Stellar Engine 是一种运营授权 (ATO) 加速器，可将已实现的 Terraform 资源直接映射到合规性控制措施系列。它旨在显著减轻公共部门机构和受监管行业的文档负担。
如需查看 Assured Workloads支持的框架列表，请参阅常见部署 场景。
NIST SP 800-53r5 映射
Stellar Engine 提供了一个全面的系统安全计划 (SSP) 模板和一个安全控制措施可追溯性矩阵 (SCTM)，可将已实现的资源映射到 NIST SP 800-53r5 控制措施。
为了帮助全面涵盖 ATO 软件包，Stellar Engine 提供了以下关键控制措施系列的映射：
- 访问权限控制 (AC)：使用最小权限 Identity and Access Management 角色绑定、服务帐号锁定和 严格的文件夹级访问权限边界强制执行。
- 系统和通信保护 (SC)： 使用中心辐射型 共享 VPC 拓扑、边界防火墙 （包括 Palo Alto 下一代防火墙支持）、通信 隔离以及与 VPC Service Controls 的集成来满足。
- 身份识别和身份验证 (IA)： 使用 IAM 层次结构和与组织级身份提供方的集成进行管理，强制执行现代身份验证机制。
- 审核和问责 (AU)： 通过全局审核日志接收器、 集中式日志记录存储（例如，使用 BigQuery 或 Cloud Storage）和不可变保留政策来 确保可追溯性。
- 配置管理 (CM)： 由基础设施即代码 (IaC) 本身解决，确保部署一致并实现自动漂移检测。
- 应急计划 (CP)： 由本地化状态管理提供支持，并在 Cloud Storage 存储分区中启用对象版本控制，从而实现配置状态的快速恢复。
ATO 加速的交付内容
您可以使用 Stellar Engine 访问以下合规性工件：
- 合规性映射电子表格 (SCTM)： 将控制措施直接与 Terraform 配置匹配的预打包模板。
- 系统安全计划 (SSP) 模板： FedRAMP High 和 DoD IL5 enclave 的基准叙述。
- 授权框架路径： 关于如何使用 Stellar Engine 交付内容提交 ATO 审批的分步指南。
嵌入式合规性和责任共担
通过将合规性要求直接嵌入到 IaC 中，Stellar Engine 有助于确保基础控制措施以一致且自动的方式实现，从而降低漂移或人为错误的风险。
责任共担
虽然 Stellar Engine 可以加快 ATO 流程，但您或您的独立软件供应商 (ISV) 仍需负责应用级加密（例如，附加身份验证数据 (AAD)）、身份提供方集成、运营密钥轮替和其他应用专用保护措施。如需详细了解责任共担模型，请参阅 Google Cloud FedRAMP 实现指南或责任共担模型。
数据驻留
Stellar Engine 依赖于 (gcp.resourceLocations)
组织政策约束，将资源创建限制在授权区域内。此约束在 Stellar Engine 和 Assured Workloads 中默认实现，是 FedRAMP High 和 DoD IL5 的基本要求。
后续步骤
- 请与 Google Cloud 公共部门专业服务 组织 联系，以获取有关配置部署以及访问 ATO 工件和 文档软件包的帮助。