Google Cloud では、WAF に当たるサービスとして、Cloud Armor が存在します。
Cloud Armor では IP アドレスの列挙による通信の許可・拒否や、条件式による許可・拒否の設定を行うことが可能です。このサービスを利用している際に割り当てと上限に引っかかることがあり、terraform apply で失敗することがあったので、調べてみました。

今回は、このサービスを使うにあたり知っておきたい（あるいは引っかかりやすい）仕様について記事にします。

主な参考は以下のリンクです。

Cloud Armor の構成

Cloud Armor は簡単に表すと以下のような構成となっています。

この様に複数のルールをまとめた「セキュリティポリシー」が存在し、それがロードバランサなどにアタッチされるという仕組みです。例えば、ロードバランサの場合はこのセキュリティポリシーが「バックエンドサービス」にアタッチされます。

上限などの制約

「セキュリティポリシー」そのものの数はプロジェクトに対して 10 個がデフォルトの上限になっています。

セキュリティポリシー内に記述される「セキュリティポリシールール」については、そのルールが「どのようなルールであるか」でプロジェクト内の上限が変わってきます。

セキュリティポリシールールの制約

セキュリティポリシールールは大きく分けて 2 種類のルールに分類されます。

IP アドレスを列挙するタイプの（通常の）ルール
高度な一致条件を持つルール

どの種類のルールであるかによって、制約も変わることに注意が必要です。

IP アドレスを列挙するタイプの（通常の）ルール

このルールの場合、1 つのルールに含むことができる IP アドレス（IP アドレスの範囲）の数は 10 までとなります。範囲指定をしたい場合は、/24 のようにサブネットマスクをつけて表現します。
サブネットマスクを記述しない場合は、/32 と同様の意味になります。

このルールは、通常ではプロジェクト全体で 200 個です。

高度な一致条件を持つルール

このルールは、様々な条件式を利用して WAF を構成するというルールです。
例えば、OWASP TOP 10 のルールに対するルールを作成したい場合はこのルールを用いる必要があります。

1 つのルールの中に複数の条件式を含むことができますが、式の数は 1 ルールにつき 5 式までという上限があります。

また、この種類のルールは 1 プロジェクトにつき最大 20 個までとなっている点に注意が必要です。

まとめ

Cloud Armor を利用する際は、以下の仕様を把握しておくことが重要です。

項目	デフォルト上限
セキュリティポリシー数（プロジェクトあたり）	10
通常ルール数（プロジェクトあたり）	200
通常ルール内の IP アドレス数（ルールあたり）	10
高度な一致条件ルール数（プロジェクトあたり）	20
高度な一致条件ルール内の条件式数（ルールあたり）	5

特に、高度な一致条件を持つルールは通常ルールに比べて上限が厳しいため、OWASP TOP 10 対策などを実装する際は計画的なルール設計が求められます。上限の引き上げが必要な場合は、Google Cloud コンソールから割り当ての増加をリクエストする必要があります。