IAM によって管理されるタグを含む階層型ファイアウォールポリシー

1. はじめに

Cloud Next Generation Firewall（NGFW）

Cloud Next Generation Firewall は、高度な保護機能、マイクロセグメンテーション、内部および外部の攻撃から Google Cloud ワークロードを広範囲に保護する機能を備えた、完全分散型のファイアウォールサービスです。

Cloud NGFW には次の利点があります。

分散ファイアウォールサービス: Cloud NGFW では、各ワークロードに完全に分散されたステートフルなホストベースの適用が可能で、ゼロトラストセキュリティアーキテクチャを実現できます。
構成とデプロイの簡素化: Cloud NGFW は、リソース階層ノードに接続できるネットワークと階層型ファイアウォールポリシーを実装します。これらのポリシーにより、Google Cloud リソース階層全体で一貫性のあるファイアウォールエクスペリエンスが提供されます。
きめ細かい制御とマイクロセグメンテーション: ファイアウォールポリシーと Identity and Access Management（IAM）によって管理されるタグを組み合わせて、Virtual Private Cloud（VPC）ネットワーク全体で、North-South トラフィックと East-West トラフィックの両方を 1 つの VM に至るまできめ細かく制御できます。

ネットワークファイアウォールポリシー

ネットワークファイアウォールポリシーは、ファイアウォールルールのコンテナとして機能します。ネットワークファイアウォールポリシーで定義されたルールは、ポリシーが VPC ネットワークに関連付けられるまでどこでも適用されません。各 VPC ネットワークには、1 つのネットワークファイアウォールポリシーを関連付けることができます。ネットワークファイアウォールポリシーは、ファイアウォールルールで IAM で管理されるタグ（または単にタグ）をサポートしています。これはワークロードに ID を提供するために使用できます。

ネットワークファイアウォールポリシーを複数のネットワークで共有し、IAM によって管理されるタグと統合することで、ファイアウォールの構成と管理が大幅に簡素化されます。

ネットワークファイアウォールポリシーの導入により、Google Cloud のファイアウォールポリシーは次のコンポーネントで構成されるようになりました。

階層型ファイアウォールポリシーはリソース階層内の組織ノードとフォルダノードでサポートされますが、VPC ファイアウォールルールとネットワークファイアウォールポリシーは VPC レベルで適用されます。VPC ファイアウォールルールとネットワークファイアウォールポリシーの大きな違いは、VPC ファイアウォールルールは単一の VPC ネットワークにしか適用できないのに対し、ネットワークファイアウォールポリシーは単一の VPC または VPC のグループにアタッチできることです。その他にも、バッチ更新などのメリットがあります。

このラボでは、階層型ファイアウォールポリシーとグローバルネットワークファイアウォールポリシーをテストします。

最後に、すべての VPC ネットワークに付属する暗黙のファイアウォールルールもあります。

アクションが allow、宛先が 0.0.0.0/0 の下り（外向き）ルール
アクションが deny、送信元が 0.0.0.0/0 の上り（内向き）ルール

デフォルトでは、適用シーケンスは次の図のようになります。

IAM によって管理されるタグ

新しいファイアウォールポリシールールに統合されたタグは、Google Cloud リソース階層の組織レベルまたはプロジェクトレベルで定義された Key-Value ペアのリソースです。このようなタグには、名前が示すように、そのタグに対して誰が何を行えるかを指定する IAM アクセス制御が含まれています。たとえば、IAM 権限では、どのプリンシパルが値をタグに割り当てることができるかと、どのプリンシパルがタグをリソースにアタッチできるかを指定できます。タグがリソースに適用されると、ファイアウォールポリシールールはそれを使用してトラフィックを許可または拒否できます。

タグは Google Cloud の継承リソースモデルに従います。つまり、タグとその値は親から階層全体に伝わっていきます。その結果、タグは 1 か所で作成され、リソース階層全体で他のフォルダやプロジェクトで使用される可能性があります。タグとアクセス制限の詳細については、こちらのページをご覧ください。

タグをネットワークタグと混同しないでください。ネットワークタグは Compute Engine インスタンスに追加できる文字列で、インスタンスに関連付けられ、インスタンスが廃止されると消滅します。VPC ファイアウォールルールにはネットワークタグを含めることができますが、クラウドリソースとはみなされないため、IAM アクセス制御の対象ではありません。違いについて詳しくは、こちらのページをご覧ください。

2. 学習内容

Cloud NGFW で使用するグローバルスコープの IAM 管理タグを作成する方法。
VM にタグを関連付ける方法。
階層型ファイアウォールポリシーを作成してフォルダに関連付ける方法。
階層型ファイアウォールポリシーでファイアウォールルールを作成し、IAM によって管理されるタグを使用して送信元と宛先を指定する方法。

3. ラボの全体的なアーキテクチャ

組織とフォルダ:

組織の直下に folder1 と folder2 の 2 つのフォルダを作成します。

プロジェクト:

folder1 内にホストプロジェクトを作成します。このプロジェクトには共有 VPC ネットワークが含まれます。
folder2 内にサービスプロジェクトを作成します。このプロジェクトには、共有 VPC を使用する VM が含まれます。

ネットワーキング:

mynet という名前の VPC ネットワークがホストプロジェクトに作成され、共有 VPC として構成されます。これにより、サービスプロジェクトのリソースがネットワークを使用できるようになります。
サービスプロジェクトに 2 つの VM が作成され、mynet 共有 VPC に接続されます。

IAM によって管理されるタグ:

組織レベルで、2 つの値（http_server と http_client）を持つ http_tags という名前の IAM 管理タグを作成します。これらのタグと値は、VM の識別とファイアウォールルールの適用に使用されます。

ファイアウォールポリシー:

階層型ファイアウォールポリシーが作成され、folder1 に関連付けられます。このポリシー内のルールは、IAM で管理されるタグを使用して、ポート 80 で http-client から http-server へのトラフィックを許可します。
ホストプロジェクトにネットワークファイアウォールポリシーが作成され、mynet VPC に関連付けられます。このポリシーには、テスト目的で VM への IAP SSH アクセスを許可するルールが含まれます。

4. 準備手順

まず、Google Cloud 組織で必要な IAM ロール、ネットワークインフラストラクチャ、インスタンスを設定します。

ラボで作業するために必要な IAM ロール

まず、組織レベルで必要な IAM ロールを GCP アカウントに割り当てます。

組織管理者（roles/resourcemanager.organizationAdmin）: このロールを使用すると、IAM ポリシーを管理し、組織、フォルダ、プロジェクトの組織のポリシーを表示できます。
タグ管理者（roles/resourcemanager.tagAdmin）: このロールを使用すると、セキュアタグの作成、更新、削除を行うことができます。
タグユーザーのロール（roles/resourcemanager.tagUser）: このロールを使用すると、セキュアタグのリストにアクセスして、リソースとの関連付けを管理できます。
Compute 組織ファイアウォールポリシー管理者のロール（roles/compute.orgFirewallPolicyAdmin）: このロールでは、Compute Engine 組織のファイアウォールポリシーを完全に制御できます。
コンピューティング組織リソース管理者ロール（roles/compute.orgSecurityResourceAdmin）: このロールでは、組織またはフォルダへの Compute Engine ファイアウォールポリシーの関連付けを完全に制御できます。
Compute ネットワーク管理者（roles/compute.networkAdmin）: このロールでは、Compute Engine ネットワークリソースを完全に制御できます。
Compute インスタンス管理者（ベータ版）（roles/compute.instanceAdmin）: このロールでは、Compute Engine インスタンスリソースを完全に制御できます。
Logging 管理者（roles/logging.admin）: このロールは、ロギングに関するすべての権限と依存する権限に対するアクセス権を付与します。
サービスアカウント管理者（roles/iam.serviceAccountAdmin）: このロールを使用すると、サービスアカウントを作成して管理できます。
Service Usage 管理者（roles/serviceusage.serviceUsageAdmin）: このロールでは、サービス状態の有効化、無効化、検査、オペレーションの検査、ユーザープロジェクトの割り当てと請求の利用が可能です。
Compute Shared VPC 管理者（roles/compute.xpnAdmin）: このロールを使用すると、共有 VPC ネットワーク（XPN）を管理できます。

フォルダとプロジェクトの作成

Cloud Shell で、次の操作を行って folder1 と folder2 を作成します。

gcloud auth login

export org_id=$(gcloud organizations list --format='value(ID)')
export BILLING_ACCOUNT_ID=$(gcloud billing accounts list --format='value(ACCOUNT_ID)')
export folder1=[FOLDER1 NAME]
export folder2=[FOLDER2 NAME]
export hostproject=[HOST PROJECT NAME]
export serviceproject=[SERVICE PROJECT NAME]
export regionname=[REGION NAME]
export zonename=[COMPUTE ZONE NAME]

gcloud resource-manager folders create --display-name=$folder1 --organization=$org_id
export folder1_id=$(gcloud resource-manager folders list --organization=$org_id --filter="displayName=$folder1" --format="value(ID)")
gcloud resource-manager folders create --display-name=$folder2 --organization=$org_id
export folder2_id=$(gcloud resource-manager folders list --organization=$org_id --filter="displayName=$folder2" --format="value(ID)")

Cloud Shell で、次の操作を行って folder1 にホストプロジェクトを作成します。

gcloud projects create  --name=$hostproject --folder=$folder1_id

次の画面が表示されます。新しいプロジェクト ID でプロジェクトを作成するには、Y を押します。

No project ID provided.

Use [NEW-PROJECT-ID] as project ID (Y/n)?

プロジェクト ID をメモします。Cloud Shell で、次の操作を行って hostproject_id にエクスポートします。

export hostproject_id=[HOSTPROJECT ID]

Cloud Shell で、次の操作を行ってホストプロジェクトを請求先アカウントにリンクします。

gcloud billing projects link $hostproject_id \
--billing-account=$BILLING_ACCOUNT_ID

Cloud Shell で、次の操作を行って folder2 にサービスプロジェクトを作成します。

gcloud projects create  --name=$serviceproject --folder=$folder2_id

次の画面が表示されます。新しいプロジェクト ID でプロジェクトを作成するには、Y を押します。

No project ID provided.

Use [NEW-PROJECT-ID] as project ID (Y/n)?

プロジェクト ID をメモします。Cloud Shell で、次の操作を行って serviceproject_id にエクスポートします。

export serviceproject_id=[SERVICEPROJECT ID]

Cloud Shell で、次の操作を行ってサービスプロジェクトを請求先アカウントにリンクします。

gcloud billing projects link $serviceproject_id \
--billing-account=$BILLING_ACCOUNT_ID

IAM によって管理されるタグを作成する

タグは、組織、フォルダ、プロジェクトに付加できる Key-Value ペアです。詳細については、タグの作成と管理と必要な権限をご覧ください。

組織レベルで 1 つのタグ http-tags を作成します。タグの目的は、Cloud NGFW で使用することです。スコープを 1 つのネットワークに制限することはありません。タグはグローバルにスコープ設定されます。このタグは、後で folder2 のサービスプロジェクトで作成された VM に適用します。

Cloud Shell で、次の操作を行います。

gcloud resource-manager tags keys create http_tags \
    --parent=organizations/$org_id \
    --purpose GCE_FIREWALL \
    --purpose-data organization=auto

タグキー ID を使用して、作成時に VM にアノテーションを付けます。Cloud Shell で、次の操作を行ってタグキー ID を取得します。

export http_tags_id=$(gcloud resource-manager tags keys describe $org_id/http_tags --format="value(name)")
echo $http_tags_id

Cloud Shell で、次の操作を行って、2 つの新しいタグ値 http_server と http_client を作成します。

 gcloud resource-manager tags values create http_server \
      --parent $org_id/http_tags
 gcloud resource-manager tags values create http_client \
      --parent $org_id/http_tags

タグ ID とタグ値 ID を使用して、作成時に VM にアノテーションを付けます。Cloud Shell で、次の操作を行って http_server と http_client のタグ値 ID を取得します。

export http_tags_http_server_id=$(gcloud resource-manager tags values describe $org_id/http_tags/http_server --format="value(name)")
echo $http_tags_http_server_id

export http_tags_http_client_id=$(gcloud resource-manager tags values describe $org_id/http_tags/http_client --format="value(name)")
echo $http_tags_http_client_id

ホストプロジェクトとサービスプロジェクトで API を有効にする

Cloud Shell で、次の操作を行います。

gcloud services enable compute.googleapis.com --project=$serviceproject_id
gcloud services enable compute.googleapis.com --project=$hostproject_id

ホストプロジェクトに VPC を作成する

ホストプロジェクトで、カスタムサブネットモードの VPC ネットワークを作成します。Cloud Shell で次の操作を行います。

gcloud compute networks create mynet \
    --subnet-mode=custom \
    --project=$hostproject_id

ホストプロジェクトにサブネットを作成する

Cloud Shell で、次の操作を行って IPV4 サブネットを作成します。

gcloud compute networks subnets create mysubnet \
    --network=mynet \
    --range=10.0.0.0/28 \
    --region=$regionname \
    --project=$hostproject_id

ホストプロジェクトで共有 VPC を有効にする

Cloud Shell で、次の操作を行ってホストプロジェクトで共有 VPC を有効にします。

gcloud compute shared-vpc enable $hostproject_id

ホストプロジェクトで共有 VPC のサービスプロジェクトを接続する

Cloud Shell で、次の操作を行って、ホストプロジェクトの共有 VPC にサービスプロジェクトを接続します。

gcloud compute shared-vpc associated-projects add $serviceproject_id --host-project=$hostproject_id

ホストプロジェクトに Cloud Router と Cloud NAT を作成する

Cloud NAT は、VM がアプリケーションをダウンロードしてインストールできるように、インターネットの下り（外向き）トラフィックを許可するために使用されます。

gcloud compute routers create $regionname-cr \
   --network=mynet \
   --region=$regionname \
   --project=$hostproject_id
gcloud compute routers nats create $regionname-nat \
    --router=$regionname-cr \
    --region=$regionname \
    --nat-all-subnet-ip-ranges \
    --auto-allocate-nat-external-ips \
    --project=$hostproject_id

サービスプロジェクトにインスタンスを作成する

サービスプロジェクトで、ホストプロジェクトの共有 VPC で作成したサブネットに 2 つのインスタンスを作成します。1 つのインスタンスに http-server という名前を付け、http_tags のタグに http_server の値をアノテーションします。もう 1 つのインスタンスは http-client という名前で、http_tags のタグに http_client の値をアノテーションします。Cloud Shell で次のコマンドを実行します。

gcloud compute instances create http-client \
    --project=$serviceproject_id \
   --subnet=projects/$hostproject_id/regions/$regionname/subnetworks/mysubnet \
    --zone=$zonename \
    --no-address \
    --resource-manager-tags=$http_tags_id=$http_tags_http_client_id

gcloud compute instances create http-server \
    --project=$serviceproject_id \
    --subnet=projects/$hostproject_id/regions/$regionname/subnetworks/mysubnet \
    --zone=$zonename \
    --no-address \
    --resource-manager-tags=$http_tags_id=$http_tags_http_server_id \
    --metadata startup-script='#! /bin/bash
    sudo apt-get update
    sudo apt-get install apache2 -y
    a2enmod ssl
    sudo a2ensite default-ssl
    echo "I am a Http Server." | \
    tee /var/www/html/index.html
    systemctl restart apache2'

http-server の内部 IP をメモします。これは、後のファイアウォールルールのテストステップで使用します。

export http_server_ip=$(gcloud compute instances describe http-server --zone $zonename --format='value(networkInterfaces[0].networkIP)' --project $serviceproject_id)
echo $http_server_ip

5. ホストプロジェクトにグローバルネットワークファイアウォールポリシーを作成する

ホストプロジェクトにグローバルネットワークファイアウォールポリシーを作成し、ホストプロジェクトの共有 VPC に関連付けます。

gcloud config set project $hostproject_id
gcloud compute network-firewall-policies create  mynet-fw-policy \
--global \
--project=$hostproject_id
gcloud compute network-firewall-policies associations create \
    --firewall-policy=mynet-fw-policy \
    --network=mynet \
    --name=mynet-fw-policy \
    --global-firewall-policy \
    --project=$hostproject_id

IAP が VM インスタンスに接続できるようにするには、ネットワークファイアウォールポリシーにファイアウォールルールを作成します。

IAP を使用してアクセス可能にするすべての VM インスタンスに適用されます。
IP 範囲 35.235.240.0/20 からの上り（内向き）トラフィックを許可します。この範囲には、IAP が TCP 転送に使用するすべての IP アドレスが含まれています。

gcloud compute network-firewall-policies rules create 1000 \
    --action=ALLOW \
    --firewall-policy=mynet-fw-policy \
    --description="mynet-allow-iap" \
    --direction=INGRESS \
    --src-ip-ranges=35.235.240.0/20 \
    --layer4-configs=tcp:22  \
    --global-firewall-policy \
    --project=$hostproject_id

コンソールで、ホストプロジェクトに移動し、[ファイアウォールポリシー] で新しく作成されたグローバルネットワークファイアウォールポリシーを確認できます。新しく作成したファイアウォールルールは、ネットワークファイアウォールポリシーで確認できます。コンソールへのリンクはこちらです。コンソールでプロジェクト選択ツールをホストプロジェクトに変更してください。

6. http-client VM から http-server VM へのアクセスをテストする

http-client という名前の VM に SSH 接続し、http 80 ポートで http-server にアクセスできるかどうかをテストします。

Cloud Shell で、次の操作を行います。

gcloud compute ssh \
    --zone=$zonename "http-client" \
    --tunnel-through-iap \
    --project=$serviceproject_id

curl を使用してウェブサーバーにアクセスします。

curl -m 10 [http_server_ip]

curl コマンドの結果が表示されます。http-server のポート 80 を許可する上り（内向き）ファイアウォールルールがない。

接続が 10,000 ミリ秒後にタイムアウトしました。

SSH セッションを終了して、Cloud Shell に戻ります。

exit

7. 階層型ファイアウォールポリシーとファイアウォールルールを作成する

folder1 に階層型ファイアウォールポリシーを作成し、そのポリシーを folder1 に関連付けます。ポリシーのファイアウォールルールは、folder1 のホストプロジェクトに適用されます。

階層型ファイアウォールポリシーを作成する

gcloud compute firewall-policies create \
  --folder=$folder1_id \
  --short-name=my-folder1-fw-policy

階層型ファイアウォールポリシーにファイアウォールルールを作成する

このルールでは、タグ値が http_tags/http_client の VM が、TCP ポート 80 でタグ値が http_tags/http_server の VM にアクセスできます。

gcloud compute firewall-policies rules create 100 \
  --organization=$org_id \
  --firewall-policy my-folder1-fw-policy \
  --direction=INGRESS \
  --layer4-configs=tcp:80 \
  --action=allow \
  --src-secure-tags=$org_id/http_tags/http_client \
  --target-secure-tags=$org_id/http_tags/http_server \
  --description=folder1-allow-http

階層型ファイアウォールポリシーを folder1 に関連付ける

gcloud compute firewall-policies associations create \
   --firewall-policy=my-folder1-fw-policy \
   --folder=$folder1_id \
   --name=my-folder1-fw-policy\
   --organization=$org_id

コンソールで folder1 に移動し、[ファイアウォールポリシー] で新しく作成した階層型ファイアウォールポリシーを確認できます。ファイアウォールポリシーは [このフォルダ内にあるファイアウォールポリシー] に表示されます。新しく作成したファイアウォールルールは、階層型ファイアウォールポリシーで確認できます。コンソールへのリンクはこちらです。コンソールでプロジェクト選択ツールを folder1 に変更してください。

8. http-client VM から http-server VM へのアクセスをテストする

ホストプロジェクトの共有 VPC に適用されている有効なファイアウォールポリシーを確認します。

Cloud Shell で、次の操作を行います。

gcloud compute networks get-effective-firewalls mynet --project=$hostproject_id

継承された階層型ファイアウォールポリシーは次のように表示されます。

TYPE: org-firewall
FIREWALL_POLICY_NAME: <NUMBER_FOR_YOUR_FW_POLICY>
FIREWALL_POLICY_PRIORITY: 
PRIORITY: 100
ACTION: ALLOW
DIRECTION: INGRESS
DISABLED: False
IP_RANGES:

You will see the network firewall policy to the VPC like this:
TYPE: network-firewall-policy
FIREWALL_POLICY_NAME: mynet-fw-policy
FIREWALL_POLICY_PRIORITY: 1000
PRIORITY: 1000
ACTION: ALLOW
DIRECTION: INGRESS
DISABLED: False
IP_RANGES: 35.235.240.0/20

http-client という名前の VM に SSH 接続し、http 80 ポートで http-server にアクセスできるかどうかをテストします。

Cloud Shell で、次の操作を行います。

gcloud compute ssh \
    --zone=$zonename "http-client" \
    --tunnel-through-iap \
    --project=$serviceproject_id

curl を使用してウェブサーバーにアクセスします。

curl [http_server_ip]

curl コマンドが http-server からレスポンスを正常に返すことを確認します。

I am a Http Server.

階層型ファイアウォールポリシーの内向きファイアウォールルールにより、ポート 80 で http-client から http-server へのアクセスが許可されます。

SSH セッションを終了して、Cloud Shell に戻ります。

exit

9. クリーンアップ

サービスプロジェクトの VM をクリーンアップする

Cloud Shell で、次の操作を行います。

gcloud compute instances delete http-server --zone $zonename --project=$serviceproject_id
gcloud compute instances delete http-client --zone $zonename --project=$serviceproject_id

階層型ファイアウォールポリシーをクリーンアップする

Cloud Shell で、次の操作を行います。

gcloud compute firewall-policies associations delete my-folder1-fw-policy \
   --firewall-policy=my-folder1-fw-policy \
   --organization=$org_id
gcloud compute firewall-policies rules delete 100 \
  --organization=$org_id \
  --firewall-policy=my-folder1-fw-policy
gcloud compute firewall-policies delete my-folder1-fw-policy \
  --organization=$org_id

組織レベルでタグをクリーンアップする

Cloud Shell で、次の操作を行います。

gcloud resource-manager tags values delete $http_tags_http_server_id
gcloud resource-manager tags values delete $http_tags_http_client_id
gcloud resource-manager tags keys delete $http_tags_id

ホストプロジェクトをクリーンアップする

Cloud Shell で、次の操作を行います。

gcloud compute shared-vpc associated-projects remove $serviceproject_id --host-project=$hostproject_id 
gcloud compute shared-vpc disable $hostproject_id
gcloud projects delete $hostproject_id

サービスプロジェクトをクリーンアップする

Cloud Shell で、次の操作を行います。

gcloud projects delete $serviceproject_id

フォルダをクリーンアップする

Cloud Shell で、次の操作を行います。

gcloud resource-manager folders delete $folder1_id
gcloud resource-manager folders delete $folder2_id

10. 完了

IAM によって管理されるタグを使用して階層型ファイアウォールポリシーを正常にテストしました。

IAM によって管理されるタグを含む階層型ファイアウォール ポリシー コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

1. はじめに

Cloud Next Generation Firewall（NGFW）

ネットワーク ファイアウォール ポリシー

IAM によって管理されるタグ

2. 学習内容

3. ラボの全体的なアーキテクチャ

4. 準備手順

ラボで作業するために必要な IAM ロール

フォルダとプロジェクトの作成

IAM によって管理されるタグを作成する

ホスト プロジェクトとサービス プロジェクトで API を有効にする

ホスト プロジェクトに VPC を作成する

ホスト プロジェクトにサブネットを作成する

ホスト プロジェクトに Cloud Router と Cloud NAT を作成する

サービス プロジェクトにインスタンスを作成する

5. ホスト プロジェクトにグローバル ネットワーク ファイアウォール ポリシーを作成する

6. http-client VM から http-server VM へのアクセスをテストする

7. 階層型ファイアウォール ポリシーとファイアウォール ルールを作成する

階層型ファイアウォール ポリシーを作成する

階層型ファイアウォール ポリシーにファイアウォール ルールを作成する

階層型ファイアウォール ポリシーを folder1 に関連付ける

8. http-client VM から http-server VM へのアクセスをテストする

9. クリーンアップ

サービス プロジェクトの VM をクリーンアップする

階層型ファイアウォール ポリシーをクリーンアップする

組織レベルでタグをクリーンアップする

ホスト プロジェクトをクリーンアップする

サービス プロジェクトをクリーンアップする

フォルダをクリーンアップする

10. 完了

IAM によって管理されるタグを含む階層型ファイアウォールポリシー

ネットワークファイアウォールポリシー

ホストプロジェクトとサービスプロジェクトで API を有効にする

ホストプロジェクトに VPC を作成する

ホストプロジェクトにサブネットを作成する

ホストプロジェクトに Cloud Router と Cloud NAT を作成する

サービスプロジェクトにインスタンスを作成する

5. ホストプロジェクトにグローバルネットワークファイアウォールポリシーを作成する

7. 階層型ファイアウォールポリシーとファイアウォールルールを作成する

階層型ファイアウォールポリシーを作成する

階層型ファイアウォールポリシーにファイアウォールルールを作成する

階層型ファイアウォールポリシーを folder1 に関連付ける

サービスプロジェクトの VM をクリーンアップする

階層型ファイアウォールポリシーをクリーンアップする

ホストプロジェクトをクリーンアップする

サービスプロジェクトをクリーンアップする