使用自定义限制条件管理 VPC 防火墙规则资源

控制台

1. 在 Google Cloud 控制台中，转到组织政策页面。

   转到组织政策

2. 选择页面顶部的项目选择器。

3. 在项目选择器中，选择要为其设置组织政策的资源。

4. 点击 add 自定义限制条件。

5. 在显示名称框中，为限制条件输入一个易记的名称。此字段的最大长度为 200 个字符。 请勿在限制条件名称中使用 PII 或敏感数据，因为这些可能会在错误消息中公开。

6. 在限制条件 ID 框中，为新的自定义限制条件输入所需的名称。自定义约束条件必须以 custom. 开头，只能包含大写字母、小写字母或数字，例如 custom.httpFirewallRule。该字段的长度上限为 70 个字符，不计算前缀，例如 organizations/123456789/customConstraints/custom.。

7. 在说明框中，输入直观易懂的限制条件说明，在违反政策时此说明内容会以错误消息的形式显示。此字段的最大长度为 2,000 个字符。

8. 在资源类型框中，选择包含要限制的对象和字段的 Google CloudREST 资源的名称。例如 compute.googleapis.com/Firewall。

9. 在强制执行方法下，选择是仅对 REST CREATE 方法还是同时对 REST CREATE 和 UPDATE 方法强制执行限制条件。

10. 如需定义条件，请点击 edit修改条件。

    1. 在添加条件面板中，创建一个引用受支持的服务资源的 CEL 条件。此字段的最大长度为 1,000 个字符。

    2. 点击保存。

11. 在操作下，选择在满足上述条件时是允许还是拒绝评估的方法。

12. 点击创建限制条件。

在每个字段中输入值后，右侧将显示此自定义限制条件的等效 YAML 配置。

gcloud

如需使用 Google Cloud CLI 创建自定义限制条件，请创建一个 YAML 文件。

name: organizations/ORGANIZATION_ID/customConstraints/CONSTRAINT_NAME
resource_types: compute.googleapis.com/RESOURCE_NAME
method_types:
– METHOD1
– METHOD2
condition: "CONDITION"
action_type: ACTION
display_name: DISPLAY_NAME
description: DESCRIPTION

替换以下内容：

• ORGANIZATION_ID：组织 ID，例如 123456789。

• CONSTRAINT_NAME：要创建的自定义限制条件的名称。自定义限制条件 ID 必须以 custom. 开头，只能包含大写字母、小写字母和数字。例如，custom.httpFirewallRule。

  该字段的长度上限为 70 个字符，不计算前缀。例如 organizations/123456789/customConstraints/custom。

• RESOURCE_NAME：包含要限制的对象和字段的 Compute Engine API REST 资源的名称（而非 URI）。例如，compute.googleapis.com/Firewall。

• METHOD1、METHOD2、…：要对其强制执行限制条件的 RESTful 方法的列表。可以是 CREATE 或 CREATE 和 UPDATE。

• CONDITION：针对受支持的服务资源的表示法编写的 CEL 条件。此字段的长度上限为 1,000 个字符。如需详细了解可用于针对其编写条件的资源，请参阅支持的资源。

• ACTION：满足 condition 时要执行的操作。可以是 ALLOW 或 DENY。

• DISPLAY_NAME：限制条件的直观易记名称。 此字段的最大长度为 200 个字符。

• DESCRIPTION：直观易懂的限制条件说明，在违反政策时显示为错误消息。 此字段的最大长度为 2,000 个字符。

如需详细了解如何创建自定义限制条件，请参阅定义自定义限制条件。

gcloud

1. 创建一个包含以下信息的 restrictSshRanges.yaml 限制条件文件。

   name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictSshRanges
   resource_types: compute.googleapis.com/Firewall
   condition: "resource.direction.matches('INGRESS') && resource.allowed.containsFirewallPort('tcp', '22') && !resource.sourceRanges.all(range, range == '35.235.240.0/20' || range.startsWith('10.') || range.startsWith('192.168.'))"
   action_type: DENY
   method_types: CREATE
   display_name: Limit firewall rules that allow ingress SSH traffic
   description: Firewall rules that allow ingress SSH traffic can only be created with allowed source ranges.

   将 ORGANIZATION_ID 替换为组织的 ID。

2. 使用 gcloud org-policies set-custom-constraint 命令设置自定义限制条件：

   gcloud org-policies set-custom-constraint restrictSshRanges.yaml
   

3. 创建一个包含以下示例中提供的信息的 restrictSshRanges-policy.yaml 政策文件，并在项目级强制执行此限制条件。您也可以在组织级或文件夹级设置此限制条件。

       name: projects/PROJECT_ID/policies/custom.restrictSshRanges
       spec:
         rules:
         – enforce: true

   将 PROJECT_ID 替换为相应项目的 ID。

4. 使用 gcloud org-policies set-policy 命令强制执行政策。

   gcloud org-policies set-policy restrictSshRanges-policy.yaml
   

5. 如需测试此限制条件，请使用 gcloud compute firewall-rules create 命令创建一个自动模式 VPC 网络。

   gcloud compute firewall-rules create ssh-firewall-rule \
       --action=ALLOW \
       --direction=INGRESS \
       --network=NETWORK \
       --priority=1000 \
       --rules=tcp:22 \
       --source-ranges=0.0.0.0/0
   

   将 `NETWORK` 替换为网络的名称。 输出内容类似如下：

   ERROR: (gcloud.compute.firewall-rules.create) Could not fetch resource:
   - Operation denied by custom org policy: [customConstraints/custom.restrictSshRanges] : Firewall rules that allow ingress SSH traffic can only be created with allowed source ranges.

gcloud

1. 创建一个包含以下信息的 restrictWebPorts.yaml 限制条件文件。

   name: organizations/ORGANIZATION_ID/customConstraints/custom.restrictWebPorts
   resource_types: compute.googleapis.com/Firewall
   condition: "resource.direction.matches('INGRESS') && resource.sourceRanges.all(range, range == '0.0.0.0/0') && resource.allowed.exists(allowed, allowed.IPProtocol != 'tcp' || allowed.ports.exists(port, port != '80' && port != '443'))"
   action_type: DENY
   method_types: CREATE
   display_name: Limit firewall rules that allow ingress traffic from 0.0.0.0/0
   description: Firewall rules that allow ingress traffic from 0.0.0.0/0 on TCP ports other than 80 or 443.

   将 ORGANIZATION_ID 替换为组织的 ID。

2. 使用 gcloud org-policies set-custom-constraint 命令设置自定义限制条件：

   gcloud org-policies set-custom-constraint restrictWebPorts.yaml
   

3. 创建一个包含以下示例中提供的信息的 restrictWebPorts-policy.yaml 政策文件，并在项目级强制执行此限制条件。您也可以在组织级或文件夹级设置此限制条件。

       name: projects/PROJECT_ID/policies/custom.restrictWebPorts
       spec:
         rules:
         – enforce: true

   将 PROJECT_ID 替换为相应项目的 ID。

4. 使用 gcloud org-policies set-policy 命令强制执行政策：

   gcloud org-policies set-policy restrictWebPorts-policy.yaml
   

5. 如需测试此限制条件，请使用 gcloud compute firewall-rules create 命令创建一个自动模式 VPC 网络。

   gcloud compute firewall-rules create ssh-firewall-rule \
       --action=ALLOW \
       --direction=INGRESS \
       --network=NETWORK \
       --priority=1000 \
       --rules=tcp:22 \
       --source-ranges=0.0.0.0/0
   

   将 `NETWORK` 替换为网络的名称。 输出内容类似如下：

   ERROR: (gcloud.compute.firewall-rules.create) Could not fetch resource:
   - Operation denied by custom org policy: [customConstraints/custom.restrictWebPorts] : Firewall rules that allow ingress traffic from 0.0.0.0/0 on TCP ports other than 80 or 443.