance1"
   policyProfile: CONTENT_AUTHZ
   httpRules:
   - to:
       operations:
       - hosts:
         - exact: "example.com"
       - paths:
         - prefix: "/sensitive-stuff"
   action: CUSTOM
   customProvider:
     authzExtension:
       resources:
         - "projects/PROJECT_ID/locations/us-west1/authzExtensions/my-swp-content-authz-ext"
   EOF
   

   콘텐츠 승인 정책의 경우 policyProfile 값이 CONTENT_AUTHZ으로 설정됩니다. 이 값은 맞춤 정책 제공자가 본문 처리를 포함한 요청 및 응답 트래픽을 처리함을 나타냅니다.

2. 승인 정책을 프로젝트로 가져옵니다. 다음 샘플 값과 함께 gcloud beta network-security authz-policies import 명령어를 사용합니다.

   gcloud beta network-security authz-policies import my-swp-content-authz-policy \
       --source=swp-content-authz-policy.yaml \
       --location=us-west1