Você deve implantar uma política do Cloud Armor WAF para proteger um site voltado para a internet hospedado no Compute Engine. Onde você deve anexar a política de segurança do Cloud Armor para aplicar as regras do WAF nas requisições HTTP(S) de entrada?

A política de segurança do Cloud Armor WAF deve ser anexada ao serviço de backend do balanceador de carga HTTP(S) externo. Isso ocorre porque o Cloud Armor opera na borda da rede do Google, inspecionando o tráfego antes que ele chegue aos seus backends. Ao anexá-lo ao serviço de backend, todas as requisições que passam pelo balanceador de carga são avaliadas pelas regras do WAF, protegendo eficazmente o site. Anexar à rede VPC como uma regra de firewall não é correto, pois as regras de firewall operam em uma camada diferente (camada 4) e não fornecem a inspeção de conteúdo de camada 7 necessária para um WAF. Anexar à interface de rede de cada instância de VM seria ineficiente e não escalável, além de não aproveitar a proteção de borda do Cloud Armor. Anexar diretamente ao Cloud CDN não é o local correto para a política de segurança principal do WAF; embora o Cloud CDN possa usar políticas do Cloud Armor, a proteção central para o site deve estar no serviço de backend.