/tags/cloudarmor/ Recent content in CloudArmor on LIFELOG Hugo -- gohugo.io ja © 2026 0222-nnn Fri, 11 Sep 2026 00:00:03 +0900 /blog/20260911_terraform_gcp_advanced_regional_alb_cloud_armor/ Fri, 11 Sep 2026 00:00:03 +0900 /blog/20260911_terraform_gcp_advanced_regional_alb_cloud_armor/ <h2 class="relative group">概要 <div id="概要" class="anchor"></div> <span class="absolute top-0 w-6 transition-opacity opacity-0 ltr:-left-6 rtl:-right-6 not-prose group-hover:opacity-100"> <a class="group-hover:text-primary-300 dark:group-hover:text-neutral-700" style="text-decoration-line: none !important;" href="#%e6%a6%82%e8%a6%81" aria-label="アンカー">#</a> </span> </h2> <p>Cloud Armor で送信元を絞ったとき、<strong>拒否されたリクエストはどこまで来ているのか。</strong> バックエンドのログに出ないのは「届いていないから」なのか、「出していないだけ」なのか。</p> <p>見えないものを「無い」と決めるのは危ないので、クエリ文字列に識別子を入れたリクエストを送って確かめます。同じ1回のリクエストを、クライアント・LBのログ・バックエンドのログの3か所で追えます。</p> <p>あわせて、プレビューの動作も確かめます。ルールを有効にする前に「もし有効だったら何が止まるか」を見る仕組みです。</p> <p>プレビューにしたルールは判定するだけで、実際には止めません。判定はログと専用メトリクスに残ります。</p> <p>3つの状態で、応答・ログ・メトリクスの見え方を並べます。</p> <p>Google Cloud のロードバランサを触ったことがある人向けです。構成の作り方は<a href="/blog/20260911_terraform_gcp_advanced_regional_alb_proxy_subnet/">前々回</a>で扱っており、ここでは Armor の差分だけを見ます。WAF ルールやレート制限は扱いません。</p> <h2 class="relative group">検証環境 <div id="検証環境" class="anchor"></div> <span class="absolute top-0 w-6 transition-opacity opacity-0 ltr:-left-6 rtl:-right-6 not-prose group-hover:opacity-100"> <a class="group-hover:text-primary-300 dark:group-hover:text-neutral-700" style="text-decoration-line: none !important;" href="#%e6%a4%9c%e8%a8%bc%e7%92%b0%e5%a2%83" aria-label="アンカー">#</a> </span> </h2> <ul> <li>Terraform v1.14.3、<code>hashicorp/google</code> v7.46.0</li> <li>Google Cloud SDK 562.0.0</li> </ul> <p>使用するコードは <a href="https://github.com/tech-0222/terraform-gcp-examples/tree/main/Advanced-Examples/09-regional-alb-cloud-armor" target="_blank">Advanced-Examples/09-regional-alb-cloud-armor</a> です。</p> <div class="highlight"><pre tabindex="0" class="chroma"><code class="language-bash" data-lang="bash"><span class="line"><span class="cl"><span class="nb">cd</span> Advanced-Examples/09-regional-alb-cloud-armor </span></span><span class="line"><span class="cl">cp terraform.tfvars.example terraform.tfvars </span></span><span class="line"><span class="cl"><span class="c1"># project_id / allowed_src_ips（自分のグローバルIPを /32 で）/ iap_member を書く</span> </span></span><span class="line"><span class="cl">terraform init </span></span><span class="line"><span class="cl">terraform apply </span></span><span class="line"><span class="cl">terraform apply <span class="c1"># 2回目。理由は後述</span> </span></span></code></pre></div><p><code>create_deny_client = true</code> にすると、<strong>許可リストに載っていない送信元</strong>として使える検証用 VM も作られます。<code>access_config {}</code> でエフェメラルな外部IPが付くので、そのIPで出ていきます。</p>