È necessario implementare una policy WAF di Cloud Armor per proteggere un sito web esposto su Internet e ospitato su Compute Engine. Dove è opportuno collegare la policy di sicurezza di Cloud Armor per applicare le regole WAF alle richieste HTTP(S) in entrata?

La policy di sicurezza di Cloud Armor va collegata al backend service di un bilanciatore di carico HTTP(S) esterno perché Cloud Armor opera a livello di Edge Network di Google, ispezionando il traffico prima che raggiunga le istanze VM. Il bilanciatore di carico esterno è il punto di ingresso per il traffico HTTP(S) pubblico e il backend service definisce dove il traffico viene instradato dopo l'ispezione. Collegare la policy alla rete VPC come regola firewall non è corretto perché le regole firewall operano a livello di rete e non possono ispezionare il contenuto delle richieste HTTP(S) per funzionalità WAF. Collegare la policy all'interfaccia di rete di ogni istanza VM non è scalabile né efficiente per la protezione WAF a livello di edge. Collegare la policy direttamente alla configurazione di Cloud CDN non è il meccanismo corretto per applicare le regole WAF, sebbene Cloud CDN possa essere utilizzato in combinazione con Cloud Armor.