애플리케이션 부하 분산기의 승인 정책 설정

전역

전역 외부 애플리케이션 부하 분산기를 사용하는 경우 다음 단계에 따라 IP 주소 범위를 기반으로 요청을 거부하는 승인 정책을 만들고 가져옵니다.

1. 특정 요청을 거부하는 승인 정책 YAML 파일을 만듭니다.

   다음 예시에서는 global 위치에 전달 규칙 LB_FORWARDING_RULE에 대한 authz-policy-deny.yaml 파일을 만듭니다. 이 정책은 10.0.0.0/24 범위의 IP 주소가 있는 클라이언트가 /api/payments URL 경로에 액세스하는 것을 거부합니다.

   cat >authz-policy-deny.yaml <<EOF
   name: my-authz-policy-deny
   target:
     loadBalancingScheme: LB_SCHEME
     resources:
     - "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/forwardingRules/LB_FORWARDING_RULE"
   httpRules:
   - from:
       sources:
       - ipBlocks:
         - prefix: "10.0.0.0"
           length: "24"
   - to:
       operations:
       - paths:
         - prefix: "/api/payments"
   action: DENY
   EOF
   

   다음을 바꿉니다.

   • LB_SCHEME: 부하 분산 스키마입니다. 전역 외부 애플리케이션 부하 분산기의 경우 스키마를 EXTERNAL_MANAGED로 설정합니다.
   • PROJECT_ID: Google Cloud 프로젝트의 ID입니다.
   • LB_FORWARDING_RULE: 부하 분산기의 전달 규칙 이름입니다.

2. 승인 정책을 만들고 YAML 파일을 가져옵니다.

   다음 명령어 예시는 이전에 만든 정책 파일을 가져와 승인 정책을 만듭니다.

   gcloud network-security authz-policies import my-authz-policy-deny \
       --source=authz-policy-deny.yaml \
       --location=global
   

리전 간

교차 리전 내부 애플리케이션 부하 분산기를 사용하는 경우 다음 단계에 따라 클라이언트 인증서 주 구성원을 기반으로 요청을 거부하는 승인 정책을 만들고 가져옵니다.

1. 특정 요청을 거부하는 승인 정책 YAML 파일을 만듭니다.

   다음 예시에서는 global 위치에 전달 규칙 LB_FORWARDING_RULE에 대한 authz-policy-deny.yaml 파일을 만듭니다. 이 정책은 클라이언트 인증서 DNS 이름 SAN에 www.example.com이 있는 클라이언트의 /api/payments URL 경로에 대한 액세스를 거부합니다.

   cat >authz-policy-deny.yaml <<EOF
   name: my-authz-policy-deny
   target:
     loadBalancingScheme: LB_SCHEME
     resources:
     - "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/forwardingRules/LB_FORWARDING_RULE"
   httpRules:
   - from:
       sources:
       - principals:
         - principalSelector: CLIENT_CERT_DNS_NAME_SAN
           principal:
             exact: "www.example.com"
     to:
       operations:
       - paths:
         - prefix: "/api/payments"
   action: DENY
   EOF
   

   다음을 바꿉니다.

   • LB_SCHEME: 부하 분산 스키마입니다. 교차 리전 내부 애플리케이션 부하 분산기의 경우 스키마를 INTERNAL_MANAGED로 설정합니다.
   • PROJECT_ID: Google Cloud 프로젝트의 ID입니다.
   • LB_FORWARDING_RULE: 부하 분산기의 전달 규칙 이름입니다.

2. 승인 정책을 만들고 YAML 파일을 가져옵니다.

   다음 명령어 예시는 이전에 만든 정책 파일을 가져와 승인 정책을 만듭니다.

   gcloud network-security authz-policies import my-authz-policy-deny \
       --source=authz-policy-deny.yaml \
       --location=global
   

리전

리전 외부 애플리케이션 부하 분산기 또는 리전 내부 애플리케이션 부하 분산기를 사용하는 경우 다음 단계에 따라 클라이언트 인증서 주 구성원을 기반으로 요청을 거부하는 승인 정책을 만들고 가져옵니다.

1. 특정 요청을 거부하는 승인 정책 YAML 파일을 만듭니다.

   다음 예시는Google Cloud 리전에 전달 규칙 LB_FORWARDING_RULE의 authz-policy-deny.yaml 파일을 만듭니다. 이 정책은 클라이언트 인증서 DNS 이름 SAN에 www.example.com이 있는 클라이언트의 /api/payments URL 경로에 대한 액세스를 거부합니다.

   cat >authz-policy-deny.yaml <<EOF
   name: my-authz-policy-deny
   target:
     loadBalancingScheme: LB_SCHEME
     resources:
     - "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/LOCATION/forwardingRules/LB_FORWARDING_RULE"
   policyProfile: REQUEST_AUTHZ
   httpRules:
   - from:
       sources:
       - principals:
         - principalSelector: CLIENT_CERT_DNS_NAME_SAN
           principal:
             exact: "www.example.com"
     to:
       operations:
       - paths:
         - prefix: "/api/payments"
   action: DENY
   EOF
   

   다음을 바꿉니다.

   • LB_SCHEME: 부하 분산 스키마입니다. 리전 외부 애플리케이션 부하 분산기의 경우 스키마를 EXTERNAL_MANAGED로 설정합니다. 리전 내부 애플리케이션 부하 분산기의 경우 스키마를 INTERNAL_MANAGED로 설정합니다.
   • PROJECT_ID: Google Cloud 프로젝트의 ID입니다.
   • LOCATION: Google Cloud 리전입니다.
   • LB_FORWARDING_RULE: 부하 분산기의 전달 규칙 이름입니다.

2. 승인 정책을 만들고 YAML 파일을 가져옵니다.

   다음 명령어 예시는 이전에 만든 정책 파일을 가져와 LOCATION 리전에 승인 정책을 만듭니다.

   gcloud beta network-security authz-policies import my-authz-policy-deny \
       --source=authz-policy-deny.yaml \
       --location=LOCATION
   

전역 및 교차 리전

전역 외부 애플리케이션 부하 분산기나 교차 리전 내부 애플리케이션 부하 분산기를 사용하는 경우 다음 단계를 수행하여 승인 정책을 만들고 가져옵니다.

1. 특정 요청을 허용하는 승인 정책 YAML 파일을 만듭니다.

   다음 예시에서는 global 위치에 전달 규칙 LB_FORWARDING_RULE에 대한 authz-policy-allow.yaml 파일을 만듭니다. 이 정책은 10.0.0.0/24 범위의 IP 주소가 있는 클라이언트가 /api/payments URL 경로에 액세스하도록 허용합니다.

   cat >authz-policy-allow.yaml <<EOF
   name: my-authz-policy-allow
   target:
     loadBalancingScheme: LB_SCHEME
     resources:
     - "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/forwardingRules/LB_FORWARDING_RULE"
   httpRules:
   - from:
       sources:
       - ipBlocks:
         - prefix: "10.0.0.0"
           length: "24"
     to:
       operations:
       - paths:
         - exact: "/api/payments"
   action: ALLOW
   EOF
   

   다음을 바꿉니다.

   • LB_SCHEME: 부하 분산 스키마입니다. 전역 외부 애플리케이션 부하 분산기의 경우 스키마를 EXTERNAL_MANAGED로 설정합니다. 교차 리전 내부 애플리케이션 부하 분산기의 경우 스키마를 INTERNAL_MANAGED로 설정합니다.
   • PROJECT_ID: Google Cloud 프로젝트의 ID입니다.
   • LB_FORWARDING_RULE: 부하 분산기의 전달 규칙 이름입니다.

2. 승인 정책을 만들고 YAML 파일을 가져옵니다.

   다음 명령어 예시는 이전에 만든 정책 파일을 가져와 승인 정책을 만듭니다.

   gcloud network-security authz-policies import my-authz-policy-allow \
       --source=authz-policy-allow.yaml \
       --location=global
   

리전

리전 외부 애플리케이션 부하 분산기나 리전 내부 애플리케이션 부하 분산기를 사용하는 경우 다음 단계를 수행하여 승인 정책을 만들고 가져옵니다.

1. 특정 요청을 허용하는 승인 정책 YAML 파일을 만듭니다.

   다음 예시에서는 특정 Google Cloud 리전에서 전달 규칙 LB_FORWARDING_RULE의 authz-policy-allow.yaml 파일을 만듭니다. 이 정책은 10.0.0.0/24 범위의 IP 주소가 있는 클라이언트가 /api/payments URL 경로에 액세스하도록 허용합니다.

   cat >authz-policy-allow.yaml <<EOF
   name: my-authz-policy-allow
   target:
     loadBalancingScheme: LB_SCHEME
     resources:
     - "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/LOCATION/forwardingRules/LB_FORWARDING_RULE"
   policyProfile: REQUEST_AUTHZ
   httpRules:
   - from:
       sources:
       - ipBlocks:
         - prefix: "10.0.0.0"
           length: "24"
     to:
       operations:
       - paths:
         - exact: "/api/payments"
   action: ALLOW
   EOF
   

   다음을 바꿉니다.

   • LB_SCHEME: 부하 분산 스키마입니다. 리전 외부 애플리케이션 부하 분산기를 사용하는 경우 스키마를 EXTERNAL_MANAGED로 설정합니다. 리전 내부 애플리케이션 부하 분산기를 사용하는 경우 스키마를 INTERNAL_MANAGED로 설정합니다.
   • PROJECT_ID: Google Cloud 프로젝트의 ID입니다.
   • LOCATION: Google Cloud 리전입니다.
   • LB_FORWARDING_RULE: 부하 분산기의 전달 규칙 이름입니다.

2. 승인 정책을 만들고 YAML 파일을 가져옵니다.

   다음 명령어 예시는 이전에 만든 정책 파일을 가져와 LOCATION 리전에 승인 정책을 만듭니다.

   gcloud beta network-security authz-policies import my-authz-policy-allow \
       --source=authz-policy-allow.yaml \
       --location=LOCATION
   

서비스 계정

1. 특정 요청을 거부하는 승인 정책 YAML 파일을 만듭니다.

   다음 예시에서는 리전 내부 애플리케이션 부하 분산기의 전달 규칙 LB_FORWARDING_RULE에 대해 authz-policy-deny.yaml 파일을 만듭니다. 이 정책은 /api/payments 경로에 도달하기 위해 서비스 계정으로 my-sa-123@PROJECT_ID.iam.gserviceaccount.com를 사용하는 Compute Engine VM과 같은 Google Cloud 리소스의 요청을 거부하도록 구성되어 있습니다.

   cat >authz-policy-deny.yaml <<EOF
   name: my-authz-policy-deny
   target:
     loadBalancingScheme: LB_SCHEME
     resources:
     - "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/LOCATION/forwardingRules/LB_FORWARDING_RULE"
   policyProfile: REQUEST_AUTHZ
   httpRules:
   - from:
       sources:
       - resources:
          - iamServiceAccount:
              exact: "my-sa-123@PROJECT_ID.iam.gserviceaccount.com"
     to:
       operations:
       - paths:
         - prefix: "/api/payments"
   action: DENY
   EOF
   

   다음을 바꿉니다.

   • LB_SCHEME: 부하 분산 스키마입니다. 리전 내부 애플리케이션 부하 분산기의 경우 스키마를 INTERNAL_MANAGED로 설정합니다.
   • PROJECT_ID: Google Cloud 프로젝트의 ID입니다.
   • LOCATION: Google Cloud 리전입니다.
   • LB_FORWARDING_RULE: 부하 분산기의 전달 규칙 이름입니다.

2. 승인 정책을 만들고 YAML 파일을 가져옵니다.

   다음 명령어 예시는 이전에 만든 정책 파일을 가져와 지정된 Google Cloud 리전에 승인 정책을 만듭니다.

   gcloud beta network-security authz-policies import my-authz-policy-deny \
       --source=authz-policy-deny.yaml \
       --location=LOCATION
   

   LOCATION을 현재 Google Cloud 리전으로 바꿉니다.

태그

1. 특정 요청을 허용하는 승인 정책 YAML 파일을 만듭니다.

   다음 예시에서는 리전 내부 애플리케이션 부하 분산기의 전달 규칙 LB_FORWARDING_RULE에 대해 authz-policy-allow.yaml 파일을 만듭니다. 이 정책은 보안 태그 값 TAG_VALUE_PERMANENT_ID이 있는 Compute Engine VM과 같은 Google Cloud 리소스에서 시작되는 요청만 /api/payments URL 경로에 액세스하도록 허용합니다.

   cat >authz-policy-allow.yaml <<EOF
   name: my-authz-policy-allow
   target:
     loadBalancingScheme: LB_SCHEME
     resources:
     - "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/LOCATION/forwardingRules/LB_FORWARDING_RULE"
   policyProfile: REQUEST_AUTHZ
   httpRules:
   - from:
     sources:
       resources:
       - tagValueIdSet:
         - ids: "TAG_VALUE_PERMANENT_ID"
     to:
       operations:
       - paths:
         - exact: "/api/payments"
   action: ALLOW
   EOF
   

   다음을 바꿉니다.

   • LB_SCHEME: 부하 분산 스키마입니다. 리전 내부 애플리케이션 부하 분산기의 경우 스키마를 INTERNAL_MANAGED로 설정합니다.
   • PROJECT_ID: Google Cloud 프로젝트의 ID입니다.
   • LOCATION: Google Cloud 리전입니다.
   • LB_FORWARDING_RULE: 부하 분산기의 전달 규칙 이름입니다.
   • TAG_VALUE_PERMANENT_ID: 태그 값의 영구 ID입니다.

2. 승인 정책을 만들고 YAML 파일을 가져옵니다.

   다음 명령어 예시는 이전에 만든 정책 파일을 가져와 지정된Google Cloud 리전에 승인 정책을 만듭니다.

   gcloud beta network-security authz-policies import my-authz-policy-allow \
       --source=authz-policy-allow.yaml \
       --location=LOCATION
   

   다음을 바꿉니다.

   • LOCATION: Google Cloud 리전입니다.

전역 및 교차 리전

전역 외부 애플리케이션 부하 분산기 또는 교차 리전 내부 애플리케이션 부하 분산기를 사용하는 경우 다음 단계에 따라 승인 결정을 사용자 관리 서비스에 위임합니다.

1. YAML 파일에서 승인 확장 프로그램을 정의합니다. 승인 확장 프로그램은 백엔드 서비스 (authz-service)에서 실행되며 ext_authz 프로토콜을 지원합니다.

   cat >authz-extension.yaml <<EOF
   name: my-authz-ext
   authority: ext11.com
   loadBalancingScheme: LB_SCHEME
   service: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/backendServices/authz-service
   forwardHeaders:
     - Authorization
   failOpen: false
   timeout: "0.1s"
   wireFormat: EXT_AUTHZ_GRPC
   EOF
   

2. gcloud service-extensions authz-extensions import 명령어를 사용하여 승인 확장 프로그램 YAML 파일을 가져와 승인 확장 프로그램을 만듭니다.

   gcloud service-extensions authz-extensions import my-authz-ext \
       --source=authz-extension.yaml \
       --location=global
   

   다음을 바꿉니다.

   • LB_SCHEME: 부하 분산 스키마입니다. 전역 외부 애플리케이션 부하 분산기의 경우 스키마를 EXTERNAL_MANAGED로 설정합니다. 교차 리전 내부 애플리케이션 부하 분산기의 경우 스키마를 INTERNAL_MANAGED로 설정합니다.
   • PROJECT_ID: Google Cloud 프로젝트의 ID입니다.

3. YAML 파일에서 승인 정책을 정의합니다. 승인 정책은 customProvider 필드의 승인 확장 프로그램에 승인을 위임합니다.

   이 정책은 요청에 비어 있지 않은 Authorization 헤더가 포함된 경우 example.com/api/payments URL 경로를 향하는 모든 트래픽에 대해 my-authz-ext 승인 확장 프로그램을 호출합니다.

   cat >authz-policy-custom.yaml <<EOF
   name: my-authz-policy-custom
   target:
     loadBalancingScheme: LB_SCHEME
     resources:
     - "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/forwardingRules/LB_FORWARDING_RULE"
   httpRules:
   - to:
       operations:
       - hosts:
         - exact: "example.com"
       - paths:
         - exact: "/api/payments"
     when: 'request.headers["Authorization"] != ""'
   action: CUSTOM
   customProvider:
     authzExtension:
       resources:
       - "projects/PROJECT_ID/locations/global/authzExtensions/my-authz-ext"
   EOF
   

   다음을 바꿉니다.

   • LB_SCHEME: 부하 분산 스키마입니다. 전역 외부 애플리케이션 부하 분산기의 경우 스키마를 EXTERNAL_MANAGED로 설정합니다. 교차 리전 내부 애플리케이션 부하 분산기의 경우 스키마를 INTERNAL_MANAGED로 설정합니다.
   • PROJECT_ID: Google Cloud 프로젝트의 ID입니다.
   • LB_FORWARDING_RULE: 부하 분산기의 전달 규칙 이름입니다.

4. gcloud network-security authz-policies import 명령어를 사용하여 승인 정책 YAML 파일을 가져와 승인 정책을 만듭니다.

   gcloud network-security authz-policies import my-authz-policy-custom \
       --source=authz-policy-custom.yaml \
       --location=global
   

리전

리전 외부 애플리케이션 부하 분산기 또는 리전 내부 애플리케이션 부하 분산기를 사용하는 경우 다음 단계에 따라 승인 결정을 사용자 관리 서비스에 위임합니다.

1. YAML 파일에서 승인 확장 프로그램을 정의합니다. 승인 확장 프로그램은 백엔드 서비스 또는 FQDN 기반 서비스에서 실행할 수 있습니다.

   cat >authz-extension.yaml <<EOF
   name: my-authz-ext
   authority: ext11.com
   loadBalancingScheme: LB_SCHEME
   service: BACKEND_SERVICE_URI_OR_FQDN
   forwardHeaders:
     - Authorization
   failOpen: false
   timeout: "0.1s"
   wireFormat: EXT_AUTHZ_GRPC
   EOF
   

   다음을 바꿉니다.

   • LB_SCHEME: 부하 분산 스키마입니다. 리전 외부 애플리케이션 부하 분산기의 경우 스키마를 EXTERNAL_MANAGED로 설정합니다. 리전 내부 애플리케이션 부하 분산기의 경우 스키마를 INTERNAL_MANAGED로 설정합니다.
   • BACKEND_SERVICE_URI_OR_FQDN: 서비스는 다음 중 하나일 수 있습니다.
     • https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/LOCATION/backendServices/authz-service 형식의 리전 백엔드 서비스 리소스 URI
     • Cloud DNS로 확인할 수 있는 정규화된 도메인 이름(예: mycustomauthz.extension.net)

2. gcloud service-extensions authz-extensions import 명령어를 사용하여 승인 확장 프로그램 YAML 파일을 가져와 승인 확장 프로그램을 만듭니다.

   gcloud service-extensions authz-extensions import my-authz-ext \
       --source=authz-extension.yaml \
       --location=LOCATION
   

   LOCATION을 Google Cloud콜아웃 백엔드 서비스가 구성된 리전으로 바꿉니다.

3. YAML 파일에서 승인 정책을 정의합니다. 승인 정책은 customProvider 필드의 승인 확장 프로그램에 승인을 위임합니다.

   이 정책은 요청에 비어 있지 않은 Authorization 헤더가 포함된 경우 example.com/api/payments URL 경로를 향하는 모든 트래픽에 대해 my-authz-ext 승인 확장 프로그램을 호출합니다.

   cat >authz-policy-custom.yaml <<EOF
   name: my-authz-policy-custom
   target:
     loadBalancingScheme: LB_SCHEME
     resources:
     - "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/LOCATION/forwardingRules/LB_FORWARDING_RULE"
   policyProfile: REQUEST_AUTHZ
   httpRules:
   - to:
       operations:
       - paths:
         - exact: "/api/payments"
     when: 'request.headers["Authorization"] != ""'
   action: CUSTOM
   customProvider:
     authzExtension:
       resources:
       - "projects/PROJECT_ID/locations/LOCATION/authzExtensions/my-authz-ext"
   EOF
   

   다음을 바꿉니다.

   • LB_SCHEME: 부하 분산 스키마입니다. 리전 외부 애플리케이션 부하 분산기의 경우 스키마를 EXTERNAL_MANAGED로 설정합니다. 리전 내부 애플리케이션 부하 분산기의 경우 스키마를 INTERNAL_MANAGED로 설정합니다.
   • PROJECT_ID: Google Cloud 프로젝트의 ID입니다.
   • LOCATION: Google Cloud 리전입니다.
   • LB_FORWARDING_RULE: 부하 분산기의 전달 규칙 이름입니다.

4. gcloud network-security authz-policies import 명령어를 사용하여 승인 정책 YAML 파일을 가져와 승인 정책을 만듭니다.

   gcloud beta network-security authz-policies import my-authz-policy-custom \
       --source=authz-policy-custom.yaml \
       --location=LOCATION
   

   LOCATION을 부하 분산기가 구성된 Google Cloud리전으로 바꿉니다.

리전

1. YAML 파일에서 승인 확장 프로그램을 정의합니다. 승인 확장 프로그램은 Model Armor 요청 및 응답 템플릿을 가리킵니다.

   cat >authz-extension.yaml <<EOF
   name: my-authz-extension
   loadBalancingScheme: INTERNAL_MANAGED
   service: modelarmor.LOCATION.rep.googleapis.com
   metadata:
     model_armor_settings: '[
       {
       "response_template_id": "projects/PROJECT_ID/locations/LOCATION/templates/RESPONSE_TEMPLATE_ID",
       "request_template_id": "projects/PROJECT_ID/locations/LOCATION/templates/REQUEST_TEMPLATE_ID"
       }
     ]'
   failOpen: true
   EOF
   

   다음을 바꿉니다.

   • LOCATION: 템플릿의 위치
   • PROJECT_ID: 템플릿이 속한 프로젝트의 ID
   • RESPONSE_TEMPLATE_ID: 응답 템플릿의 ID
   • REQUEST_TEMPLATE_ID: 요청 템플릿의 ID

2. gcloud beta service-extensions authz-extensions import 명령어를 사용하여 승인 확장 프로그램 YAML 파일을 가져와 승인 확장 프로그램을 만듭니다.

   gcloud beta service-extensions authz-extensions import my-authz-ext \
     --source=authz-extension.yaml \
     --location=LOCATION
   

   LOCATION을 부하 분산기가 있는 Google Cloud리전으로 바꿉니다.

3. YAML 파일에서 승인 정책을 정의합니다. 승인 정책은 customProvider 필드의 승인 확장 프로그램에 승인을 위임합니다.

   policyProfile의 값은 CONTENT_AUTHZ입니다.

   cat >authz-policy-custom.yaml <<EOF
   name: my-authz-policy-custom
   target:
     loadBalancingScheme: INTERNAL_MANAGED
     resources:
     - "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/LOCATION/forwardingRules/LB_FORWARDING_RULE"
   policyProfile: CONTENT_AUTHZ
   action: CUSTOM
   customProvider:
     authzExtension:
       resources:
       - "projects/PROJECT_ID/locations/LOCATION/authzExtensions/my-authz-ext"
   EOF
   

   다음을 바꿉니다.

   • PROJECT_ID: Google Cloud 프로젝트의 ID입니다.
   • LOCATION: Google Cloud 리전입니다.
   • LB_FORWARDING_RULE: 부하 분산기의 전달 규칙 이름입니다.

4. gcloud beta network-security authz-policies import 명령어를 사용하여 승인 정책 YAML 파일을 가져와 승인 정책을 만듭니다.

   gcloud beta network-security authz-policies import my-authz-policy-custom \
     --source=authz-policy-custom.yaml \
     --location=LOCATION
   

   LOCATION을 부하 분산기가 구성된 Google Cloud리전으로 바꿉니다.

전역 및 교차 리전

다음 예시에서는 10.0.0.0/24 IP 주소 블록에서 시작된 모든 요청에 대해 모든 승인 결정이 IAP에 위임됩니다. 요청이 10.0.0.0/24 외부의 IP 주소에서 시작되면 이 정책과 일치하지 않으며 이 특정 규칙에 따라 IAP에서 평가되지 않습니다.

1. YAML 파일에서 승인 정책을 정의합니다. 승인 정책은 customProvider 필드를 통해 IAP에 승인을 위임합니다.

   cat >authz-policy-iap.yaml <<EOF
   name: my-authz-policy-custom
   target:
     loadBalancingScheme: LB_SCHEME
     resources:
     - "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/forwardingRules/LB_FORWARDING_RULE"
   httpRules:
     - from:
         sources:
         - ipBlock:
           - prefix: "10.0.0.0"
             length: 24
   action: CUSTOM
   customProvider:
     cloudIap: {}
   EOF
   

   다음을 바꿉니다.

   • LB_SCHEME: 부하 분산 스키마입니다. 전역 외부 애플리케이션 부하 분산기의 경우 스키마를 EXTERNAL_MANAGED로 설정합니다. 교차 리전 내부 애플리케이션 부하 분산기의 경우 스키마를 INTERNAL_MANAGED로 설정합니다.
   • PROJECT_ID: Google Cloud 프로젝트의 ID입니다.
   • LB_FORWARDING_RULE: 부하 분산기의 전달 규칙 이름입니다.

2. gcloud network-security authz-policies import 명령어를 사용하여 승인 정책 YAML 파일을 가져와 승인 정책을 만듭니다.

   gcloud network-security authz-policies import my-authz-policy-custom \
       --source=authz-policy-iap.yaml \
       --location=global
   

리전

리전 외부 애플리케이션 부하 분산기나 리전 내부 애플리케이션 부하 분산기를 사용하는 경우 다음 단계에 따라 승인 확장 프로그램을 사용하여 승인 결정을 IAP에 위임합니다.

1. YAML 파일에서 승인 확장 프로그램을 정의합니다. 승인 확장 프로그램이 IAP를 가리킵니다.

   cat >authz-extension.yaml <<EOF
   name: my-authz-ext
   loadBalancingScheme: LB_SCHEME
   service: iap.googleapis.com
   failOpen: false
   EOF
   

   테스트 실행 모드에서 실행되도록 IAP를 구성하여 승인 정책을 적용하지 않고 실제 프로덕션 트래픽으로 승인 정책을 테스트할 수도 있습니다. 이렇게 하면 정책을 확인하고 구성 오류로 인한 트래픽 중단 위험을 최소화할 수 있습니다.

   cat >authz-extension.yaml <<EOF
   name: my-authz-ext
   loadBalancingScheme: LB_SCHEME
   service: iap.googleapis.com
   failOpen: false
   metadata:'
     iamEnforcementMode: DRY_RUN
   '
   EOF
   

   다음을 바꿉니다.

   • LB_SCHEME: 부하 분산 스키마입니다. 리전 외부 애플리케이션 부하 분산기의 경우 스키마를 EXTERNAL_MANAGED로 설정합니다. 리전 내부 애플리케이션 부하 분산기의 경우 스키마를 INTERNAL_MANAGED로 설정합니다.

2. gcloud service-extensions authz-extensions import 명령어를 사용하여 승인 확장 프로그램 YAML 파일을 가져와 승인 확장 프로그램을 만듭니다.

   gcloud service-extensions authz-extensions import my-authz-ext \
       --source=authz-extension.yaml \
       --location=LOCATION
   

   LOCATION을 승인 확장 프로그램이 구성된 Google Cloud리전으로 바꿉니다.

3. YAML 파일에서 승인 정책을 정의합니다. 승인 정책은 customProvider 필드의 승인 확장 프로그램에 승인을 위임합니다.

   cat >authz-policy-custom.yaml <<EOF
   name: my-authz-policy-custom
   target:
     loadBalancingScheme: LB_SCHEME
     resources:
     - "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/LOCATION/forwardingRules/LB_FORWARDING_RULE"
   policyProfile: REQUEST_AUTHZ
   action: CUSTOM
   customProvider:
     authzExtension:
       resources:
       - "projects/PROJECT_ID/locations/LOCATION/authzExtensions/my-authz-ext"
   EOF
   

   다음을 바꿉니다.

   • LB_SCHEME: 부하 분산 스키마입니다. 리전 외부 애플리케이션 부하 분산기의 경우 스키마를 EXTERNAL_MANAGED로 설정합니다. 리전 내부 애플리케이션 부하 분산기의 경우 스키마를 INTERNAL_MANAGED로 설정합니다.
   • PROJECT_ID: Google Cloud 프로젝트의 ID입니다.
   • LOCATION: Google Cloud 리전입니다.
   • LB_FORWARDING_RULE: 부하 분산기의 전달 규칙 이름입니다.

4. gcloud network-security authz-policies import 명령어를 사용하여 승인 정책 YAML 파일을 가져와 승인 정책을 만듭니다.

   gcloud beta network-security authz-policies import my-authz-policy-custom \
       --source=authz-policy-custom.yaml \
       --location=LOCATION
   

   LOCATION을 부하 분산기가 구성된 Google Cloud리전으로 바꿉니다.