Google Cloud Armor - 缺少默认规则

Question

我创建了一个云盔甲安全策略，但它没有默认规则。我很困惑，因为文档与此相矛盾。

https://cloud.google.com/compute/docs/reference/rest/beta/securityPolicies

属于此策略的规则列表。必须始终存在默认规则（优先级为 2147483647 并匹配“*”的规则）。如果在创建安全策略时没有提供任何规则，则会添加一个带有“允许”操作的默认规则。

$ gcloud beta compute security-policies describe healthcheck
---
creationTimestamp: ''
description: ''
fingerprint: ...
id: '.....'
kind: compute#securityPolicy
labelFingerprint: .....
name: healthcheck
rules:
- action: deny(404)
  description: Block requests to /health
  kind: compute#securityPolicyRule
  match:
    expr:
      expression: request.path.matches('/health')
  preview: false
  priority: 1000
selfLink: https://www.googleapis.com/compute/....

根据我的测试，默认行为似乎是Allow。这个默认规则是隐藏的还是我遗漏了什么？

规则是使用 Terraform 创建的，但我认为这并不重要。

Answer 1

您的问题的答案在于创建 Cloud Armor 策略的方法有多种。例如，如果您通过 Cloud Console 创建策略，则需要在创建策略之前选择默认规则类型。

在您的情况下，该策略是使用 Terraform 创建的。 Terraform 将以与使用 Cloud Shell 中的 gcloud 命令相同的方式有效地创建策略。使用 Terraform 之类的东西或使用 gcloud 命令将允许创建 Cloud Armor 策略无需指定默认规则。

如果创建 Cloud Armor 策略时未指定规则（默认或其他），则会自动添加“允许”规则。这是您共享的 REST 资源 link 中记录的行为。需要注意的一件事是，可能需要几分钟才能看到默认的“允许”规则。在我的测试中，至少需要 2 分钟才能在控制台中看到并通过：

gcloud compute security-policies describe [POLICY_NAME]

通常在 Cloud Armor 策略创建期间，会指定默认规则以及所需的行为 (step # 2)。您共享的示例似乎尚未在控制台中完全更新，因此未显示默认的“允许”规则。但是，根据您为设置提供的描述，在 Terraform 创建策略期间将应用默认的“允许”规则。

您始终可以使用以下命令将默认规则的行为从“允许”更改为“拒绝 404”（或“拒绝 502”）：

gcloud compute security-policies rules update 2147483647 --security-policy [POLICY_NAME]  --action "deny-404"

（2147483647为默认规则优先级，max int32）