Ce document inclut les bonnes pratiques et les consignes pour les services Google Cloudtels que Pub/Sub, Dataflow et Cloud Run Functions lors de l'exécution de charges de travail d'IA générative surGoogle Cloud.
Définir les instances de VM pouvant activer le transfert IP
| ID de contrôle Google | VPC-CO-6.3 |
|---|---|
| Implémentation | Obligatoire |
| Description | La contrainte compute.vmCanIpForward définit les instances de VM pouvant activer le transfert IP. Par défaut, toutes les VM peuvent activer le transfert IP sur n'importe quel réseau virtuel. Spécifiez les instances de VM en utilisant l'un des formats suivants :
|
| Produits applicables |
|
| Chemin d'accès | constraints/compute.vmCanIpForward |
| Opérateur | = |
| Valeur |
|
| Type | Liste |
| Contrôles NIST-800-53 associés |
|
| Commandes associées au profil CRI |
|
| Informations connexes |
Désactiver la virtualisation imbriquée des VM
| ID de contrôle Google | VPC-CO-6.6 |
|---|---|
| Implémentation | Obligatoire |
| Description | La contrainte booléenne compute.disableNestedVirtualization désactive la virtualisation imbriquée à accélération matérielle pour les VM Compute Engine. |
| Produits applicables |
|
| Chemin d'accès | constraints/compute.disableNestedVirtualization |
| Opérateur | Is |
| Valeur |
|
| Type | Booléen |
| Contrôles NIST-800-53 associés |
|
| Commandes associées au profil CRI |
|
| Informations connexes |
Restreindre les adresses IP externes sur les VM
| ID de contrôle Google | VPC-CO-6.2 |
|---|---|
| Implémentation | Obligatoire |
| Description | Sauf si cela est nécessaire, empêchez la création d'instances Compute Engine avec des adresses IP publiques. La contrainte de liste Empêchez les instances Compute Engine d'avoir des adresses IP externes pour réduire considérablement leur exposition à Internet. Toute instance dotée d'une adresse IP externe est immédiatement détectable et devient une cible directe pour les analyses automatisées, les attaques par force brute et les tentatives d'exploitation des failles. À la place, exigez des instances qu'elles utilisent des adresses IP privées et gérez l'accès via des chemins contrôlés, authentifiés et enregistrés, comme le tunnel Identity-Aware Proxy (IAP) ou un hôte bastion. L'adoption de cette posture de refus par défaut est une bonne pratique de sécurité fondamentale qui permet de réduire votre surface d'attaque et d'appliquer une approche zéro confiance à votre réseau. Cette contrainte n'est pas rétroactive. |
| Produits applicables |
|
| Chemin d'accès | constraints/compute.vmExternalIpAccess |
| Opérateur | = |
| Valeur |
|
| Type | Liste |
| Contrôles NIST-800-53 associés |
|
| Commandes associées au profil CRI |
|
| Informations connexes |
Définir les adresses IP externes autorisées pour les instances de VM
| ID de contrôle Google | CBD-CO-6.3 |
|---|---|
| Implémentation | Obligatoire |
| Description | La contrainte de liste |
| Produits applicables |
|
| Chemin d'accès | compute.vmExternalIpAccess |
| Opérateur | = |
| Valeur |
|
| Type | Liste |
| Contrôles NIST-800-53 associés |
|
| Commandes associées au profil CRI |
|
| Informations connexes |
Exiger un connecteur VPC pour les fonctions Cloud Run
| ID de contrôle Google | CF-CO-4.4 |
|---|---|
| Implémentation | Obligatoire |
| Description | La contrainte booléenne |
| Produits applicables |
|
| Chemin d'accès | constraints/cloudfunctions.requireVPCConnector |
| Opérateur | = |
| Valeur |
|
| Type | Booléen |
| Contrôles NIST-800-53 associés |
|
| Commandes associées au profil CRI |
|
| Informations connexes |
Configurer des règles de stockage des messages
| ID de contrôle Google | PS-CO-4.1 |
|---|---|
| Implémentation | Facultatif |
| Description | Si vous publiez des messages sur le point de terminaison Pub/Sub mondial, Pub/Sub les stocke automatiquement dans la région Google Cloud la plus proche. Pour contrôler les régions dans lesquelles vos messages sont stockés, configurez une règle de stockage des messages sur votre sujet.
Pour configurer des règles de stockage des messages pour les sujets, utilisez l'une des méthodes suivantes :
|
| Produits applicables |
|
| Contrôles NIST-800-53 associés |
|
| Commandes associées au profil CRI |
|
| Informations connexes |
Désactiver les adresses IP externes pour les jobs Dataflow
| ID de contrôle Google | DF-CO-6.1 |
|---|---|
| Implémentation | Facultatif |
| Description | Désactivez les adresses IP externes pour les tâches d'administration et de surveillance liées aux jobs Dataflow. Configurez plutôt l'accès à vos VM de nœud de calcul Dataflow à l'aide de SSH. Activez l'accès privé à Google et spécifiez l'une des options suivantes dans votre job Dataflow :
Où :
|
| Produits applicables |
|
| Contrôles NIST-800-53 associés |
|
| Commandes associées au profil CRI |
|
| Informations connexes |
Utiliser des tags réseau pour les règles de pare-feu
| ID de contrôle Google | DF-CO-6.2 |
|---|---|
| Implémentation | Facultatif |
| Description | Les tags réseau sont des attributs textuels associés aux VM Compute Engine, telles que les VM de nœud de calcul Dataflow. Les tags réseau vous permettent d'appliquer des règles de pare-feu de réseau VPC et des routes statiques personnalisées à des instances de VM spécifiques. Dataflow permet d'ajouter des tags réseau à toutes les VM de nœud de calcul qui exécutent une tâche Dataflow particulière. |
| Produits applicables |
|
| Contrôles NIST-800-53 associés |
|
| Commandes associées au profil CRI |
|
| Informations connexes |
Étapes suivantes
Consultez les paramètres de gestion des données.
Consultez les Google Cloud bonnes pratiques et consignes de sécurité pour les charges de travail d'IA générative.