GSP878

Übersicht

Mit Edge-Sicherheitsrichtlinien in Google Cloud Armor können Sie den Zugriff auf im Cache gespeicherte Objekte in Cloud CDN (Content Delivery Network) und Cloud Storage einschränken. Edge-Sicherheitsrichtlinien werden im äußersten Perimeter des Google-Netzwerks vor dem Speicherort des Cloud CDN-Cache bereitgestellt und durchgesetzt. So können Sie beispielsweise verhindern, dass Nutzer in eingeschränkten Regionen auf Objekte in Storage-Buckets zugreifen, oder sicherstellen, dass Ihre Medienverteilung nach den Regionen gefiltert wird, für die Sie eine entsprechende Lizenz haben.

In diesem Lab erstellen Sie einen Google Cloud Storage-Bucket, laden ein Bild hoch, binden ihn an einen Load Balancer und aktivieren dann Cloud CDN und Cloud Armor-Edge-Sicherheitsrichtlinien.

Lerninhalte

Aufgaben in diesem Lab:

• Cloud Storage-Bucket mit im Cache speicherbaren Inhalten einrichten
• Eine Edge-Sicherheitsrichtlinie zum Schutz der Inhalte erstellen
• Prüfen, ob die Edge-Sicherheitsrichtlinie wie erwartet funktioniert

Einrichtung und Anforderungen

Vor dem Klick auf „Start Lab“ (Lab starten)

Lesen Sie diese Anleitung. Labs sind zeitlich begrenzt und können nicht pausiert werden. Der Timer beginnt zu laufen, wenn Sie auf Lab starten klicken, und zeigt Ihnen, wie lange Google Cloud-Ressourcen für das Lab verfügbar sind.

In diesem praxisorientierten Lab können Sie die Lab-Aktivitäten in einer echten Cloud-Umgebung durchführen – nicht in einer Simulations- oder Demo-Umgebung. Dazu erhalten Sie neue, temporäre Anmeldedaten, mit denen Sie für die Dauer des Labs auf Google Cloud zugreifen können.

Für dieses Lab benötigen Sie Folgendes:

• Einen Standardbrowser (empfohlen wird Chrome)

Hinweis: Nutzen Sie den privaten oder Inkognitomodus (empfohlen), um dieses Lab durchzuführen. So wird verhindert, dass es zu Konflikten zwischen Ihrem persönlichen Konto und dem Teilnehmerkonto kommt und zusätzliche Gebühren für Ihr persönliches Konto erhoben werden.

• Zeit für die Durchführung des Labs – denken Sie daran, dass Sie ein begonnenes Lab nicht unterbrechen können.

Hinweis: Verwenden Sie für dieses Lab nur das Teilnehmerkonto. Wenn Sie ein anderes Google Cloud-Konto verwenden, fallen dafür möglicherweise Kosten an.

Lab starten und bei der Google Cloud Console anmelden

1. Klicken Sie auf Lab starten. Wenn Sie für das Lab bezahlen müssen, wird ein Dialogfeld geöffnet, in dem Sie Ihre Zahlungsmethode auswählen können. Auf der rechten Seite befindet sich der Bereich Lab-Einrichtung und ‑Zugriff:

   • Button Google Cloud Console öffnen
   • Die temporären Anmeldedaten (Nutzername und Passwort), die Sie für dieses Lab verwenden müssen
   • Gegebenenfalls weitere Informationen für dieses Lab

   Der Lab-Timer befindet sich oben auf der Seite und zeigt die verbleibende Zeit an.

2. Klicken Sie auf Google Cloud Console öffnen. Wenn Sie Chrome verwenden, können Sie auch rechtsklicken und Link in Inkognitofenster öffnen auswählen.

   Im Lab werden Ressourcen aktiviert. Anschließend wird ein weiterer Tab mit der Seite „Anmelden“ geöffnet.

   Tipp: Ordnen Sie die Tabs nebeneinander in separaten Fenstern an.

   Hinweis: Wird das Dialogfeld Konto auswählen angezeigt, klicken Sie auf Anderes Konto verwenden.

3. Kopieren Sie bei Bedarf den folgenden Nutzernamen und fügen Sie ihn in das Dialogfeld Anmelden ein.

   {{{user_0.username | "Username"}}}

   Sie finden den Nutzernamen auch im Bereich Lab-Einrichtung und ‑Zugriff.

4. Klicken Sie auf Weiter.

5. Kopieren Sie das folgende Passwort und fügen Sie es in das Dialogfeld Willkommen ein.

   {{{user_0.password | "Password"}}}

   Sie finden das Passwort auch im Bereich Lab-Einrichtung und ‑Zugriff.

6. Klicken Sie auf Weiter.

   Wichtig: Sie müssen die für das Lab bereitgestellten Anmeldedaten verwenden. Nutzen Sie nicht die Anmeldedaten Ihres Google Cloud-Kontos. Hinweis: Wenn Sie Ihr eigenes Google Cloud-Konto für dieses Lab nutzen, können zusätzliche Kosten anfallen.

7. Klicken Sie sich durch die nachfolgenden Seiten:

   • Akzeptieren Sie die Nutzungsbedingungen.
   • Fügen Sie keine Wiederherstellungsoptionen oder 2-Faktor-Authentifizierung hinzu, da dies nur ein temporäres Konto ist.
   • Melden Sie sich nicht für kostenlose Testversionen an.

Nach wenigen Augenblicken wird die Google Cloud Console in diesem Tab geöffnet.

Hinweis: Wenn Sie auf Google Cloud-Produkte und ‑Dienste zugreifen möchten, klicken Sie auf das Navigationsmenü oder geben Sie den Namen des Produkts oder Dienstes in das Feld Suchen ein.

Hinweis

• Legen Sie in der Cloud Shell Ihre Projekt-ID fest und erstellen Sie eine Umgebungsvariable dafür:

export PROJECT_ID=$(gcloud config get-value project) echo $PROJECT_ID gcloud config set project $PROJECT_ID

Aufgabe 1: Cloud Storage-Bucket erstellen und Objekt hochladen

Der Cloud Storage-Bucket ist die Ursprungsquelle für Cloud CDN.

1. Rufen Sie in der Console das Navigationsmenü () > Cloud Storage > Buckets auf.

2. Klicken Sie auf ERSTELLEN, um einen neuen Cloud Storage-Bucket zu erstellen.

3. Legen Sie als Bucket-Namen „-bucket“ fest.

4. Klicken Sie auf Weiter.

5. Wählen Sie als Standorttyp die Option Region und dann aus.

6. Klicken Sie auf Weiter.

7. Die Standardspeicherklasse für Ihren Bucket ist Standard. Klicken Sie auf Weiter.

8. Entfernen Sie unter Öffentlichen Zugriff verhindern das Häkchen bei Verhinderung des öffentlichen Zugriffs für diesen Bucket erzwingen.

9. Wählen Sie unter Zugriffssteuerung die Option Detailliert aus.

10. Klicken Sie auf Weiter.

11. Klicken Sie auf Erstellen.

Fertig – Sie haben soeben einen Cloud Storage-Bucket erstellt.

Objekt in den Bucket hochladen

Laden Sie jetzt ein Objekt in den Bucket hoch, das Sie später verwenden werden. Cloud Storage-Buckets sind standardmäßig privat. Im Rahmen dieses Labs legen Sie fest, dass das Objekt im Internet verfügbar ist.

1. Führen Sie den folgenden Befehl in der Cloud Shell aus, um ein Bild in die Cloud Shell herunterzuladen. Für dieses Lab wird ein Google-Bild von der Google-Startseite verwendet.

wget --output-document google.png https://www.google.com/images/branding/googlelogo/1x/googlelogo_color_272x92dp.png

2. Verwenden Sie den Befehl gsutil cp, um das Bild aus der Cloud Shell in den erstellten Bucket hochzuladen:

gsutil cp google.png gs://{{{project_0.startup_script.project_id|Bucket Name}}}

3. Entfernen Sie das heruntergeladene Bild aus der Cloud Shell:

rm google.png

4. Suchen Sie das Objekt, das Sie in den Bucket hochgeladen haben. Rufen Sie dazu Cloud Storage > Buckets > auf.

5. Klicken Sie nun auf die drei Punkte rechts neben dem hochgeladenen Objekt und dann auf Zugriff bearbeiten.

6. Klicken Sie auf Eintrag hinzufügen und wählen Sie in der Drop-down-Liste Öffentlich aus.

7. Klicken Sie auf Speichern.

Klicken Sie auf Fortschritt prüfen. Cloud Storage-Bucket erstellen und Objekt hochladen

Aufgabe 2: Load Balancer erstellen

Cloud CDN und Cloud Armor sind Komponenten, die mit dem globalen Cloud Load Balancing von Google verknüpft werden können. In diesem Abschnitt erstellen Sie einen HTTP-Load-Balancer.

1. Klicken Sie im Navigationsmenü () auf Alle Produkte ansehen > Netzwerkdienste > Load Balancing.
2. Klicken Sie auf + LOAD BALANCER ERSTELLEN.
3. Wählen Sie unter Typ von Load Balancer die Option Application Load Balancer (HTTP/HTTPS) aus und klicken Sie auf Weiter.
4. Wählen Sie für Öffentlich oder intern die Option Öffentlich (extern) aus und klicken Sie auf WEITER.
5. Wählen Sie unter Globale Bereitstellung oder Bereitstellung in einzelner Region die Option Optimal für globale Arbeitslasten aus und klicken Sie auf WEITER.
6. Wählen Sie unter Load-Balancer-Generation die Option Globaler externer Application Load Balancer aus und klicken Sie auf WEITER.
7. Klicken Sie auf den Button KONFIGURIEREN.
8. Geben Sie als Namen für den Load Balancer edge-cache-lb ein.

Frontend-Konfiguration erstellen

So erstellen Sie die Frontend-Konfiguration:

1. Klicken Sie auf Frontend-Konfiguration.

2. Verwenden Sie für die Frontend-Konfiguration HTTP (HTTPS funktioniert auch, wenn Sie ein Zertifikat haben) und eine sitzungsspezifische IP-Adresse. Achten Sie darauf, dass Sie das Premium-Netzwerk ausgewählt haben. Dies ist die Standardeinstellung.

3. Klicken Sie auf Fertig.

Backend-Konfiguration erstellen

So erstellen Sie die Backend-Konfiguration:

1. Klicken Sie auf Backend-Konfiguration.

2. Klicken Sie unter Backend-Dienste und Backend-Buckets auf Backend-Bucket erstellen.

3. Legen Sie für Name des Backend-Buckets den Wert lb-backend-bucket fest.

4. Wählen Sie im nächsten Feld den zuvor erstellten Cloud Storage-Bucket aus, indem Sie auf den Button Durchsuchen klicken.

5. Übernehmen Sie für alle anderen Werte die Standardeinstellung.

6. Klicken Sie auf Erstellen.

Host- und Pfadregeln erstellen

So erstellen Sie Host- und Pfadregeln:

1. Klicken Sie links auf Routingregeln.

2. Wählen Sie unter „Modus“ die Option Einfache Host- und Pfadregel aus, um jede Anfrage an den Bucket zu senden. Dies ist die Standardoption.

HTTP-Load-Balancer prüfen und erstellen

So prüfen und erstellen Sie den HTTP-Load-Balancer:

1. Klicken Sie auf Prüfen und abschließen.
2. Prüfen Sie die Backend-Dienste und das Frontend.
3. Klicken Sie auf Erstellen.

IP-Adresse des Load Balancers abrufen

So rufen Sie die IP-Adresse des Load Balancers in der Console ab:

• Klicken Sie in der Liste der Load Balancer für das Projekt auf den Namen des gewünschten Load Balancers. Notieren Sie die IPv4-Adresse des Load Balancers für die nächste Aufgabe. Sie wird in den folgenden Schritten als [LOAD_BALANCER_IP] bezeichnet.

Load Balancer abfragen

Fragen Sie nach ein paar Minuten den Load Balancer nach dem hochgeladenen Objekt ab. Sie benötigen die IP-Adresse des Load Balancers und den Namen des Bilds.

1. Führen Sie den folgenden Befehl in der Cloud Shell aus und ersetzen Sie LOAD_BALANCER_IP durch die IPv4-Adresse des Load Balancers:

curl -svo /dev/null http://LOAD_BALANCER_IP/google.png Hinweis: Der Zugriff auf den HTTP-Load-Balancer kann bis zu fünf Minuten dauern.

Ausgabe:

student-cloudshell% curl -svo /dev/null http://34.98.81.123/google.png * Trying 34.98.81.123... * TCP_NODELAY set * Connected to 34.98.81.123 (34.98.81.123) port 80 (#0) > GET /google.png HTTP/1.1 > Host: YOUR_IP > User-Agent: curl/7.64.1 > Accept: */* > < HTTP/1.1 200 OK < X-GUploader-UploadID: ADPycdtoILI76KVsvBvdVGvSfzaxys1m3zYqCepBrmJxAI48ni24cWCRIdNu-53PX3DS6iycxp6xwFbMpwtcHHZQUQmEBxAgng < Expires: Mon, 13 Dec 2021 22:58:26 GMT < Date: Mon, 13 Dec 2021 21:58:26 GMT < Cache-Control: public, max-age=3600 < Last-Modified: Mon, 13 Dec 2021 21:45:57 GMT < ETag: "8f9327db2597fa57d2f42b4a6c5a9855" < x-goog-generation: 1639431957957903 < x-goog-metageneration: 2 < x-goog-stored-content-encoding: identity < x-goog-stored-content-length: 5969 < Content-Type: image/png < x-goog-hash: crc32c=TeiHTA== < x-goog-hash: md5=j5Mn2yWX+lfS9CtKbFqYVQ== < x-goog-storage-class: STANDARD < Accept-Ranges: bytes < Content-Length: 5969 < Server: UploadServer

2. Führen Sie mit diesem Befehl einige Abfragen aus:

for i in `seq 1 50`; do curl http://LOAD_BALANCER_IP/google.png; done

Von Cloud CDN bereitgestellte Inhalte prüfen

• Prüfen Sie mit dem Monitoring für CDN oder Load Balancing, ob Ihre Inhalte über das CDN bereitgestellt werden. Rufen Sie dazu Netzwerkdienste > Cloud CDN auf.

Sie sollten eine Trefferquote von nahezu 100 % erreichen können.

Klicken Sie auf Fortschritt prüfen. Load Balancer erstellen

Aufgabe 3: Objekt aus dem Cloud Storage-Bucket löschen

Nachdem der Cache gefüllt ist, löschen Sie das Objekt aus dem Bucket. So können Sie erkennen, dass Sie die Richtlinie auf den Cache und nicht auf das Backend anwenden.

1. Klicken Sie im Navigationsmenü () auf Cloud Storage > Buckets > -bucket > Objekte.

2. Wählen Sie das Objekt aus und löschen Sie es, indem Sie oben auf den Button Löschen klicken.

3. Klicken Sie dann noch einmal auf Löschen.

Klicken Sie auf Fortschritt prüfen. Objekt aus dem Cloud Storage-Bucket löschen

Aufgabe 4: Edge-Sicherheitsrichtlinie erstellen

Cloud Armor-Richtlinien werden außerhalb des HTTP-Load-Balancers umgesetzt. Nachdem die Cloud Armor-Richtlinie bereitgestellt wurde, können Sie sie einer oder mehreren Backend-Service- oder Bucket-Ressourcen für den HTTP-Load-Balancer zuordnen. Diese werden als Ziel bezeichnet.

1. Klicken Sie im Navigationsmenü () auf Alle Produkte ansehen > Netzwerksicherheit > Cloud Armor-Richtlinien und dann auf Richtlinie erstellen.

2. Legen Sie die folgenden Werte fest und übernehmen Sie für alle anderen die Standardeinstellung. Klicken Sie dann auf Nächster Schritt:

Attribut	Wert (Wert eingeben beziehungsweise Option auswählen)
Name	edge-security-policy
Richtlinientyp	Edge-Sicherheitsrichtlinie
Aktion der Standardregel	Ablehnen

3. Klicken Sie im Abschnitt Richtlinie auf Ziele anwenden auf Ziel hinzufügen und legen Sie die folgenden Werte fest:

Attribut	Wert
Typ 1	Backend-Bucket (externer Application Load Balancer)
Ziel des Backend-Buckets 1	lb-backend-bucket

4. Klicken Sie auf Fertig.

5. Klicken Sie auf Richtlinie erstellen.

Edge-Sicherheitsrichtlinie validieren

Nachdem Sie eine Edge-Sicherheitsrichtlinie vor dem Backend-Bucket erstellt haben, prüfen Sie, ob sie wie erwartet funktioniert.

Sicherheitsrichtlinie prüfen

Nach einigen Minuten können Sie prüfen, ob die Cloud Armor-Richtlinie ausgeführt wird.

Führen Sie in der Befehlszeile den folgenden Befehl aus. Dieser gibt den Fehlercode 403 zurück:

curl -svo /dev/null http://LOAD_BALANCER_IP/google.png

Ein 403-Fehler tritt auf, wenn Sie keine Berechtigung für den Zugriff auf eine Webseite oder ein Element auf einem Webserver haben.

Ausgabe:

curl -svo /dev/null http://34.98.81.123/google.png * Trying 34.98.81.123... * TCP_NODELAY set * Connected to 34.98.81.123 (34.98.81.123) port 80 (#0) > GET /google.png HTTP/1.1 > Host: YOUR_IP > User-Agent: curl/7.64.1 > Accept: */* > < HTTP/1.1 403 Forbidden < X-GUploader-UploadID: ADPycdtS6FtJOGIsiWYDrAAE8VFeQuNutcvbGoQe2t8EZxsuspVtmCjyiTv_P3CNktroHMOGFXkTCfG-Jj-rUO60ZGPpEbpqcw < Content-Type: application/xml; charset=UTF-8 < Content-Length: 111 < Date: Mon, 13 Dec 2021 23:09:35 GMT < Expires: Mon, 13 Dec 2021 23:09:35 GMT < Cache-Control: private, max-age=0 < Server: UploadServer

Logs untersuchen

Als Nächstes prüfen Sie die Logs, um die erzwungene Edge-Sicherheitsrichtlinie zu sehen.

1. Klicken Sie im Navigationsmenü () auf Alle Produkte ansehen > Beobachtbarkeit > Logging > Log-Explorer.

2. Fügen Sie das folgende Snippet in das Abfragefeld ein und klicken Sie auf Abfrage ausführen:

resource.type:(http_load_balancer) AND jsonPayload.@type="type.googleapis.com/google.cloud.loadbalancing.type.LoadBalancerLogEntry" AND severity>=WARNING

3. Beachten Sie die 403-Antwort und die erzwungene Sicherheitsrichtlinie.

Klicken Sie auf Fortschritt prüfen. Edge-Sicherheitsrichtlinie für Cloud Armor erstellen

Sicherheitsrichtlinie entfernen

Um zu zeigen, dass das Objekt aus dem CDN-Cache bereitgestellt wird, entfernen Sie die Cloud Armor-Sicherheitsrichtlinie und fragen Sie das Objekt ab. Das ursprüngliche Objekt wurde aus Cloud Storage entfernt. Das zeigt, dass das Objekt aus dem Edge-Cache bereitgestellt wird.

1. Klicken Sie im Navigationsmenü () auf Alle Produkte ansehen > Netzwerksicherheit > Cloud Armor-Richtlinien > edge-security-policy > Ziele.
2. Wählen Sie das Ziel lb-backend-bucket aus und klicken Sie auf Entfernen, um den Ziel-Bucket zu entfernen. Tippen Sie auf Entfernen, um den Vorgang zu bestätigen.

3. Warten Sie einige Minuten und senden Sie dann einen weiteren curl-Befehl an die Ressource im Cloud Storage-Bucket:

curl -svo /dev/null http://LOAD_BALANCER_IP/google.png

Diesmal erhalten Sie eine 200-Antwort. Die Webseite funktioniert wie vorgesehen.

Ausgabe:

student-cloudshell% curl -svo /dev/null http://34.98.81.123/google.png Trying 34.98.81.123... TCP_NODELAY set Connected to 34.98.81.123 (34.98.81.123) port 80 (#0) GET /google.png HTTP/1.1 Host: YOUR_IP User-Agent: curl/7.64.1 Accept: */* HTTP/1.1 200 OK X-GUploader-UploadID: ADPycdtI7f49P3MSuZSZ8vl6RwfwmnIDJ59EeSKp7UPvLPawdaiRHXiNWLtseQTxUxceWOvSLvpYmT3pWVkV4qeIP7M Date: Mon, 13 Dec 2021 23:06:46 GMT Last-Modified: Mon, 13 Dec 2021 21:45:57 GMT ETag: "8f9327db2597fa57d2f42b4a6c5a9855" x-goog-generation: 1639431957957903 x-goog-metageneration: 2 x-goog-stored-content-encoding: identity x-goog-stored-content-length: 5969 Content-Type: image/png x-goog-hash: crc32c=TeiHTA== x-goog-hash: md5=j5Mn2yWX+lfS9CtKbFqYVQ== x-goog-storage-class: STANDARD Accept-Ranges: bytes Content-Length: 5969 Server: UploadServer Age: 1621 Cache-Control: public,max-age=3600 { [775 bytes data] Connection #0 to host 34.98.81.123 left intact Closing connection 0

Versuchen Sie es ein paar Mal und prüfen Sie, ob Sie den Statuscode 403 erhalten.

Glückwunsch!

Sie haben erfolgreich einen Cloud Storage-Bucket erstellt, ein Bild hochgeladen, ihn an einen Load Balancer gebunden und dann Cloud CDN und Edge-Sicherheitsrichtlinien aktiviert.

Anleitung zuletzt am 10. Dezember 2024 aktualisiert

Lab zuletzt am 4. September 2025 getestet

© 2026 Google LLC. Alle Rechte vorbehalten. Google und das Google-Logo sind Marken von Google LLC. Alle anderen Unternehmens- und Produktnamen können Marken der jeweils mit ihnen verbundenen Unternehmen sein.