Configurar uma extensão para o Secure Web Proxy

Configure a extensão de autorização.

1. Defina a extensão em um arquivo YAML que a associa ao request-authz.com. Use os valores de amostra fornecidos.

   cat >swp-request-authz-extension.yaml <<EOF
   name: my-swp-request-authz-ext
   authority: ext11.com
   loadBalancingScheme: INTERNAL_MANAGED
   service: "request-authz.com"
   forwardHeaders:
     - Authorization
   failOpen: false
   timeout: "0.1s"
   wireFormat: EXT_AUTHZ_GRPC
   EOF
   

   As extensões do Secure Web Proxy são recursos regionais e precisam estar na mesma região que a instância do Secure Web Proxy.

   Para políticas de autorização de solicitação, o valor wireFormat pode ser EXT_AUTHZ_GRPC para que a callout use o protocolo ext_authz, embora o protocolo ext_proc também seja compatível.

   Por padrão, failOpen é definido como false. Se a extensão atingir o tempo limite ou falhar, o processamento da solicitação será interrompido. Essa opção padrão é preferível quando a prioridade é a segurança ou a integridade em vez da disponibilidade.

2. Importe a extensão de autorização. Use o comando gcloud beta service-extensions authz-extensions import com os seguintes valores de exemplo.

   gcloud beta service-extensions authz-extensions import my-swp-request-authz-ext \
       --source=swp-request-authz-extension.yaml \
       --location=us-west1
   

No mesmo projeto, configure uma política de autorização com a extensão.

Para qualquer solicitação a example.com/mcp, a política exige autenticação TLS mútua de uma principal específica e delega ainda mais a decisão de autorização à extensão de autorização, my-swp-authz-request-ext.

1. Defina uma política de autorização que associe a extensão my-swp-authz-request-ext ao proxy do Secure Web Proxy swp-instance1. Use os valores de amostra fornecidos.

   cat >swp-request-authz-policy.yaml <<EOF
   name: my-swp-request-authz-policy
   target:
     resources:
       - "projects/PROJECT_ID/locations/us-west1/gateways/swp-instance1"
   policyProfile: REQUEST_AUTHZ
   httpRules:
   - to:
       operations:
       - hosts:
         - exact: "example.com"
       - paths:
         - prefix: "/mcp"
     from:
       sources:
       - principals:
         - principal_selector: CLIENT_CERT_DNS_NAME_SANS
           principal:
             exact: "spiffe://p.global.123.workload.id.goog/ns/ns1/sa/hellomcp"
   action: CUSTOM
   customProvider:
     authzExtension:
       resources:
         - "projects/PROJECT_ID/locations/us-west1/authzExtensions/my-swp-request-authz-ext"
   EOF
   

   Substitua PROJECT_ID pelo ID do projeto.

   Para políticas de autorização de solicitação, o valor de policyProfile precisa ser REQUEST_AUTHZ.

   A ação CUSTOM indica que uma extensão está associada ao proxy.

   Para mais informações sobre um recurso de política de autorização, consulte a documentação de referência do authzPolicy.

2. Importe a política de autorização para o projeto. Use o comando gcloud beta network-security authz-policies import com os seguintes valores de exemplo.

   gcloud beta network-security authz-policies import my-swp-request-authz-policy \
       --source=swp-request-authz-policy.yaml \
       --location=us-west1
   

Configure a extensão de autorização.

1. Defina a extensão em um arquivo YAML que a associa ao content-sdp.com. Use os valores de amostra fornecidos.

   cat >swp-authz-content-extension.yaml <<EOF
   name: my-swp-content-authz-ext
   authority: ext11.com
   loadBalancingScheme: INTERNAL_MANAGED
   service: "content-sdp.com"
   failOpen: false
   timeout: "0.1s"
   EOF
   

   Para políticas de autorização de conteúdo, o valor de policyProfile precisa ser CONTENT_AUTHZ.

   Para políticas de CONTENT_AUTHZ, o valor wireFormat não precisa ser definido explicitamente como EXT_PROC_GRPC. Por padrão, o destaque usa o protocolo ext_proc.

2. Importe a extensão de autorização. Use o comando gcloud beta service-extensions authz-extensions import com os seguintes valores de exemplo.

   gcloud beta service-extensions authz-extensions import my-swp-content-authz-ext \
       --source=swp-content-authz-extension.yaml \
       --location=us-west1
   

Configure uma política de autorização com a extensão.

1. Defina uma política de autorização que associe a extensão my-swp-content-authz-ext ao proxy do Secure Web Proxy, swp-instance1. Use os valores de amostra fornecidos.

   cat >swp-content-authz-policy.yaml <<EOF
   name: my-swp-content-authz-policy
   target:
     resources:
       - "projects/PROJECT_ID/locations/us-west1/gateways/swp-instance1"
   policyProfile: CONTENT_AUTHZ
   httpRules:
   - to:
       operations:
       - hosts:
         - exact: "example.com"
       - paths:
         - prefix: "/sensitive-stuff"
   action: CUSTOM
   customProvider:
     authzExtension:
       resources:
         - "projects/PROJECT_ID/locations/us-west1/authzExtensions/my-swp-content-authz-ext"
   EOF
   

   Para políticas de autorização de conteúdo, o valor de policyProfile é definido como CONTENT_AUTHZ. Esse valor indica que o provedor de política personalizada processa o tráfego de solicitação e resposta, incluindo o processamento do corpo.

2. Importe a política de autorização para o projeto. Use o comando gcloud beta network-security authz-policies import com os seguintes valores de exemplo.

   gcloud beta network-security authz-policies import my-swp-content-authz-policy \
       --source=swp-content-authz-policy.yaml \
       --location=us-west1