Google Cloud Well-Architected Framework 安全性支柱中的這項原則，提供將強大的安全防護功能、控制項和做法，納入雲端應用程式、服務和平台設計的建議。從構思到營運，將安全性融入設計程序的每個階段，才能發揮最大效益。
原則總覽
如「Google 致力於落實安全設計原則」一文所述，「預設採用安全設定」和「安全設計」通常可以互換使用，但兩者代表建構安全系統的不同方法。這兩種方法都旨在盡可能減少安全漏洞並強化安全性，但範圍和實作方式不同：
- 預設採用安全設定：著重於確保系統預設設定為安全模式，盡可能減少使用者或管理員採取行動保護系統的需求。這個做法旨在為所有使用者提供基本安全防護。
- 安全設計：強調在系統開發生命週期中，主動納入安全考量。這種做法是預先考量潛在威脅和安全漏洞，並做出可降低風險的設計選擇。這包括採用安全的程式設計做法、進行安全性審查，以及在整個設計過程中融入安全性。融入安全考量的設計做法是一項全面性的理念，可引導開發程序，並確保安全性並非事後才考慮，而是系統設計不可或缺的一部分。
建議
如要為雲端工作負載實施安全設計原則，請參考下列各節的建議：
選擇有助於保護工作負載的系統元件
這項建議與所有重點領域相關。
如要有效保障安全，基本決策是選擇構成平台、解決方案或服務的強大系統元件，包括硬體和軟體元件。為減少安全攻擊面並限制潛在損害，您也必須仔細考量這些元件的部署模式和設定。
在應用程式程式碼中，建議您使用簡單、安全且可靠的程式庫、抽象化和應用程式架構，以消除各種安全漏洞。如要掃描軟體程式庫中的安全漏洞，可以使用第三方工具。您也可以使用 Assured Open Source Software，透過 Google 使用及保護的開放原始碼軟體 (OSS) 套件，降低軟體供應鏈的風險。
基礎架構必須使用支援安全作業的網路、儲存空間和運算選項，並符合安全需求和風險接受程度。無論是網際網路對向或內部工作負載，基礎架構安全都至關重要。
如要瞭解支援這項建議的其他 Google 解決方案，請參閱「實作左移安全性」。
建構多層式安全防護機制
這項建議與下列重點領域相關：
- AI 和機器學習安全性
- 基礎架構安全性
- 身分與存取權管理
- 資料安全性
建議您採用縱深防禦機制，在應用程式和基礎架構堆疊的每個層級落實安全措施。
請使用平台各元件的安全防護功能。如要限制存取權，並找出發生安全性事件時可能受影響的範圍 (即「爆炸半徑」)，請執行下列操作：
- 盡可能簡化系統設計，以提高彈性。
- 記錄每個元件的安全性要求。
- 納入完善的安全機制，滿足復原力和復原需求。
設計安全防護層時，請進行風險評估，判斷需要哪些安全防護功能，才能符合內部安全需求和外部法規要求。建議您使用業界標準的風險評估架構，該架構須適用於雲端環境，並符合您的監管需求。舉例來說，雲端安全聯盟 (CSA) 提供雲端控制矩陣 (CCM)。風險評估會提供風險目錄和相應的安全控管措施，協助您降低風險。
進行風險評估時，請記住您與雲端服務供應商有共同責任安排。因此，雲端環境中的風險與地端部署環境中的風險不同。舉例來說，在地端部署環境中，您必須降低硬體堆疊的漏洞。相較之下，在雲端環境中，雲端服務供應商會承擔這些風險。此外，請記住，每家雲端服務供應商的 IaaS、PaaS 和 SaaS 服務，共同責任的界線都不同。
找出潛在風險後，您必須設計並建立緩解計畫，採用技術、管理和營運控管措施，以及合約保護和第三方認證。此外，威脅建模方法 (例如 OWASP 應用程式威脅建模方法) 可協助您找出潛在差距，並建議採取行動來解決差距。
使用經過強化和認證的基礎架構和服務
這項建議與所有重點領域相關。
成熟的安全計畫會依據安全性公告，緩解新的安全漏洞。資安計畫也應提供修復措施，修正現有部署作業中的安全漏洞，並保護 VM 和容器映像檔。您可以使用映像檔 OS 和應用程式專用的強化指南，以及網際網路安全中心 (CIS) 等機構提供的基準。
如果您在 Compute Engine VM 使用自訂映像檔，則須自行修補映像檔。或者，您也可以使用 Google 提供的精選 OS 映像檔，這些映像檔會定期修補。如要在 Compute Engine VM 上執行容器，請使用 Google 精選的容器最佳化 OS 映像檔。Google 會定期修補及更新這些映像檔。
如果您使用 Google Kubernetes Engine (GKE)，建議您啟用節點自動升級功能，讓 Google 使用最新修補程式更新叢集節點。Google 會管理 GKE 控制層，並自動更新及修補。如要進一步縮小容器的攻擊面，可以使用無發行版映像檔。Distroless 映像檔非常適合用於安全性敏感的應用程式、微服務，以及需要盡可能縮減映像檔大小和攻擊面的情況。
如果是機密工作負載，請使用 Shielded VM，防止惡意程式碼在 VM 啟動週期載入。Shielded VM 執行個體提供啟動安全性、監控完整性，並使用虛擬信任平台模組 (vTPM)。
為確保 SSH 存取安全，OS 登入可讓員工使用身分與存取權管理 (IAM) 權限做為可靠資料來源，連線至 VM，而不必依賴安全殼層金鑰。因此，您不需要管理整個組織的 SSH 金鑰。OS 登入功能會將管理員的存取權與員工生命週期連結，因此當員工變更角色或離職時，系統會一併撤銷其帳戶的存取權。OS 登入也支援 Google 雙重驗證，可進一步防範帳戶入侵攻擊。
在 GKE 中，應用程式執行個體會在 Docker 容器內執行。如要啟用定義的風險設定檔，並限制員工變更容器，請確保容器為無狀態且不可變動。不變性原則是指員工不會修改容器，也不會以互動方式存取容器。如果必須變更容器，請建構新的映像檔並重新部署。僅在特定偵錯情境下，啟用基礎容器的 SSH 存取權。
如要協助保護整個環境的全域設定，您可以使用組織政策，對影響雲端資產行為的資源設定限制或防護措施。舉例來說，您可以定義下列組織政策，並在 Google Cloud 組織中全面套用，或選擇在資料夾或專案層級套用：
- 停用將外部 IP 位址分配給 VM 的功能。
- 限制只能在特定地理位置建立資源。
- 停用服務帳戶或其金鑰的建立功能。
為靜態和傳輸中的資料加密
這項建議與下列重點領域相關：
- 基礎架構安全性
- 資料安全性
資料加密是保護機密資訊的基本控制措施，也是資料治理的重要環節。有效的資料保護策略包括存取控管、資料區隔和地理位置、稽核，以及根據需求仔細評估後實施的加密機制。
根據預設， Google Cloud會加密靜態客戶資料，您不需採取任何行動。除了預設加密機制外，Google Cloud 也提供信封加密和加密金鑰管理選項。無論是為儲存空間、運算或大數據工作負載選擇金鑰，都必須找出最符合金鑰產生、儲存和輪替需求的解決方案。舉例來說，您可以在 Cloud Key Management Service (Cloud KMS) 中建立客戶自行管理的加密金鑰 (CMEK)。CMEK 可以是軟體型或受 HSM 保護，以符合法規或法規遵循要求，例如需要定期輪替加密金鑰。Cloud KMS Autokey 可自動佈建及指派 CMEK。此外，您也可以使用 Cloud External Key Manager (Cloud EKM)，自備第三方金鑰管理系統提供的金鑰。
強烈建議您在傳輸過程中加密資料。當資料移出 Google 或 Google 代理單位控管的實體界限時，Google 會在一或多個網路層加密及驗證傳輸中的資料。虛擬私有雲網路內和對接虛擬私有雲網路之間的所有 VM 對 VM 流量都會加密。您可以使用 MACsec 加密 Cloud Interconnect 連線的流量。IPsec 會為 Cloud VPN 連線的流量提供加密。您可以使用 Apigee 的 TLS 和 mTLS 設定等安全防護功能，以及容器化應用程式適用的 Cloud Service Mesh，保護雲端中的應用程式間流量。
根據預設， Google Cloud 會加密靜態資料和透過網路傳輸的資料。不過，在記憶體中使用資料時，系統預設不會加密資料。如果貴組織會處理機密資料，您必須降低任何會破壞應用程式或系統記憶體中資料機密性和完整性的威脅。如要降低這些威脅，您可以使用機密運算，為運算工作負載提供受信任的執行環境。詳情請參閱「Confidential VM 總覽」。