API と機能を有効にする

このページでは、ファイアウォール インサイトの使用に必要な API と機能を有効にする方法について説明します。

ファイアウォール インサイトを使用する前に、プロジェクトを選択し、必要なロールと権限があることを確認してから、必要な設定タスクを完了します。最初の 2 つのステップの詳細については、ロールと権限をご覧ください。

設定タスクは、使用する指標と分析情報によって異なります。詳しくは、次の表をご覧ください。

以降のセクションでは、API と機能を有効にする方法について説明します。

Firewall Insights API を有効にする

ファイアウォール インサイトを使用してタスクを実行する前に、Firewall Insights API を有効にする必要があります。

API を有効にするには、次の手順またはGoogle Cloud コンソール API ライブラリ（Cloud API ドキュメントの API の有効化 を参照）を使用します。

gcloud services enable firewallinsights.googleapis.com

ファイアウォール ルール ロギングを有効にする

次のいずれかを表示するには、ファイアウォール ルール ロギングを有効にする必要があります。

• ファイアウォール ルールに関する指標
• 制限が緩すぎるルールまたは deny ルールに関する分析情報。これらの分析情報は、まとめてログベースの指標と呼ばれます。

ファイアウォール インサイトは、ロギングが有効になっているルールについてのみ、指標とログベースの分析情報を生成します。詳細については、ファイアウォール ルール ロギングの概要をご覧ください。

Recommender API を有効にする

Recommender API を有効にすると、次のことができます。

• シャドウルールの分析情報を使用する
• 制限が緩すぎるルールの分析情報を使用する

• API 呼び出しまたは Google Cloud CLI を使用してデータを取得する

gcloud services enable recommender.googleapis.com

シャドウルールや制限が緩すぎるルールの分析情報を有効にする

ファイアウォール インサイトは、[ファイアウォール インサイト] ページで有効にしない限り、シャドウルールまたは制限が緩すぎるルールの分析情報を生成しません。

いずれかの機能を有効にしてから、生成された分析情報が表示されるまでに、最長で 48 時間ほどかかることがあります。

ファイアウォール ルールを作成または更新した場合、制限が過度に緩いルールの分析情報の機械学習予測が表示されるまでに最大で 10 日ほどかかります。それまでの間、ファイアウォール ルール ロギングから収集されたデータに基づいて分析情報を表示できます。

  PATCH https://recommender.googleapis.com/v1beta1/projects/PROJECT_ID/locations/global/insightTypes/google.compute.firewall.Insight/config
  {
    "name": "projects/PROJECT_ID/locations/global/insightTypes/google.compute.firewall.Insight/config",
      "insightTypeGenerationConfig": {
        "params": {
          "observation_period": "OBSERVATION_PERIOD_OVERLY_PERMISSIVE",
          "enable_shadowed_rule_insights": ENABLEMENT_SHADOWED,
          "enable_overly_permissive_rule_insights": ENABLEMENT_OVERLY_PERMISSIVE
         }
       },
    "etag": "\"ETAG\"",
  }

  PATCH https://recommender.googleapis.com/v1beta1/projects/PROJECT_ID/locations/global/insightTypes/google.compute.firewall.Insight/config
  {
    "name": "projects/PROJECT_ID/locations/global/insightTypes/google.compute.firewall.Insight/config",
      "insightTypeGenerationConfig": {
        "params": {
          "observation_period": "604800s",
          "enable_shadowed_rule_insights": true,
          "enable_overly_permissive_rule_insights": true
         }
       },
    "etag": "\"ETAG\"",
  }

  GET https://recommender.googleapis.com/v1beta1/projects/PROJECT_ID/locations/global/insightTypes/google.compute.firewall.Insight/config

観察期間を構成する

一部の分析情報では、観察期間、または分析情報の対象となる期間を構成できます。詳細については、観察期間と更新サイクルの設定の観察期間を構成するをご覧ください。

カスタム更新サイクルをスケジュールする

プロジェクトのシャドウルールの分析情報を生成する更新サイクルを設定できます。詳細については、「観察期間と更新サイクルの設定」のカスタム更新サイクルをスケジュールするをご覧ください。

次のステップ

• ファイアウォール インサイトのカテゴリと状態
• ファイアウォール インサイトを表示して理解する