实施安全政策

通过将 Application Design Center 与 Security Command Center 集成，您可以建立政策要求，并在部署前验证应用基础设施是否符合组织安全政策。管理员在 Security Command Center 中部署框架后，您可以在 App Design Center 中将这些框架附加到应用模板。

在设计阶段，应用开发者可以在设计画布上运行评估，以查看合规性记分卡并在部署前修复错误配置。已部署的应用会继承其模板所附加的框架，并且 Security Command Center 会监控运行时资源，以检测配置偏差并将问题跟踪到特定模板修订版本。

准备工作

如需将框架附加到应用模板并在 App Design Center 中执行安全评估，您必须为组织启用 Security Command Center。您可以使用的评估功能取决于您的服务层级：

  • 标准层级：系统会根据 Google Cloud 安全基础知识框架验证您的应用模板和实例。
  • 高级版或企业版：除了 Security Essentials 框架之外，您还可以在 Security Command Center 中创建其他框架，并将其直接附加到模板，以强制执行自定义或监管合规性。

设置应用管理边界后，您可以在 App Design Center 画布中查看和附加安全框架。如需了解详情，请参阅 App Hub 作为 Security Command Center 中的检测服务。

所需的角色

如需获得将框架附加到模板并运行评估所需的权限，请让管理员向您授予管理项目的以下 IAM 角色：

如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

您也可以通过自定义角色或其他预定义角色来获取所需的权限。

将框架附加到应用模板

如需对已部署的应用强制执行一致的安全政策，请将 Security Command Center 框架直接附加到应用模板。这会将一组一致的政策应用于从该模板部署的任何应用。

如需将框架附加到应用模板，请执行以下操作：

gcloud CLI

  1. 查找可附加的可用框架：

    gcloud alpha design-center locations fetch-frameworks LOCATION \
    --project=PROJECT

  2. 创建一项政策，将框架附加到应用模板：

    gcloud alpha design-center spaces application-templates policies create POLICY \
    --application-template=APPLICATION_TEMPLATE \
    --project=PROJECT \
    --location=LOCATION \
    --space=SPACE \
    --policy-type=compliance-framework \
    --policy-uri=POLICY_URI

    替换以下内容：

    • POLICY：政策附加项的名称，例如 my-security-policy。
    • APPLICATION_TEMPLATE：应用模板的模板 ID。
    • PROJECT：您的管理项目 ID。
    • LOCATION：应用模板区域。
    • SPACE：您的空间 ID。
    • POLICY_URI：要附加的 Security Command Center 框架的 URI，例如 organizations/12345/locations/global/frameworks/my-framework。

运行评估

在与应用开发者共享模板之前，请执行模板安全评估。这有助于您在应用开发者部署基于模板的应用之前，识别并修复任何安全问题：

gcloud CLI 

gcloud alpha design-center spaces application-templates generate-assessment-report APPLICATION_TEMPLATE \
--project=PROJECT \
--location=LOCATION \
--space=SPACE

替换以下内容：

  • APPLICATION_TEMPLATE：您要评估的应用模板的模板 ID。
  • PROJECT：您的管理项目 ID。
  • LOCATION：应用模板区域。
  • SPACE：您的空间 ID。

输出会根据附加的框架显示应用模板的评估报告。

后续步骤