Agents et contrôles des applications

Ce document inclut les bonnes pratiques et les consignes pour les agents et les applications lors de l'exécution de charges de travail sur Google Cloud.

Configurer l'analyse des failles pour les artefacts

ID de contrôle Google AR-CO-6.2
Implémentation Obligatoire
Description

Utilisez Artifact Analysis ou un autre outil pour rechercher les failles dans les images et les packages d'Artifact Registry.

Si vous utilisez un outil d'analyse tiers, vous devez le déployer correctement pour analyser Artifact Registry et détecter les failles dans les images et les packages.
Produits applicables
  • Artifact Registry
  • Artifact Analysis
Chemin d'accès serviceusage.getservice
Opérateur =
Valeur

containerscanning.googleapis.com
Contrôles NIST-800-53 associés
  • RA-5
  • SI-5
  • SA-5
  • SR-8
  • CA-7
Commandes associées du profil CRI
  • ID-RA-1.1
  • ID-RA-1.2
  • ID-RA-3.1
  • ID-RA-3.2
  • ID-RA-3.3
  • PR.IP-7.1
  • PR.IP-8.1
  • PR.IP-12.1
  • PR.IP-12.2
  • PR.IP-12.3
  • PR.IP-12.4
  • DE.CM-8.1
  • DE.CM-8.2
  • DE.DP-4.1
  • DE-DP-4.2
  • DE-DP-5.1
  • RS.CO-3.1
  • RS.CO-3.2
  • RS.CO-5.2
  • RS.CO-5.3
  • RS.AN-5.1
  • RS.AN-5.2
  • RS-AN-5.3
  • RS.MI-3.1
  • RS-MI-3.2
Informations connexes

Définir les pools privés autorisés

ID de contrôle Google CBD-CO-6.1
Implémentation Obligatoire
Description

La contrainte de liste cloudbuild.allowedWorkerPools vous permet de définir les pools privés autorisés que vous pouvez utiliser dans votre organisation, votre dossier ou votre projet.

Utilisez l'un des formats suivants pour définir une liste d'autorisation ou de blocage de pools de nœuds de calcul :

  • under:organizations/ORGANIZATION_ID
  • under:folders/FOLDER_ID
  • under:projects/PROJECT_ID
  • projects/PROJECT_ID/locations/REGION/workerPools/WORKER_POOL_ID
Produits applicables
  • Service de règles d'administration
  • Cloud Build
Chemin d'accès constraints/cloudbuild.allowedWorkerPools
Opérateur =
Type Chaîne
Contrôles NIST 800-53 associés
  • AC-3
  • AC-5
  • AC-6
  • AC-12
  • AC-17
  • AC-20
Contrôles associés du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
Informations connexes

Définir les services externes pouvant appeler des déclencheurs de compilation

ID de commande Google CBD-CO-6.2
Implémentation Obligatoire
Description

La contrainte cloudbuild.allowedIntegrations définit les services externes (GitHub, par exemple) qui peuvent appeler des déclencheurs de compilation. Par exemple, si votre déclencheur de compilation écoute les modifications apportées à un dépôt GitHub et que GitHub est refusé dans cette contrainte, votre déclencheur ne s'exécutera pas. Vous pouvez spécifier autant de valeurs autorisées ou refusées que vous le souhaitez pour votre organisation ou votre projet.
Produits applicables
  • Service de règles d'administration
  • Cloud Build
Chemin d'accès constraints/cloudbuild.allowedIntegrations
Opérateur =
Type Liste
Contrôles NIST 800-53 associés
  • AC-3
  • AC-12
  • AC-17
  • AC-20
Contrôles associés du profil CRI
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
Informations connexes

Activer Model Armor

Implémentation Obligatoire
Description

Activez Model Armor pour détecter les contenus malveillants ou nuisibles dans les communications en langage naturel, y compris les requêtes et les réponses des LLM, les connexions client-serveur MCP ou les communications agentiques.
Produits applicables

Model Armor
Chemin d'accès serviceusage.getservice
Opérateur =
Valeur

modelarmor.googleapis.com
Contrôles NIST 800-53 associés
  • AC-4
  • AU-2
  • AU-8
  • AU-14
  • CM-6
  • IR-7
  • MP-4
  • MP-6
  • PM-30
  • RA-3
  • RA-5
  • RA-10
  • SA-9
  • SA-11
  • SC-7
  • SC-18
  • SI-3
  • SI-4
  • SI-8
  • SI-10
  • SI-15
  • SI-19
Informations connexes

Configurer l'analyse des failles au moment de l'exécution

ID de commande Google AR-CO-6.3
Implémentation Obligatoire
Description

Analysez automatiquement les systèmes d'exploitation et les packages de langages des conteneurs dans vos charges de travail en cours d'exécution pour détecter les failles connues et obtenir des stratégies d'atténuation exploitables.
Produits applicables

GKE
Chemin d'accès workload-vulnerability-scanning
Opérateur ==
Valeur

Enterprise
Contrôles NIST-800-53 associés
  • RA-5
  • SI-4
  • SA-5
Informations connexes

Créer des règles de nettoyage pour les artefacts

ID de commande Google AR-CO-6.1
Implémentation Recommandé en fonction du cas d'utilisation
Description

Les règles de nettoyage sont utiles si vous stockez de nombreuses versions de vos artefacts, mais que vous n'avez besoin de conserver que des versions spécifiques que vous publiez en production. Créez des règles de nettoyage distinctes pour supprimer et conserver des artefacts.
Produits applicables

Artifact Registry
Contrôles NIST 800-53 associés
  • SI-12
Commandes associées du profil CRI
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
Informations connexes

Étapes suivantes