Menjalankan workload penting bagi bisnis di Cloud Deploy mengharuskan beberapa pihak memikul tanggung jawab yang berbeda-beda. Model tanggung jawab bersama yang dijelaskan dalam dokumen ini mengklarifikasi bahwa Google Cloud bertanggung jawab atas keamanan layanan Cloud Deploy itu sendiri dan infrastruktur dasarnya, sementara Anda, sebagai pelanggan, bertanggung jawab atas keamanan dalam cara Cloud Deploy digunakan, termasuk pipeline, konfigurasi, data, dan aplikasi pengiriman spesifik yang Anda deploy menggunakan Cloud Deploy.
Meskipun bukan daftar lengkap, halaman ini mencantumkan tanggung jawab masing-masing Google Cloud dan pelanggan.
Tanggung Jawab Google Cloud
Melindungi infrastruktur dasar, termasuk hardware, firmware, kernel, sistem operasi, penyimpanan, dan jaringan.
Ini mencakup hal-hal berikut:
- Melindungi keamanan fisik pusat data, enkripsi default data dalam penyimpanan dan dalam pengiriman, serta komponen jaringan yang aman.
- Menyediakan perlindungan jaringan menggunakan Kontrol Layanan VPC.
- Mengikuti praktik pengembangan software yang aman.
- Mengelola dan mengamankan bidang kontrol layanan Cloud Deploy (API, backend, penjadwal, dll.), termasuk patching dan penguatan.
- Menyediakan lingkungan eksekusi sementara dan terisolasi untuk menjalankan operasi Cloud Deploy.
Menyediakan integrasi Google Cloud untuk Identity and Access Management (IAM), Cloud Audit Logs, dan lainnya.
Membatasi akses administratif Google Cloud ke resource pelanggan untuk tujuan dukungan kontrak, dengan Transparansi Akses dan Persetujuan Akses, serta mencatat semua akses tersebut.
Memastikan bahwa versi alat sematan kompatibel pada image Cloud Deploy.
Tanggung Jawab Pelanggan
Mengamankan kode sumber aplikasi, file konfigurasi, dan semua image container yang Anda deploy.
Hal ini mencakup mengevaluasi kesesuaian gambar untuk standar keamanan Anda, memanfaatkan versi gambar terbaru yang didukung, dan mengikuti praktik terbaik untuk komponen open source dan konfigurasi build secara keseluruhan.
Memastikan semua token integrasi pihak ketiga dilindungi dengan tepat.
Mengonfigurasi IAM untuk semua pengguna, grup, dan akun layanan yang berinteraksi dengan Cloud Deploy, sesuai dengan prinsip hak istimewa terendah.
Sebaiknya gunakan akun layanan khusus yang ditentukan pengguna untuk menjalankan pipeline deployment dan operasi lainnya, bukan akun layanan default.
Mengaktifkan dan menindaklanjuti pemindaian kerentanan untuk artefak build (misalnya, menggunakan Container Analysis), membuat data asal build, dan menerapkan kebijakan deployment (misalnya, menggunakan Otorisasi Biner) untuk memastikan hanya image yang diizinkan dan terverifikasi yang di-deploy.
Memastikan bahwa versi alat sematan kompatibel pada image Cloud Deploy, saat mengganti versi alat.
Memberikan detail lingkungan kepada Google saat diminta untuk tujuan pemecahan masalah.
Langkah berikutnya
- Baca selengkapnya tentang model tanggung jawab bersama Google Cloud.