基础设施控制

本文档包含在Google Cloud上运行工作负载时，有关 Pub/Sub、Dataflow 和 Cloud Run functions 等 Google Cloud服务的最佳实践和指南。

定义可启用 IP 转发的虚拟机实例

Google 控制 ID VPC-CO-6.3
实现 必需
说明
compute.vmCanIpForward 限制条件定义了可启用 IP 转发的虚拟机实例。默认情况下，任何虚拟机都可以在任何虚拟网络中启用 IP 转发。使用以下某种格式指定虚拟机实例：
  • under:organizations/ORGANIZATION_ID
  • under:folders/FOLDER_ID
  • under:projects/PROJECT_ID
  • projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME。
    • 此限制条件不具有追溯性。
适用的产品
  • 组织政策服务
  • Virtual Private Cloud (VPC)
  • Compute Engine
路径 constraints/compute.vmCanIpForward
运算符 =
值
  • Your list of VM instances that can enable IP forwarding.
类型 列表
相关 NIST-800-53 控制措施
  • SC-7
  • SC-8
相关 CRI 配置文件控制措施
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
相关信息

停用虚拟机嵌套虚拟化

Google 控制 ID VPC-CO-6.6
实现 必需
说明
compute.disableNestedVirtualization 布尔值限制条件会针对 Compute Engine 虚拟机停用硬件加速的嵌套虚拟化功能。
适用的产品
  • 组织政策服务
  • Virtual Private Cloud (VPC)
  • Compute Engine
路径 constraints/compute.disableNestedVirtualization
运算符 Is
值
  • True
类型 布尔值
相关 NIST-800-53 控制措施
  • SC-7
  • SC-8
相关 CRI 配置文件控制措施
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
相关信息

限制虚拟机上的外部 IP 地址

Google 控制 ID VPC-CO-6.2
实现 必需
说明

除非需要，否则请阻止创建具有公共 IP 地址的 Compute Engine 实例。compute.vmExternalIpAccess 列表限制条件定义了一组可以具有外部 IP 地址的 Compute Engine 虚拟机实例。

防止 Compute Engine 实例拥有外部 IP 地址，以大幅减少其在互联网上的曝光度。任何具有外部 IP 地址的实例都会立即被发现，并成为自动化扫描、暴力攻击和漏洞利用尝试的直接目标。请改为要求实例使用专用 IP 地址，并通过受控、经过身份验证且已记录的途径（例如 Identity-Aware Proxy (IAP) 隧道或堡垒主机）管理访问权限。

采用这种默认拒绝的姿态是一项基础的安全最佳实践，有助于最大限度地减少攻击面，并对您的网络强制实施零信任方法。此限制条件不具有追溯性。
适用的产品
  • 组织政策服务
  • Virtual Private Cloud (VPC)
  • Compute Engine
路径 constraints/compute.vmExternalIpAccess
运算符 =
值
  • The list of VM instances in your organization that can have external IP addresses.
类型 列表
相关 NIST-800-53 控制措施
  • SC-7
  • SC-8
相关 CRI 配置文件控制措施
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
相关信息

为虚拟机实例定义许可的外部 IP 地址

Google 控制 ID CBD-CO-6.3
实现 必需
说明

借助 compute.vmExternalIpAccess 列表限制条件，您可以通过不分配外部 IP 地址来限制对虚拟机的外部访问。配置此列表限制条件，以拒绝所有虚拟机的外部 IP 地址。
适用的产品
  • 组织政策服务
  • Compute Engine
路径 compute.vmExternalIpAccess
运算符 =
值
  • Deny All
类型 列表
相关 NIST-800-53 控制
  • AC-3
  • AC-12
  • AC-17
  • AC-20
相关 CRI 配置文件控制措施
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
相关信息

要求使用适用于 Cloud Run functions 的 VPC 连接器

Google 控制 ID CF-CO-4.4
实现 必需
说明

cloudfunctions.requireVPCConnector 布尔值限制条件要求管理员在部署 Cloud Run 函数时指定无服务器 VPC 访问通道连接器。如果强制执行此限制条件，函数必须指定连接器。
适用的产品
  • 组织政策服务
  • Cloud Run functions
路径 constraints/cloudfunctions.requireVPCConnector
运算符 =
值
  • True
类型 布尔值
相关 NIST-800-53 控制措施
  • SC-7
  • SC-8
相关 CRI 配置文件控制措施
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
相关信息

配置消息存储政策

Google 控制 ID PS-CO-4.1
实现 可选
说明
如果您将消息发布到全局 Pub/Sub 端点，则 Pub/Sub 会自动将消息存储在最近的 Google Cloud 区域中。如需控制将消息存储在哪些区域，请针对主题配置消息存储政策。 您可以使用以下任一方式为主题配置消息存储政策：
  • 使用资源位置限制 (gcp.resourceLocations) 组织政策限制条件设置消息存储政策。
  • 在创建主题时配置消息存储政策。例如：

    gcloud pubsub topics create TOPIC_ID \--message-storage-policy-allowed-regions=REGION1, REGION2
适用的产品
  • 组织政策服务
  • Pub/Sub
相关 NIST-800-53 控制措施
  • AC-3
  • AC-17
  • AC-20
相关 CRI 配置文件控制措施
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
相关信息

为 Dataflow 作业关闭外部 IP 地址

Google 控制 ID DF-CO-6.1
实现 可选
说明

关闭外部 IP 地址，以执行与 Dataflow 作业相关的管理和监控任务。请改用 SSH 配置对 Dataflow 工作器虚拟机的访问权限。

启用专用 Google 访问通道，并在 Dataflow 作业中指定以下选项之一：

  • --usePublicIps=false和--network=NETWORK-NAME之间
  • --subnetwork=SUBNETWORK-NAME

其中：

  • NETWORK-NAME：您的 Compute Engine 网络的名称。
  • SUBNETWORK-NAME：您的 Compute Engine 子网的名称。
适用的产品
  • Compute Engine
  • Dataflow
相关 NIST-800-53 控制
  • SC-7
  • SC-8
相关 CRI 配置文件控制措施
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
相关信息

为防火墙规则使用网络标记

Google 控制 ID DF-CO-6.2
实现 可选
说明

网络标记是附加到 Compute Engine 虚拟机（例如 Dataflow 工作器虚拟机）的文本属性。借助网络标记，您可以将 VPC 网络防火墙规则和某些自定义静态路由应用于特定虚拟机实例。Dataflow 支持将网络标记添加到运行特定 Dataflow 作业的所有工作器虚拟机。
适用的产品
  • Compute Engine
  • Dataflow
相关 NIST-800-53 控制
  • SC-7
  • SC-8
相关 CRI 配置文件控制措施
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
相关信息

后续步骤