強制執行安全性政策

將 Application Design Center 與 Security Command Center 整合，即可在部署前建立政策規定，並確認應用程式基礎架構符合組織安全政策。管理員在 Security Command Center 部署框架後，您可以在 App Design Center 將這些框架附加至應用程式範本。

在設計階段，應用程式開發人員可以執行評估，在設計畫布上查看法規遵循評量表，並在部署前修正錯誤設定。部署的應用程式會沿用範本附加的架構，Security Command Center 則會監控執行階段資源，偵測設定偏移，並追蹤問題至特定範本修訂版本。

事前準備

如要在 App Design Center 將框架附加至應用程式範本，並執行安全性評估，組織必須啟用 Security Command Center。可用的評估功能取決於服務級別：

  • 標準級：系統會根據 Google Cloud Security Essentials 架構，驗證應用程式範本和執行個體。
  • Premium 或 Enterprise 級別：除了 Security Essentials 架構外，您也可以在 Security Command Center 建立其他架構，並直接附加至範本，強制執行自訂或法規遵循。

設定應用程式管理邊界後，您可以在 App Design Center 畫布中查看及附加安全性架構。詳情請參閱「Security Command Center 中的 App Hub 偵測服務」。

必要的角色

如要取得將架構附加至範本及執行評估作業所需的權限，請要求管理員在管理專案中授予您下列 IAM 角色：

如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。

您或許也能透過自訂角色或其他預先定義的角色，取得必要權限。

將框架附加至應用程式範本

如要對已部署的應用程式強制執行一致的安全政策，請將 Security Command Center 框架直接附加至應用程式範本。這會將一組一致的政策套用至從該範本部署的任何應用程式。

如要將架構附加至應用程式範本，請按照下列步驟操作：

gcloud CLI

  1. 尋找可附加的框架：

    gcloud alpha design-center locations fetch-frameworks LOCATION \
    --project=PROJECT

  2. 建立政策，將架構附加至應用程式範本：

    gcloud alpha design-center spaces application-templates policies create POLICY \
    --application-template=APPLICATION_TEMPLATE \
    --project=PROJECT \
    --location=LOCATION \
    --space=SPACE \
    --policy-type=compliance-framework \
    --policy-uri=POLICY_URI

    更改下列內容：

    • POLICY：政策連結的名稱，例如 my-security-policy。
    • APPLICATION_TEMPLATE：應用程式範本的範本 ID。
    • PROJECT：管理專案 ID。
    • LOCATION：應用程式範本區域。
    • SPACE：您的聊天室 ID。
    • POLICY_URI：要附加的 Security Command Center 架構 URI，例如 organizations/12345/locations/global/frameworks/my-framework。

執行評估

與應用程式開發人員共用範本前，請先執行範本安全性評估。這有助於在應用程式開發人員根據範本部署應用程式之前，找出並修正任何安全性問題：

gcloud CLI 

gcloud alpha design-center spaces application-templates generate-assessment-report APPLICATION_TEMPLATE \
--project=PROJECT \
--location=LOCATION \
--space=SPACE

更改下列內容：

  • APPLICATION_TEMPLATE：要評估的應用程式範本 ID。
  • PROJECT：管理專案 ID。
  • LOCATION：應用程式範本區域。
  • SPACE：您的聊天室 ID。

輸出內容會根據附加的架構，顯示應用程式範本的評估報告。

後續步驟