此页面由 Cloud Translation API 翻译。

将安全 Web 代理发布为 Private Service Connect 服务
使用集合让一切井井有条根据您的偏好保存内容并对其进行分类。

如需在多个 VPC 网络中集中部署安全 Web 代理，您可以通过 Private Service Connect 服务附件提供安全 Web 代理。

使用 Private Service Connect 部署安全 Web 代理涉及以下步骤：

创建安全 Web 代理政策和规则。
创建使用您的政策的安全 Web 代理实例。
创建服务连接，以便将安全 Web 代理实例发布为 Private Service Connect 服务。
在需要连接到安全 Web 代理的每个 VPC 网络中创建一个 Private Service Connect 使用方端点。
将工作负载出站流量指向该区域内的集中式安全 Web 代理实例。

在 Private Service Connect 服务连接模式下部署安全 Web 代理。 — 将安全 Web 代理发布为 Private Service Connect 服务后，您可以集中管理多个 VPC 网络中工作负载的出站流量。（点击可放大）。

准备工作

在完成本页面上的步骤之前，请先完成初始设置步骤。

创建和配置安全 Web 代理实例

本指南介绍了如何创建按会话匹配流量的安全 Web 代理政策和规则。

如需了解如何选择性配置 TLS 检查，请参阅启用 TLS 检查。

如需了解如何选择性配置应用级匹配，请参阅部署安全 Web 代理实例。

创建安全 Web 代理政策

控制台

在 Google Cloud 控制台中，前往 SWP 政策页面。

前往“SWP 政策”页面
点击 创建政策。
输入您要创建的政策的名称，例如 myswppolicy。
输入政策说明。
在区域列表中，选择要创建网站代理政策的区域。
点击创建。

Cloud Shell

创建 policy.yaml 文件。

description: basic Secure Web Proxy policy
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1

替换以下内容：

PROJECT_ID：您的项目的 ID
REGION：政策的区域

根据 policy.yaml 创建安全 Web 代理政策。

gcloud network-security gateway-security-policies import policy1 \
    --source=policy.yaml \
    --location=REGION

向政策添加安全 Web 代理规则

配置安全 Web 代理规则，以允许来自每个工作负载的出站流量。

本部分介绍了如何创建规则，以允许来自由 Resource Manager 标记或服务账号标识的工作负载的流量。如需了解如何以其他方式匹配流量，请参阅 CEL 匹配器语言参考文档。

控制台

在 Google Cloud 控制台中，前往 SWP 政策页面。

前往“SWP 政策”页面
点击您的政策名称。
如需添加规则以允许工作负载访问互联网，请执行以下操作：
1. 点击 添加规则。
2. 输入优先级。这些规则按照从最高到最低的优先级进行评估，其中 0 是最高优先级。
3. 输入名称。
4. 请输入说明
5. 输入状态。
6. 对于操作，请选择允许。
7. 点击状态，然后选择已启用。
8. 在会话匹配部分，指定会话匹配条件。
  - 例如，如需允许来自 Resource Manager 标记值 ID 为 tagValues/123456 的工作负载的��量访问 google.com，请输入��下内容：
    
    source.matchTag('tagValues/123456') && host() == 'google.com'
  - 如需允许使用服务账号 account-name@my-project.iam.gserviceaccount.com 的工作负载向 google.com 发送流量，请输入以下内容：
    
    source.matchServiceAccount('account-name@my-project.iam.gserviceaccount.com') && host() == 'google.com'
9. 点击创建。

Cloud Shell

对于要添加的每条规则，请执行以下操作：

创建一个 rule.yaml 文件，并指定用于匹配会话的条件。
- 如需允许来自由 Resource Manager 标记值 ID 标识的工作负载的流量访问特定网域，请创建以下文件：
```
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/RULE_NAME
description: Allow traffic based on tag
enabled: true
priority: PRIORITY
basicProfile: ALLOW
sessionMatcher: source.matchTag('TAG_VALUE_ID') && host() == 'DOMAIN_NAME'
```
  替换以下内容：
  - PROJECT_ID：您的项目的 ID
  - REGION：您的政策的区域
  - RULE_NAME：规则的名称
  - PRIORITY：规则的优先级 - 规则按照从高到低的优先级进行评估，其中 0 是最高优先级
  - TAG_VALUE_ID：要允许流量的各个工作负载的标记值 ID
  - DOMAIN_NAME：要允许流量转到的域名
- 如需允许使用服务账号的工作负载向特定网域发送流量，请创建以下文件：
```
name: projects/PROJECT_ID/locations/REGION/gatewaySecurityPolicies/policy1/rules/RULE_NAME
description: Allow traffic based on service account
enabled: true
priority: PRIORITY
basicProfile: ALLOW
sessionMatcher: source.matchServiceAccount('SERVICE_ACCOUNT') && host() == 'DOMAIN_NAME'
```
  将 SERVICE_ACCOUNT 替换为服务账号的名称。

如需使用您在 rule.yaml 中定义的规则更新政策，请使用以下命令：

gcloud network-security gateway-security-policies rules import RULE_NAME \
   --source=rule.yaml \
   --location=REGION \
   --gateway-security-policy=policy1

部署安全 Web 代理实例

在要用于出站流量的 Virtual Private Cloud (VPC) 网络中，以显式路由模式部署一个安全 Web 代理实例。创建实例时，请将其与您在上一步中创建的政策和规则相关联。

使用 Private Service Connect 服务连接发布安全 Web 代理不支持下一个跃点路由模式。

如需了解如何配置实例，请参阅设置 Web 代理。您目前无需完成该页面上的其他步骤。

在轮辐模型中将安全 Web 代理部署为 Private Service Connect 服务

本部分介绍了如何使用集线和辐条模型集中管理出站流量，将安全 Web 代理部署为 Private Service Connect 服务。