App Design Center は Security Command Center と統合されており、信頼できるポリシー要件を確立し、デプロイ前にアプリケーション インフラストラクチャが組織のセキュリティ ポリシーに準拠していることを確認できます。管理者は Security Command Center にフレームワークをデプロイできます。デプロイしたフレームワークは、App Design Center のアプリケーション テンプレートに適用できます。
アプリケーション設計フェーズでは、アプリケーション開発者は評価を実行して、アプリケーション インフラストラクチャを分析し、各フレームワークのコンプライアンス結果を設計キャンバスで直接確認できます。
- 評価スコアカードを確認して、デプロイに進む前に設計を調整し、構成ミスを修正します。
- アプリケーションは、関連付けられたアプリケーション テンプレートに添付されているフレームワークを継承します。検証はデプロイ後も継続されます。Security Command Center がランタイム リソースをモニタリングして、構成のずれを検出します。
- App Design Center はアプリケーションのライフサイクルを管理するため、Security Command Center で検出されたランタイムの問題を、その問題を導入した特定のテンプレート リビジョンまで追跡できます。
このドキュメントでは、Security Command Center フレームワークをアプリケーション テンプレートに関連付けて、評価を実行し、セキュリティ ポリシーを適用する方法について説明します。
始める前に
フレームワークをアプリケーション テンプレートに関連付けて、App Design Center でセキュリティ評価を行うには、組織で Security Command Center が有効になっている必要があります。利用できる評価機能は、サービスティアによって異なります。
- Standard ティア: アプリケーション テンプレートとインスタンスは、 Google Cloud セキュリティの基本フレームワークに対して検証されます。
- Premium ティアまたは Enterprise ティア: Security Essentials フレームワークに加えて、Security Command Center で追加のフレームワークを作成し、テンプレートに直接関連付けて、カスタム コンプライアンスまたは規制遵守を適用できます。
アプリケーション管理境界を設定すると、App Design Center キャンバスでセキュリティ フレームワークを表示して関連付けることができます。詳細については、Security Command Center の検出サービスとしての App Hub をご覧ください。
必要なロール
フレームワークをテンプレートに適用して評価を実行するために必要な権限を取得するには、管理プロジェクトに対する次の IAM ロールを付与するよう管理者に依頼してください。
-
フレームワークを管理する: App Design Center 管理者 （
roles/designcenter.admin） -
フレームワークをテンプレートに関連付けて評価を実行する: App Design Center ユーザー （
roles/designcenter.user）
ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。
必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。
アプリケーション テンプレートにフレームワークを関連付ける
デプロイされたアプリケーションに一貫したセキュリティ ポリシーを適用するには、Security Command Center フレームワークをアプリケーション テンプレートに直接関連付けます。これにより、そのテンプレートからデプロイされたアプリケーションに一貫したポリシーのセットが適用されます。
フレームワークをアプリケーション テンプレートに関連付けるには、次の操作を行います。
gcloud CLI
アタッチ可能なフレームワークを検索します。
gcloud alpha design-center locations fetch-frameworks LOCATION \ --project=PROJECTフレームワークをアプリケーション テンプレートに適用するポリシーを作成します。
gcloud alpha design-center spaces application-templates policies create POLICY \ --application-template=APPLICATION_TEMPLATE \ --project=PROJECT \ --location=LOCATION \ --space=SPACE \ --policy-type=compliance-framework \ --policy-uri=POLICY_URI次のように置き換えます。
POLICY: ポリシー アタッチメントの名前（例:my-security-policy）。APPLICATION_TEMPLATE: アプリケーション テンプレートのテンプレート ID。PROJECT: 管理プロジェクト ID。LOCATION: アプリケーション テンプレートのリージョン。SPACE: スペース ID。POLICY_URI: 接続する Security Command Center フレームワークの URI（例:organizations/12345/locations/global/frameworks/my-framework）。
評価を実行する
テンプレートをアプリケーション デベロッパーと共有する前に、テンプレートのセキュリティ評価を実施します。これにより、アプリケーション デベロッパーがテンプレートに基づいてアプリケーションをデプロイする前に、セキュリティの問題を特定して修正できます。
gcloud CLI
gcloud alpha design-center spaces application-templates generate-assessment-report APPLICATION_TEMPLATE \
--project=PROJECT \
--location=LOCATION \
--space=SPACE
次のように置き換えます。
APPLICATION_TEMPLATE: 評価するアプリケーション テンプレートのテンプレート ID。PROJECT: 管理プロジェクト ID。LOCATION: アプリケーション テンプレートのリージョン。SPACE: スペース ID。
出力には、添付されたフレームワークに基づくアプリケーション テンプレートの評価レポートが表示されます。