Sichere Unternehmensgrundlagen für Anwendungsfälle für generative KI

Dieses Dokument enthält die Best Practices und Richtlinien für die Erstellung einer sicheren Unternehmensgrundlage für die Ausführung von generativen KI-Arbeitslasten, dieGoogle Cloudverwenden. Eine sichere Unternehmensbasis umfasst Kontrollen für Folgendes:

Authentifizierung und Autorisierung

Dieser Abschnitt enthält die Best Practices und Richtlinien für Identity and Access Management (IAM) und Cloud Identity beim Ausführen von generativen KI-Arbeitslasten auf Google Cloud.

Automatische IAM-Zuweisungen für Standarddienstkonten deaktivieren

Google-Einstellungs-ID IAM-CO-4.1
Implementierung Erforderlich
Beschreibung

Verwenden Sie die boolesche Einschränkung automaticIamGrantsForDefaultServiceAccounts, um automatische Rollenzuweisungen zu deaktivieren, wenn Google Cloud Dienste automatisch Standarddienstkonten mit zu umfangreichen Rollen erstellen.

Standardmäßig gewähren einige Systeme automatisierten Konten zu weitreichende Berechtigungen, was ein potenzielles Sicherheitsrisiko darstellt. Wenn Sie diese Einschränkung beispielsweise nicht erzwingen und ein Standarddienstkonto erstellen, erhält das Dienstkonto automatisch die Rolle „Bearbeiter“ (roles/editor) für Ihr Projekt. Wenn ein Angreifer einen einzelnen Teil des Systems manipuliert, kann er die Kontrolle über das gesamte Projekt erlangen. Diese Einschränkung deaktiviert diese automatischen Berechtigungen auf hoher Ebene und erzwingt einen sichereren, bewussten Ansatz, bei dem nur die minimal erforderlichen Berechtigungen gewährt werden.
Entsprechende Produkte
  • IAM
  • Organisationsrichtliniendienst
Pfad constraints/iam.automaticIamGrantsForDefaultServiceAccounts
Operator Is
Wert
  • False
Typ Boolesch
Zugehörige NIST-800-53-Kontrollen
  • AC-3
  • AC-17
  • AC-20
Zugehörige CRI-Profileinstellungen
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Weitere Informationen

Erstellung externer Dienstkontoschlüssel blockieren

Google-Einstellungs-ID IAM-CO-4.2
Implementierung Erforderlich
Beschreibung

Mit der booleschen Einschränkung iam.disableServiceAccountKeyCreation können Sie verhindern, dass externe Dienstkontoschlüssel erstellt werden. Mit dieser Einschränkung können Sie die Verwendung von nicht verwalteten, langfristigen Anmeldedaten für Dienstkonten steuern. Wenn diese Einschränkung festgelegt ist, können Sie keine von Nutzern verwalteten Anmeldedaten für Dienstkonten in Projekten erstellen, die von der Einschränkung betroffen sind.
Entsprechende Produkte
  • Organisationsrichtliniendienst
  • IAM
Pfad constraints/iam.disableServiceAccountKeyCreation
Operator Is
Wert
  • True
Typ Boolesch
Zugehörige NIST-800-53-Kontrollen
  • AC-3
  • AC-17
  • AC-20
Zugehörige CRI-Profileinstellungen
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Weitere Informationen

Hochladen von Dienstkontoschlüsseln blockieren

Google-Einstellungs-ID IAM-CO-4.3
Implementierung Erforderlich
Beschreibung

Mit der booleschen Einschränkung iam.disableServiceAccountKeyUpload können Sie das Hochladen externer öffentlicher Schlüssel in Dienstkonten deaktivieren. Wenn diese Einschränkung festgelegt ist, können Nutzer keine öffentlichen Schlüssel in Dienstkonten in Projekten hochladen, die von der Einschränkung betroffen sind.
Entsprechende Produkte
  • Organisationsrichtliniendienst
  • IAM
Pfad constraints/iam.disableServiceAccountKeyUpload
Operator Is
Wert
  • True
Typ Boolesch
Zugehörige NIST-800-53-Kontrollen
  • AC-3
  • AC-17
  • AC-20
Zugehörige CRI-Profileinstellungen
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Weitere Informationen

Aufgabentrennung für Administratoren von Organisationsrichtlinien konfigurieren

Google-Einstellungs-ID OPS-CO-6.1
Implementierung Erforderlich
Beschreibung
Weisen Sie Gruppen, die für die Sicherheitslage der Organisation Google Cloud verantwortlich sind, die Rolle „Administrator für Unternehmensrichtlinien“ (roles/orgpolicy.policyAdmin) zu. Um die Erstellung von Ressourcen zu vermeiden, die gegen die Sicherheitsrichtlinie verstoßen, weisen Sie diese Rolle nicht Projektinhabern zu.
Entsprechende Produkte
  • IAM
  • Organisationsrichtliniendienst
Zugehörige NIST-800-53-Kontrollen
  • AC-2
  • AC-3
  • AC-5
Zugehörige CRI-Profileinstellungen
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.DS-5.1
  • PR.PT-3.1
Weitere Informationen

Bestätigung in zwei Schritten für Super Admin-Konten aktivieren

Google-Einstellungs-ID CI-CO-6.1
Implementierung Erforderlich
Beschreibung

Google empfiehlt Titan-Sicherheitsschlüssel für die 2‑Faktor-Authentifizierung (2FA) für Super Admin-Konten. Für Anwendungsfälle, in denen dies nicht möglich ist, empfehlen wir jedoch, stattdessen einen anderen Sicherheitsschlüssel zu verwenden.
Entsprechende Produkte
  • Cloud Identity
  • Titan-Sicherheitsschlüssel
Zugehörige NIST-800-53-Kontrollen
  • IA-2
  • IA-4
  • IA-5
  • IA-7
Zugehörige CRI-Profileinstellungen
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
Weitere Informationen

Bestätigung in zwei Schritten für die Organisationseinheit des Super Admins erzwingen

Google-Einstellungs-ID CI-CO-6.2
Implementierung Erforderlich
Beschreibung

Erzwingen Sie die 2‑Faktor-Authentifizierung (2FA) für eine bestimmte Organisationseinheit oder die gesamte Organisation. Wir empfehlen, eine OE für Super Admins zu erstellen und die 2FA für diese OE zu erzwingen.
Entsprechende Produkte
  • Cloud Identity
Zugehörige NIST-800-53-Kontrollen
  • IA-2
  • IA-4
  • IA-5
  • IA-7
Zugehörige CRI-Profileinstellungen
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
Weitere Informationen

E‑Mail-Adresse für den primären Super Admin erstellen

Google-Einstellungs-ID CI-CO-6.4
Implementierung Erforderlich
Beschreibung
Erstellen Sie eine E-Mail-Adresse, die nicht für einen bestimmten Nutzer als primäres Cloud Identity-Super Admin-Konto spezifisch ist.
Entsprechende Produkte
  • Cloud Identity
Zugehörige NIST-800-53-Kontrollen
  • IA-2
  • IA-4
  • IA-5
Zugehörige CRI-Profileinstellungen
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
Weitere Informationen

Redundante Administratorkonten erstellen

Google-Einstellungs-ID CI-CO-6.7
Implementierung Erforderlich
Beschreibung

Es gibt keinen einzelnen Super Admin oder Organisationsadministrator. Erstellen Sie ein oder mehrere (bis zu 20) Administrator-Sicherungskonten. Wenn es nur einen Super Admin oder Organisationsadministrator gibt, kann es zu Aussperrungen kommen. Diese Situation birgt auch ein höheres Risiko, da eine Person plattformverändernde Änderungen vornehmen kann, möglicherweise ohne Aufsicht.
Entsprechende Produkte
  • Identity and Access Management (IAM)
  • Google Workspace
  • Cloud Identity
Zugehörige NIST-800-53-Kontrollen
  • IA-2
  • IA-4
  • IA-5
Zugehörige CRI-Profileinstellungen
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
Weitere Informationen

Tags implementieren, um IAM-Richtlinien (Identity and Access Management) und Organisationsrichtlinien effizient zuzuweisen

Google-Einstellungs-ID IAM-CO-6.1
Implementierung Empfohlen
Beschreibung

Mit Tags können Sie Annotationen für Ressourcen erstellen und in einigen Fällen Richtlinien je nachdem, ob eine Ressource ein bestimmtes Tag hat, zulassen oder ablehnen. Tags und die bedingte Erzwingung von Richtlinien ermöglichen Ihnen, die Ressourcenhierarchie genau zu steuern.
Entsprechende Produkte
  • Resource Manager
Zugehörige NIST-800-53-Kontrollen
  • AC-2
  • AC-3
  • AC-5
Zugehörige CRI-Profileinstellungen
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.DS-5.1
  • PR.PT-3.1
Weitere Informationen

Änderungen mit hohem Risiko an Identity and Access Management (IAM) prüfen

Google-Einstellungs-ID IAM-CO-7.1
Implementierung Empfohlen
Beschreibung

Mit Cloud-Audit-Logs können Sie Aktivitäten mit hohem Risiko überwachen, z. B. wenn Konten Rollen mit hohem Risiko wie „Administrator der Organisation“ und „Super Admin“ zugewiesen werden. Richten Sie Benachrichtigungen für diese Art von Aktivität ein.
Entsprechende Produkte
  • Cloud-Audit-Logs
Zugehörige NIST-800-53-Kontrollen
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Zugehörige CRI-Profileinstellungen
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Weitere Informationen

Zugriff auf Cloud Shell für von Cloud Identity verwaltete Nutzerkonten blockieren

Google-Einstellungs-ID CI-CO-6.8
Implementierung Empfohlen
Beschreibung

Um zu umfangreichen Zugriff auf Google Cloudzu vermeiden, blockieren Sie den Zugriff auf Cloud Shell für von Cloud Identity verwaltete Nutzerkonten.
Entsprechende Produkte
  • Cloud Identity
  • Cloud Shell
Zugehörige NIST-800-53-Kontrollen
  • SC-7
  • SC-8
Zugehörige CRI-Profileinstellungen
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Weitere Informationen

Kontextsensitiven Zugriff für Google-Konsolen konfigurieren

Google-Einstellungs-ID IAM-CO-8.2
Implementierung Optional
Beschreibung

Mit dem kontextsensitiven Zugriff können Sie detaillierte Sicherheitsrichtlinien für Anwendungen auf Grundlage von Attributen wie Nutzer-ID, Standort, Sicherheitsstatus des Geräts oder IP-Adresse erstellen, mit denen sich die Zugriffssteuerung steuern lässt. Wir empfehlen, den Zugriff auf die Google Cloud -Konsole (https://console.cloud.google.com/) und die Google Admin-Konsole (https://admin.cloud.google.com) mit dem kontextsensitiven Zugriff einzuschränken.
Entsprechende Produkte
  • Cloud Identity
  • Kontextsensitiver Zugriff
Zugehörige NIST-800-53-Kontrollen
  • AC-3
  • AC-12
  • AC-17
  • AC-20
  • SC-7
  • SC-8
Zugehörige CRI-Profileinstellungen
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Weitere Informationen

Eigenständige Kontowiederherstellung für Super Admin-Konten blockieren

Google-Einstellungs-ID CI-CO-6.3
Implementierung Optional
Beschreibung
Ein Angreifer könnte das Verfahren zur Selbstwiederherstellung verwenden, um Super Admin-Passwörter zurückzusetzen. Um die Sicherheitsrisiken zu minimieren, die mit SS7-Angriffen (Signaling System 7), SIM-Swap-Angriffen oder anderen Phishing-Angriffen verbunden sind, empfehlen wir, diese Funktion zu deaktivieren. Wenn Sie die Funktion deaktivieren möchten, rufen Sie in der Admin-Konsole die Einstellungen zur Kontowiederherstellung auf.
Entsprechende Produkte
  • Cloud Identity
  • Google Workspace
Zugehörige NIST-800-53-Kontrollen
  • IA-2
  • IA-4
  • IA-5
Zugehörige CRI-Profileinstellungen
  • PR.AC-1.1
  • PR.AC-1.2
  • PR.AC-1.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
Weitere Informationen

Nicht verwendete Google-Dienste deaktivieren

Google-Einstellungs-ID CI-CO-6.6
Implementierung Optional
Beschreibung
Im Allgemeinen empfehlen wir, die Dienste zu deaktivieren, die Sie nicht verwenden.
Entsprechende Produkte
  • Cloud Identity
Pfad http://admin.google.com > Apps > Additional Google Services
Operator Setting
Wert
  • False
Zugehörige NIST-800-53-Kontrollen
  • SC-7
  • SC-8
Zugehörige CRI-Profileinstellungen
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Weitere Informationen

Organisation

Dieser Abschnitt enthält die Best Practices und Richtlinien für den Organisationsrichtliniendienst und Resource Manager beim Ausführen generativer KI-Arbeitslasten auf Google Cloud.

Von Google-APIs unterstützte TLS-Versionen einschränken

Google-Einstellungs-ID COM-CO-1.1
Implementierung Erforderlich
Beschreibung

Google Cloud unterstützt mehrere TLS-Protokollversionen. Um Compliance-Anforderungen zu erfüllen, sollten Sie Handshake-Anfragen von Clients, die ältere TLS-Versionen verwenden, ablehnen.

Verwenden Sie zum Konfigurieren dieses Steuerelements die Einschränkung der Organisationsrichtlinie TLS-Versionen einschränken (gcp.restrictTLSVersion). Sie können diese Einschränkung auf Organisationen, Ordner oder Projekte in der Ressourcenhierarchie anwenden. Für die Einschränkung TLS-Versionen einschränken wird eine Sperrliste verwendet, in der explizite Werte abgelehnt und alle anderen zugelassen werden. Wenn Sie versuchen, eine Zulassungsliste zu verwenden, tritt ein Fehler auf.

Aufgrund der hierarchischen Auswertung von Organisationsrichtlinien gilt die Einschränkung der TLS-Version für den angegebenen Ressourcenknoten und alle zugehörigen Ordner und Projekte (untergeordnete Elemente). Wenn Sie beispielsweise die TLS-Version 1.0 für eine Organisation ablehnen, wird diese auch für alle untergeordneten Elemente abgelehnt, die von dieser Organisation abstammen.

Sie können die übernommene TLS-Versionsbeschränkung überschreiben, indem Sie die Organisationsrichtlinie für eine untergeordnete Ressource aktualisieren. Wenn in Ihrer Organisationsrichtlinie beispielsweise TLS 1.0 auf Organisationsebene abgelehnt wird, können Sie die Einschränkung für einen untergeordneten Ordner entfernen, indem Sie eine separate Organisationsrichtlinie für diesen Ordner festlegen. Wenn der Ordner untergeordnete Elemente hat, wird die Richtlinie des Ordners aufgrund der Richtlinienübernahme auch auf jede untergeordnete Ressource angewendet.

Wenn Sie die TLS-Version weiter auf TLS 1.3 beschränken möchten, können Sie diese Richtlinie so festlegen, dass auch TLS-Version 1.2 eingeschränkt wird. Sie müssen diese Steuerung in Anwendungen implementieren, die Sie in Google Cloudhosten. Legen Sie beispielsweise auf Organisationsebene Folgendes fest:

["TLS_VERSION_1","TLS_VERSION_1.1","TLS_VERSION_1.2"]
Entsprechende Produkte
  • Alle; werden vom Organisationsrichtliniendienst verwaltet
Pfad gcp.restrictTLSVersion
Operator ==
Wert
  • TLS_VERSION_1
  • TLS_VERSION_1.1
Typ String
Compliance Manager-Einstellungs-ID RESTRICT_LEGACY_TLS_VERSIONS
Zugehörige NIST-800-53-Kontrollen
  • SC-8
  • SC-13
Zugehörige CRI-Profileinstellungen
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Weitere Informationen

Autorisierte Hauptkonten einschränken

Google-Einstellungs-ID COM-CO-4.1
Implementierung Erforderlich
Beschreibung

Sorgen Sie dafür, dass nur Identitäten aus Ihrer Organisation in Ihrer Google Cloud Umgebung zugelassen sind. Verwenden Sie die Organisationsrichtlinieneinschränkung Domaineingeschränkte Freigabe (iam.allowedPolicyMemberDomains) oder iam.managed.allowedPolicyMembers, um mindestens eine Cloud Identity- oder Google Workspace-Kundennummer zu definieren, deren Prinzipale IAM-Richtlinien (Identity and Access Management) hinzugefügt werden können.

Diese Einschränkungen helfen, zu verhindern, dass Mitarbeiter Zugriff auf externe Konten gewähren, die nicht der Kontrolle Ihrer Organisation unterliegen und nicht Ihren Sicherheitsrichtlinien für die Multi-Faktor-Authentifizierung (MFA) oder die Passwortverwaltung entsprechen. Diese Einstellung ist entscheidend, um unbefugten Zugriff zu verhindern und dafür zu sorgen, dass nur vertrauenswürdige, verwaltete Unternehmensidentitäten verwendet werden können.
Entsprechende Produkte
  • Organisationsrichtliniendienst
  • IAM
Pfad constraints/iam.allowedPolicyMemberDomains
Operator Is
Wert
  • CUSTOMER_ID,ORG_ID
Typ Liste
Zugehörige NIST-800-53-Kontrollen
  • AC-3
  • AC-17
  • AC-20
Zugehörige CRI-Profileinstellungen
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Weitere Informationen

Nutzung von Ressourcendiensten einschränken

Google-Einstellungs-ID RM-CO-4.1
Implementierung Erforderlich
Beschreibung

Die Einschränkung gcp.restrictServiceUsagesorgt dafür, dass nur Ihre genehmigten Google Cloud Dienste an den richtigen Stellen verwendet werden. Beispiel: Ein Produktions- oder sehr vertraulicher Ordner hat eine kleine Liste von Google Cloud Diensten, die zum Speichern von Daten zugelassen sind. Ein Sandbox-Ordner kann eine längere Liste von Diensten und zugehörigen Datensicherheitskontrollen enthalten, um Daten-Exfiltration zu verhindern. Der Wert ist spezifisch für Ihre Systeme und entspricht Ihrer genehmigten Liste von Diensten und Abhängigkeiten für bestimmte Ordner und Projekte.

Mit dieser Einschränkung kann Ihre Organisation eine Zulassungsliste mit genehmigten Diensten erstellen, um zu verhindern, dass Mitarbeiter nicht geprüfte Dienste verwenden.
Entsprechende Produkte
  • Organisationsrichtliniendienst
  • Resource Manager
Pfad constraints/gcp.restrictServiceUsage
Operator Is
Zugehörige NIST-800-53-Kontrollen
  • AC-3
  • AC-17
  • AC-20
Zugehörige CRI-Profileinstellungen
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Weitere Informationen

Ressourcenstandorte einschränken

Google-Einstellungs-ID RM-CO-4.2
Implementierung Erforderlich
Beschreibung

Die Einschränkung für Ressourcenstandorte (gcp.resourceLocations) sorgt dafür, dass nur Ihre genehmigten Google Cloud Regionen zum Speichern von Daten verwendet werden. Der Wert ist spezifisch für Ihre Systeme und entspricht der genehmigten Liste der Regionen für den Datenstandort Ihrer Organisation.

Mit dieser Einschränkung kann Ihre Organisation erzwingen, dass Ihre Ressourcen und Daten nur in bestimmten, genehmigten geografischen Regionen erstellt und gespeichert werden.
Entsprechende Produkte
  • Organisationsrichtliniendienst
  • Resource Manager
Pfad constraints/gcp.resourceLocations
Operator Is
Zugehörige NIST-800-53-Kontrollen
  • AC-3
  • AC-17
  • AC-20
Zugehörige CRI-Profileinstellungen
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Weitere Informationen

Netzwerk

Dieser Abschnitt enthält die Best Practices und Richtlinien für Virtual Private Cloud (VPC) und Cloud DNS beim Ausführen von generativen KI-Arbeitslasten auf Google Cloud.

Erstellen des Standardnetzwerks blockieren

Google-Einstellungs-ID VPC-CO-6.1
Implementierung Erforderlich
Beschreibung

Die boolesche Einschränkung compute.skipDefaultNetworkCreation überspringt die Erstellung des Standardnetzwerks und der zugehörigen Ressourcen beim Erstellen von Google Cloud Projekten.

Das Standardnetzwerk ist ein VPC-Netzwerk (Virtual Private Cloud) im automatischen Modus mit vorkonfigurierten IPv4-Firewallregeln, die interne Kommunikationspfade zulassen. Im Allgemeinen ist diese Einrichtung keine empfohlene Sicherheitskonfiguration für Produktionsumgebungen.
Entsprechende Produkte
  • Organisationsrichtliniendienst
  • Virtual Private Cloud (VPC)
Pfad constraints/compute.skipDefaultNetworkCreation
Wert
  • True
Typ Boolesch
Zugehörige NIST-800-53-Kontrollen
  • SC-7
  • SC-8
Zugehörige CRI-Profileinstellungen
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Weitere Informationen

DNS-Sicherheitserweiterungen aktivieren

Google-Einstellungs-ID DNS-CO-6.1
Implementierung Erforderlich
Beschreibung

DNSSEC (Domain Name System Security Extensions) ist ein Feature des Domain Name System (DNS), mit dem Antworten auf Domainnamenabfragen authentifiziert werden können. Sie bietet keinen Datenschutz für diese Suchvorgänge, verhindert jedoch, dass Angreifer die Antworten auf DNS-Anfragen verfälschen oder manipulieren.

Aktivieren Sie DNSSEC in Cloud DNS an den folgenden Stellen:

  • DNS-Zone
  • Top-Level-Domain (TLD)
  • DNS-Auflösung
Entsprechende Produkte
  • Cloud DNS
Zugehörige NIST-800-53-Kontrollen
  • SC-7
  • SC-8
Zugehörige CRI-Profileinstellungen
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Weitere Informationen

Dienstbereichseinschränkung in Access Context Manager-Zugriffsrichtlinien aktivieren

Google-Einstellungs-ID COM-CO-8.1
Implementierung Empfohlen für Anwendungsfälle für generative KI
Beschreibung

Prüfen Sie für jeden Dienstperimeter in der Google Cloud Konsole, ob der Perimetertyp auf „Regulär“ festgelegt ist.
Entsprechende Produkte
  • Access Context Manager
  • VPC Service Controls
Pfad accesscontextmanager.accessPolicies.servicePerimeters/perimeterType
Operator ==
Wert
  • PERIMETER_TYPE_REGULAR
Typ String
Zugehörige NIST-800-53-Kontrollen
  • SC-7
  • SC-8
Zugehörige CRI-Profileinstellungen
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Weitere Informationen

APIs in VPC Service Controls-Dienstperimetern einschränken

Google-Einstellungs-ID COM-CO-8.2
Implementierung Empfohlen für Anwendungsfälle für generative KI
Beschreibung

Verwenden Sie Access Context Manager, um für jeden Dienstperimeter zu bestätigen, dass der Perimeter die API schützt.
Entsprechende Produkte
  • VPC Service Controls
  • Access Context Manager
Pfad accesscontextmanager.accessPolicies.servicePerimeters/status.restrictedServices
Operator Anyof
Wert
  • aiplatform.googleapis.com
  • artifactregistry.googleapis.com
  • bigquery.googleapis.com
  • cloudasset.googleapis.com
  • cloudbuild.googleapis.com
  • cloudfunctions.googleapis.com
  • cloudresourcemanager.googleapis.com
  • containeranalysis.googleapis.com
  • discoveryengine.googleapis.com
  • dns.googleapis.com
  • notebooks.googleapis.com
  • ondemandscanning.googleapis.com
  • orgpolicy.googleapis.com
  • pubsub.googleapis.com
  • secretmanager.googleapis.com
  • storage.googleapis.com
  • visionai.googleapis.com
Typ String
Zugehörige NIST-800-53-Kontrollen
  • SC-7
  • SC-8
Zugehörige CRI-Profileinstellungen
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
Weitere Informationen

Zonales DNS verwenden

Google-Einstellungs-ID DNS-CO-4.1
Implementierung Optional
Beschreibung

Mit der booleschen Einschränkung compute.setNewProjectDefaultToZonalDNSOnly können Sie die interne DNS-Einstellung für neue Projekte so festlegen, dass nur zonales DNS verwendet wird. Verwenden Sie zonales DNS, da es im Vergleich zu einzelnen Zonen eine höhere Zuverlässigkeit bietet, weil Fehler bei der DNS-Registrierung isoliert werden .
Entsprechende Produkte
  • Unternehmensrichtlinien
Pfad constraints/compute.setNewProjectDefaultToZonalDNSOnly
Operator =
Wert
  • True
Typ Boolesch
Zugehörige NIST-800-53-Kontrollen
  • AC-3
  • AC-17
  • AC-20
Zugehörige CRI-Profileinstellungen
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.PT-3.1
  • PR.PT-4.1
Weitere Informationen

Logging, Monitoring, Benachrichtigungen

Dieser Abschnitt enthält die Best Practices und Richtlinien für das Logging und die Überwachung von Diensten in Google Cloud sowie das Konfigurieren von Benachrichtigungen für Dienste wie Cloud Billing.

Audit-Logs aus Cloud Identity freigeben

Google-Einstellungs-ID CI-CO-6.5
Implementierung Erforderlich
Beschreibung

Wenn Sie Cloud Identity verwenden, geben Sie Audit-Logs aus Cloud Identity für Google Cloudfrei.

Audit-Logs zur Administratoraktivität von Google Workspace oder Cloud Identity werden normalerweise in der Google Admin-Konsole verwaltet und angezeigt, separat von Ihren Logs in der Google Cloud -Umgebung. Diese Logs enthalten Informationen, die für Ihre Google Cloud Umgebung relevant sind, z. B. Nutzeranmeldeereignisse.

Wir empfehlen, Cloud Identity-Audit-Logs für Ihre Google Cloud Umgebung freizugeben, um Logs aus allen Quellen zentral zu verwalten.
Entsprechende Produkte
  • Google Workspace
  • Cloud Logging
  • Cloud Identity
Zugehörige NIST-800-53-Kontrollen
  • AC-2
  • AC-3
  • AC-8
  • AC-9
Zugehörige CRI-Profileinstellungen
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
Weitere Informationen

Audit-Logs verwenden

Google-Einstellungs-ID COM-CO-7.3
Implementierung Erforderlich
Beschreibung

Google Cloud -Dienste schreiben Audit-Logeinträge, um die Frage zu beantworten, wer was, wo und wann mit Google Cloud -Ressourcen getan hat.

Aktivieren Sie das Audit-Logging auf Organisationsebene. Sie können das Logging mit der Pipeline konfigurieren, die Sie zum Einrichten der Google Cloud -Organisation verwenden.
Entsprechende Produkte
  • Cloud-Audit-Logs
Zugehörige NIST-800-53-Kontrollen
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Zugehörige CRI-Profileinstellungen
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Weitere Informationen

VPC-Flusslogs aktivieren

Google-Einstellungs-ID COM-CO-7.4
Implementierung Erforderlich
Beschreibung

In VPC-Flusslogs wird eine Stichprobe von Netzwerkflüssen erfasst, die von VM-Instanzen gesendet und empfangen werden, darunter Instanzen, die als Google Kubernetes Engine-Knoten (GKE) verwendet werden. Die Stichprobe beträgt in der Regel 50% oder weniger der VPC-Netzwerkflüsse.

Wenn Sie VPC-Fluss-Logs aktivieren, aktivieren Sie Logging für alle VMs in einem Subnetz. Sie können jedoch die Menge der in Logging geschriebenen Informationen reduzieren.

Aktivieren Sie VPC-Flusslogs für jedes VPC-Subnetz. Sie können die Protokollierung mit einer Pipeline konfigurieren, mit der Sie ein Projekt erstellen.
Entsprechende Produkte
  • Virtual Private Cloud
Zugehörige NIST-800-53-Kontrollen
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Zugehörige CRI-Profileinstellungen
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Weitere Informationen

Firewallregel-Logging aktivieren

Google-Einstellungs-ID COM-CO-7.5
Implementierung Erforderlich
Beschreibung

Standardmäßig werden durch Firewallregeln nicht automatisch Logs geschrieben.Mit dem Logging von Firewallregeln können Sie die Auswirkungen Ihrer Firewallregeln überwachen, überprüfen und analysieren. Sie können beispielsweise feststellen, ob eine Firewallregel, die Traffic abweisen soll, wie vorgesehen funktioniert. Logging ist auch nützlich, wenn Sie ermitteln möchten, wie viele Verbindungen von einer bestimmten Firewallregel betroffen sind.

Aktivieren Sie das Logging für jede Firewallregel. Sie können das Logging mit einer Pipeline konfigurieren, mit der Sie eine Firewall erstellen.
Entsprechende Produkte
  • Virtual Private Cloud
Zugehörige NIST-800-53-Kontrollen
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Zugehörige CRI-Profileinstellungen
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Weitere Informationen

Audit-Logs zum Datenzugriff aktivieren

Google-Einstellungs-ID COM-CO-7.2
Implementierung Für bestimmte Anwendungsfälle empfohlen
Beschreibung

Wenn Sie nachverfolgen möchten, wer auf Daten in Ihrer Google Cloud -Umgebung zugegriffen hat, aktivieren Sie Audit-Logs zum Datenzugriff. In diesen Logs werden API-Aufrufe aufgezeichnet, mit denen Nutzerdaten gelesen, erstellt oder geändert werden, sowie API-Aufrufe, mit denen Ressourcenkonfigurationen gelesen werden.

Wir empfehlen dringend, Audit-Logs zum Datenzugriff für generative KI-Modelle und sensible Daten zu aktivieren, damit Sie prüfen können, wer die Informationen gelesen hat. Wenn Sie Audit-Logs zum Datenzugriff verwenden möchten, müssen Sie Ihre eigene benutzerdefinierte Erkennungslogik für bestimmte Aktivitäten wie Super Admin-Anmeldungen einrichten.

Audit-Logs zum Datenzugriff können sehr groß sein. Durch Aktivieren von Datenzugriffslogs können Gebühren für die zusätzliche Lognutzung im Google Cloud -Projekt anfallen.
Entsprechende Produkte
  • Cloud-Audit-Logs
Zugehörige NIST-800-53-Kontrollen
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Zugehörige CRI-Profileinstellungen
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Weitere Informationen

Abrechnungsbenachrichtigungen konfigurieren

Google-Einstellungs-ID CB-CO-6.1
Implementierung Empfohlen
Beschreibung

Sie können Cloud Billing-Budgets erstellen, um alle Google Cloud -Gebühren zentral zu überwachen. Damit verhindern Sie, dass Ihre Kosten den Rahmen sprengen. Nachdem Sie einen Budgetbetrag festgelegt haben, legen Sie projektbezogene Schwellenwertregelungen für die Budgetbenachrichtigungen fest, die zum Auslösen von E-Mail-Benachrichtigungen verwendet werden. Mithilfe dieser Benachrichtigungen können Sie Ihre Ausgaben im Verhältnis zu Ihrem Budget im Blick behalten. Mit Cloud Billing-Budgets können Sie auch die Antworten zur Kostenkontrolle automatisieren.
Entsprechende Produkte
  • Cloud Billing
Zugehörige NIST-800-53-Kontrollen
  • SI-4
  • SI-5
Zugehörige CRI-Profileinstellungen
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
  • ID.RA-1.1
  • ID.RA-2.1
  • ID.RA-3.1
  • ID.RA-3.2
  • ID.RA-3.3
Weitere Informationen

Access Transparency-Logs aktivieren

Google-Einstellungs-ID COM-CO-7.7
Implementierung Optional
Beschreibung

In Standard-Logs sehen Sie, was die Nutzer Ihrer Organisation tun. In Access Transparency-Logs sehen Sie, was Google-Supportmitarbeiter tun, wenn sie auf das Konto zugreifen. Dieser Zugriff erfolgt in der Regel nur als Reaktion auf eine Supportanfrage. Access Transparency-Logs bieten einen vollständigen und überprüfbaren Audit-Trail für alle Zugriffe, was für die Einhaltung strenger Compliance- und Data Governance-Anforderungen unerlässlich ist.

Sie können Access Transparency auf Organisationsebene aktivieren.
Entsprechende Produkte
  • Access Transparency
Zugehörige NIST-800-53-Kontrollen
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Zugehörige CRI-Profileinstellungen
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Weitere Informationen

Abrechnungsdaten für detaillierte Analysen exportieren

Google-Einstellungs-ID CB-CO-6.2
Implementierung Optional
Beschreibung

Für weitere Abrechnungsanalysen können Sie Google Cloud Abrechnungsdaten in BigQuery oder eine JSON-Datei exportieren. Sie können beispielsweise detaillierte Daten wie Nutzung, Kostenschätzungen und Preise den ganzen Tag automatisch in ein von Ihnen festgelegtes BigQuery-Dataset exportieren. Anschließend haben Sie die Möglichkeit, über BigQuery auf Ihre Cloud Billing-Daten zuzugreifen und eine detaillierte Analyse auszuführen oder mit einem Tool wie Data Studio Daten zu visualisieren.
Entsprechende Produkte
  • BigQuery Data Transfer Service
  • BigQuery
  • Cloud Billing
Zugehörige NIST-800-53-Kontrollen
  • SI-4
  • SI-5
Zugehörige CRI-Profileinstellungen
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
  • ID.RA-1.1
  • ID.RA-2.1
  • ID.RA-3.1
  • ID.RA-3.2
  • ID.RA-3.3
Weitere Informationen

Schlüssel- und Secret-Verwaltung

Dieser Abschnitt enthält die Best Practices und Richtlinien für Cloud Key Management Service und Secret Manager beim Ausführen generativer KI-Arbeitslasten aufGoogle Cloud.

Ruhende Daten in Google Cloudverschlüsseln

Google-Einstellungs-ID COM-CO-2.1
Implementierung Erforderlich (Standardeinstellung)
Beschreibung

Alle Daten in Google Cloud werden standardmäßig mit NIST-genehmigten Algorithmen verschlüsselt.
Entsprechende Produkte
  • Google Cloud Standard
Zugehörige NIST-800-53-Kontrollen
  • SC-28
Zugehörige CRI-Profileinstellungen
  • PR.DS-1.1
  • PR.DS-1.2
Weitere Informationen

NIST-genehmigte Algorithmen für die Ver- und Entschlüsselung verwenden

Google-Einstellungs-ID COM-CO-2.4
Implementierung Erforderlich
Beschreibung

Achten Sie darauf, dass im Cloud Key Management Service (Cloud KMS) nur von NIST genehmigte Algorithmen zum Speichern vertraulicher Schlüssel in der Umgebung verwendet werden. Diese Steuerung sorgt für eine sichere Schlüsselverwendung, indem nur NIST-genehmigte Algorithmen und Sicherheitsmaßnahmen verwendet werden. Das Feld CryptoKeyVersionAlgorithm ist eine bereitgestellte Zulassungsliste.

Entfernen Sie Algorithmen, die nicht den Richtlinien Ihrer Organisation entsprechen.
Entsprechende Produkte
  • Cloud KMS
Pfad cloudkms.projects.locations.keyRings.cryptoKeys/versionTemplate.algorithm
Operator in
Wert
  • RSA_SIGN_PSS_2048_SHA256
  • RSA_SIGN_PSS_3072_SHA256
  • RSA_SIGN_PSS_4096_SHA256
  • RSA_DECRYPT_OAEP_2048_SHA256
  • RSA_DECRYPT_OAEP_4096_SHA256
  • RSA_DECRYPT_OAEP_2048_SHA1
  • RSA_DECRYPT_OAEP_4096_SHA1
Typ String
Zugehörige NIST-800-53-Kontrollen
  • SC-12
  • SC-13
Zugehörige CRI-Profileinstellungen
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Weitere Informationen

Zweck für Cloud KMS-Schlüssel festlegen

Google-Einstellungs-ID COM-CO-2.5
Implementierung Erforderlich
Beschreibung

Legen Sie den Zweck für Cloud KMS-Schlüssel auf ENCRYPT_DECRYPT fest, damit Schlüssel nur zum Ver- und Entschlüsseln von Daten verwendet werden. Diese Steuerung blockiert andere Funktionen wie das Signieren und sorgt dafür, dass Schlüssel nur für den vorgesehenen Zweck verwendet werden. Wenn Sie Schlüssel für andere Funktionen verwenden, sollten Sie diese Anwendungsfälle validieren und in Erwägung ziehen, zusätzliche Schlüssel zu erstellen.
Entsprechende Produkte
  • Cloud KMS
Pfad cloudkms.projects.locations.keyRings.cryptoKeys/purpose
Operator ==
Wert
  • ENCRYPT_DECRYPT
Typ String
Zugehörige NIST-800-53-Kontrollen
  • SC-12
  • SC-13
Zugehörige CRI-Profileinstellungen
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Weitere Informationen

Sorgen Sie dafür, dass die CMEK-Einstellungen für sichere BigQuery-Data-Warehouses geeignet sind

Google-Einstellungs-ID COM-CO-2.6
Implementierung Erforderlich
Beschreibung

Das Schutzniveau gibt an, wie kryptografische Vorgänge ausgeführt werden. Nachdem Sie einen kundenverwalteten Verschlüsselungsschlüssel (CMEK) erstellt haben, können Sie das Schutzniveau nicht mehr ändern. Folgende Schutzniveaus werden unterstützt:

  • SOFTWARE:Kryptografische Vorgänge werden in Software ausgeführt.
  • HSM:Kryptografische Vorgänge werden in einem Hardware-Sicherheitsmodul (HSM) ausgeführt.
  • EXTERN:Kryptografische Vorgänge werden mit einem Schlüssel ausgeführt, der in einem externen Schlüsselverwaltungssystem gespeichert ist, das über das Internet mit Google Cloud verbunden ist. Auf symmetrische Verschlüsselung und asymmetrische Signierung beschränkt.
  • EXTERNAL_VPC::Kryptografische Vorgänge werden mit einem Schlüssel ausgeführt, der in einem externen Schlüsselverwaltungssystem gespeichert ist, das über ein VPC-Netzwerk (Virtual Private Cloud) mit Google Cloud verbunden ist. Auf symmetrische Verschlüsselung und asymmetrische Signierung beschränkt.
Entsprechende Produkte
  • Cloud KMS
  • BigQuery
Pfad cloudkms.projects.locations.keyRings.cryptoKeys/primary.protectionLevel
Operator in
Wert
  • []
Typ String
Zugehörige NIST-800-53-Kontrollen
  • SC-12
  • SC-13
Zugehörige CRI-Profileinstellungen
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Weitere Informationen

Verschlüsselungsschlüssel alle 90 Tage rotieren

Google-Einstellungs-ID COM-CO-2.7
Implementierung Erforderlich
Beschreibung

Achten Sie darauf, dass der Rotationszeitraum Ihrer Cloud KMS-Schlüssel auf 90 Tage festgelegt ist. Es empfiehlt sich, Ihre Sicherheitsschlüssel in regelmäßigen Abständen zu rotieren. Mit dieser Steuerung wird die Schlüsselrotation für Schlüssel erzwungen, die mit HSM-Diensten erstellt werden.

Wenn Sie diesen Rotationszeitraum erstellen, sollten Sie auch geeignete Richtlinien und Verfahren für die sichere Erstellung, Löschung und Änderung von Schlüsselmaterial erstellen, damit Sie Ihre Informationen schützen und die Verfügbarkeit sicherstellen können. Achten Sie darauf, dass dieser Zeitraum den Unternehmensrichtlinien für die Schlüsselrotation entspricht.
Entsprechende Produkte
  • Cloud KMS
Pfad cloudkms.projects.locations.keyRings.cryptoKeys/rotationPeriod
Operator <=
Wert
  • 90
Typ int32
Zugehörige NIST-800-53-Kontrollen
  • SC-12
  • SC-13
Zugehörige CRI-Profileinstellungen
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Weitere Informationen

Automatische Secret-Rotation einrichten

Google-Einstellungs-ID SM-CO-6.2
Implementierung Erforderlich
Beschreibung
Rotieren Sie Secrets automatisch und halten Sie Notfallrotationsverfahren im Fall eines Übergriffs bereit.
Entsprechende Produkte
  • Secret Manager
Zugehörige NIST-800-53-Kontrollen
  • SC-12
  • SC-13
Zugehörige CRI-Profileinstellungen
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Weitere Informationen

CMEK für Pub/Sub-Nachrichten verwenden

Google-Einstellungs-ID PS-CO-6.1
Implementierung Empfohlen
Beschreibung
Wenn Sie kundenverwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEK) für Pub/Sub aktivieren, haben Sie mehr Kontrolle über die Verschlüsselungsschlüssel, die Pub/Sub zum Schutz Ihrer Nachrichten verwendet. Auf der Anwendungsebene verschlüsselt Pub/Sub eingehende Nachrichten einzeln, sobald sie empfangen werden. Bevor Pub/Sub Nachrichten für ein Abo veröffentlicht, werden sie mit dem neuesten Datenverschlüsselungsschlüssel (Data Encryption Key, DEK) verschlüsselt, der für das Thema generiert wurde. Pub/Sub entschlüsselt die Nachrichten kurz vor der Zustellung an Abonnenten. Pub/Sub verwendet ein Google Cloud -Dienstkonto für den Zugriff auf Cloud Key Management Service. Das Dienstkonto wird für jedes Projekt intern von Pub/Sub verwaltet und ist in Ihrer Liste der Dienstkonten nicht sichtbar.
Entsprechende Produkte
  • Cloud KMS
  • Pub/Sub
Zugehörige NIST-800-53-Kontrollen
  • SC-12
  • SC-13
Zugehörige CRI-Profileinstellungen
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Weitere Informationen

Speicherort von kundenverwalteten Verschlüsselungsschlüsseln einschränken

Google-Einstellungs-ID COM-CO-2.2
Implementierung Empfohlen
Beschreibung

Mit der Einschränkung für Organisationsrichtlinien Einschränken, welche Projekte KMS-CryptoKeys für CMEK bereitstellen können (gcp.restrictCmekCryptoKeyProjects) können Sie definieren, in welchen Projekten kundenverwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEKs) gespeichert werden können. Mit dieser Einschränkung können Sie die Verwaltung von Verschlüsselungsschlüsseln zentralisieren. Wenn ein ausgewählter Schlüssel diese Einschränkung nicht erfüllt, schlägt die Ressourcenerstellung fehl.

Zum Ändern dieser Einschränkung benötigen Administratoren die IAM-Rolle Administrator für Organisationsrichtlinien (roles/orgpolicy.policyAdmin).

Wenn Sie eine zweite Schutzebene hinzufügen möchten, z. B. „Bring Your Own Key“, ändern Sie diese Beschränkung so, dass sie die Schlüsselnamen des aktivierten CMEK enthält.

Produktspezifische Informationen:

  • In der Gemini Enterprise Agent Platform speichern Sie Ihre Schlüssel im Projekt KEY PROJECTS.
Entsprechende Produkte
  • Cloud KMS
  • Unternehmensrichtlinien
Pfad constraints/gcp.restrictCmekCryptoKeyProjects
Operator notexists
Wert
  • KEY PROJECTS
Typ String
Zugehörige NIST-800-53-Kontrollen
  • SC-12
  • SC-13
Zugehörige CRI-Profileinstellungen
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Weitere Informationen

CMEK für Google Cloud -Dienste verwenden

Google-Einstellungs-ID COM-CO-2.3
Implementierung Empfohlen
Beschreibung

Wenn Sie mehr Kontrolle über Schlüsselvorgänge benötigen, als Google-owned and Google-managed encryption keys zulässt, können Sie kundenverwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEKs) verwenden. Diese Schlüssel werden mit Cloud KMS erstellt und verwaltet. Speichern Sie die Schlüssel als Softwareschlüssel, in einem HSM-Cluster oder in einem externen Schlüsselverwaltungssystem.

Verschlüsselungs- und Entschlüsselungsraten für Cloud KMS unterliegen Kontingenten.

Cloud Storage-Besonderheiten

In Cloud Storage können Sie CMEKs für einzelne Objekte verwenden oder Ihre Cloud Storage-Buckets so konfigurieren, dass ein CMEK standardmäßig für alle neuen Objekte verwendet wird, die einem Bucket hinzugefügt werden. Wenn Sie einen vom Kunden verwalteten Verschlüsselungsschlüssel verwenden, wird ein Objekt von Cloud Storage zum Zeitpunkt der Speicherung in einem Bucket mit dem Schlüssel verschlüsselt. Das Objekt wird während der Speicherung automatisch von Cloud Storage entschlüsselt, wenn es für Anfragende bereitgestellt wird.

Bei der Verwendung von CMEKs mit Cloud Storage gelten die folgenden Einschränkungen:

  • Sie können ein Objekt nicht mit einem CMEK verschlüsseln, indem Sie seine Metadaten aktualisieren. Fügen Sie den Schlüssel stattdessen hinzu, während Sie das Objekt neu schreiben.
  • Cloud Storage verwendet den Befehl zum Aktualisieren von Objekten, um Verschlüsselungsschlüssel für Objekte festzulegen, aber der Befehl schreibt das Objekt als Teil der Anfrage neu.
  • Sie müssen den Cloud KMS-Schlüsselbund am selben Ort wie die Daten erstellen, die Sie verschlüsseln möchten. Wenn sich Ihr Bucket beispielsweise in us-east1 befindet, muss jeder Schlüsselbund, der zum Verschlüsseln von Objekten in diesem Bucket verwendet wird, ebenfalls in us-east1 erstellt werden.
  • Für die meisten Dual-Regionen müssen Sie den Cloud KMS-Schlüsselbund in der zugehörigen Multiregion erstellen. Wenn sich Ihr Bucket beispielsweise im Paar us-east1, us-west1 befindet, muss jeder Schlüsselbund, der zum Verschlüsseln von Objekten in diesem Bucket verwendet wird, in der Multiregion USA erstellt werden.
  • Für die vordefinierten Dual-Regionen asia1, eur4 und nam4 müssen Sie den Schlüsselbund in derselben vordefinierten Dual-Region erstellen.
  • Die CRC32C-Prüfsumme und der MD5-Hash von Objekten, die mit CMEKs verschlüsselt sind, werden nicht zurückgegeben, wenn Objekte mit der JSON API aufgelistet werden.
  • Wenn Sie Tools wie Cloud Storage verwenden, um zusätzliche Metadatenanfragen GET für jedes Verschlüsselungsobjekt auszuführen, um die CRC32C- und MD5-Informationen abzurufen, kann die Auflistung wesentlich kürzer sein. Cloud Storage kann den Entschlüsselungsabschnitt von asymmetrischen Schlüsseln, die in Cloud KMS gespeichert sind, nicht verwenden, um relevante Objekte automatisch auf dieselbe Weise zu entschlüsseln wie CMEKs.
Entsprechende Produkte
  • Cloud KMS
  • Unternehmensrichtlinien
  • Cloud Storage
Pfad constraints/gcp.restrictNonCmekServices
Operator ==
Wert
  • bigquery.googleapis.com
  • storage.googleapis.com
  • aiplatform.googleapis.com
Typ String
Zugehörige NIST-800-53-Kontrollen
  • SC-12
  • SC-13
Zugehörige CRI-Profileinstellungen
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Weitere Informationen

Secrets automatisch replizieren

Google-Einstellungs-ID SM-CO-6.1
Implementierung Empfohlen
Beschreibung
Wählen Sie die automatische Replikationsrichtlinie aus, um Ihre Secrets zu replizieren, es sei denn, Ihre Arbeitslast hat bestimmte Standortanforderungen. Die automatische Richtlinie erfüllt die Verfügbarkeits- und Leistungsanforderungen der meisten Arbeitslasten. Wenn Ihre Arbeitslast bestimmte Standortanforderungen hat, können Sie mit der API die Standorte für die Replikationsrichtlinie auswählen, wenn Sie das Secret erstellen.
Entsprechende Produkte
  • Secret Manager
Zugehörige NIST-800-53-Kontrollen
  • SC-12
  • SC-13
Zugehörige CRI-Profileinstellungen
  • PR.DS-1.1
  • PR.DS-1.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
Weitere Informationen

Sicherheitsstatus und Analysen

Dieses Dokument enthält die Best Practices und Richtlinien für Security Command Center beim Ausführen von generativen KI-Arbeitslasten auf Google Cloud.

Security Command Center auf Organisationsebene aktivieren

Google-Einstellungs-ID SCC-CO-6.1
Implementierung Erforderlich
Beschreibung
Aktivieren Sie Security Command Center auf Organisationsebene, um zusätzliche Konfigurationen zu vermeiden. Wenn Sie Security Command Center nicht verwenden möchten, müssen Sie eine andere Lösung für das Statusmanagement aktivieren.
Entsprechende Produkte
  • Security Command Center
Zugehörige NIST-800-53-Kontrollen
  • SI-4
  • SI-5
Zugehörige CRI-Profileinstellungen
  • PR.DS-5.1
  • PR.DS-8.1
  • ID.RA-1.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
  • DE.CM-5.1
  • DE.CM-6.1
  • DE.CM-6.2
  • DE.CM-6.3
  • DE.CM-7.1
  • DE.CM-7.2
  • DE.CM-7.3
  • DE.CM-7.4
  • DE.DP-2.1
  • DE.DP-3.1
  • DE.DP-4.1
  • DE.DP-4.2
  • DE.DP-5.1
  • DE.AE-2.1
  • DE.AE-3.1
  • DE.AE-3.2
  • DE.AE-4.1
  • ID.RA-1.1
  • ID.RA-2.1
  • ID.RA-3.1
  • ID.RA-3.2
  • ID.RA-3.3
Weitere Informationen

Benachrichtigungen über Security Command Center konfigurieren

Google-Einstellungs-ID SCC-CO-7.1
Implementierung Empfohlen
Beschreibung
Benachrichtigungen aus dem Security Command Center geben Ihnen Einblick in Ihre Organisation und informieren Sie über Probleme mit Ihren Google Cloud -Diensten, damit Sie entsprechende Maßnahmen ergreifen können. Sie können in Cloud Logging Benachrichtigungen einrichten, um Benachrichtigungen zu Fehlern zu erhalten, die mit dem Security Command Center-Dienst-Agent (service-org-ORGANIZATION_NUMBER@security-center-api.iam.gserviceaccount.com) zusammenhängen.
Entsprechende Produkte
  • Security Command Center
  • Logging
Zugehörige NIST-800-53-Kontrollen
  • AU-2
  • AU-3
  • AU-8
  • AU-9
Zugehörige CRI-Profileinstellungen
  • DM.ED-7.1
  • DM.ED-7.2
  • DM.ED-7.3
  • DM.ED-7.4
  • PR.IP-1.4
Weitere Informationen

Nächste Schritte