Ringkasan perlindungan artefak

Pratinjau

Fitur ini tunduk pada "Persyaratan Penawaran Pra-GA" di bagian Persyaratan Layanan Umum dari Persyaratan Khusus Layanan. Fitur pra-GA tersedia "sebagaimana adanya" dan mungkin memiliki dukungan terbatas. Untuk mengetahui informasi selengkapnya, lihat deskripsi tahap peluncuran.

Tingkat layanan Premium dan Enterprise (Tidak Digunakan Lagi)

Tingkat layanan Security Command Center Enterprise akan dihentikan pada 21 Mei 2027. Jika organisasi Anda menggunakan tingkat layanan Enterprise, organisasi tersebut akan otomatis berpindah ke tingkat layanan Premium pada atau setelah 21 Mei 2027. Hubungi Account Rep atau Google Cloud spesialis penjualan jika ada pertanyaan.

Artifact Guard adalah layanan keamanan yang mendeteksi dan mengelola kerentanan image container. Alat ini mengevaluasi image container terhadap kebijakan keamanan yang dapat dikonfigurasi selama pembuatan build, penyimpanan registry, dan eksekusi runtime.

Kemampuan utama

Artifact Guard menerapkan kebijakan kerentanan di tiga tahap utama siklus proses container Anda:

• Pemindaian waktu build: Terintegrasi langsung ke dalam platform CI/CD (seperti Cloud Build, GitHub Actions, dan Jenkins) untuk memindai container saat dibangun. Jika gambar melanggar kebijakan keamanan Anda, build akan gagal sebelum gambar dapat dipublikasikan.
• Kontrol penerimaan registry: Mengevaluasi image yang disimpan di Artifact Registry. Dengan Otorisasi Biner, penjaga artefak memblokir image yang tidak mematuhi kebijakan agar tidak di-deploy ke cluster Google Kubernetes Engine (GKE).
• Pemantauan runtime: Terus memantau container yang berjalan di cluster GKE untuk mengetahui kerentanan yang baru diungkapkan dan memperkaya temuan di Security Command Center.

Penerapan kebijakan keamanan

Penjaga artefak memungkinkan Anda menentukan kebijakan kerentanan terpusat yang membantu melindungi lingkungan Anda dengan melakukan hal berikut:

• Memblokir artefak yang rentan sejak awal: Membantu mencegah developer mengirim image container yang berisi kerentanan yang melebihi nilai minimum tingkat keparahan yang Anda tentukan (misalnya, memblokir image dengan kerentanan HIGH atau CRITICAL).
• Membatasi paket dan CVE tertentu: Memungkinkan Anda mengizinkan atau menolak paket software, versi paket, atau Common Vulnerabilities and Exposures (CVE) tertentu secara eksplisit.
• Mengelola pengecualian: Memberikan masa tenggang untuk CVE tertentu sehingga tim dapat terus men-deploy saat perbaikan dikembangkan, tanpa mengorbankan keamanan secara permanen.
• Memusatkan temuan keamanan: Menggabungkan hasil pemindaian dari pipeline CI/CD, artifact registry, dan cluster GKE yang sedang berjalan ke dalam satu tampilan di Security Command Center.

Peran dan tanggung jawab target

Penjaga artefak dirancang untuk tim berikut:

• Administrator Keamanan: Menentukan dan mengelola kebijakan kerentanan terpusat.
• Tim DevOps atau Platform Engineering: Tambahkan konektor pemindaian CI/CD ke pipeline build dan konfigurasi pengontrol penerimaan GKE.
• Developer Aplikasi: Lihat log kegagalan build untuk mengidentifikasi dan memperbarui dependensi yang rentan sebelum men-deploy ulang.

Istilah dan konsep utama

• Common Vulnerabilities and Exposures (CVE): Kerentanan keamanan komputer yang diungkapkan secara publik dan diberi ID unik.
• Software Bill of Materials (SBOM): Inventaris komponen dan dependensi software yang dapat dibaca mesin yang digunakan untuk mengidentifikasi CVE dan risiko keamanan lainnya.
• Artefak: Dalam konteks perlindungan artefak, image container yang dibangun oleh pipeline CI/CD atau disimpan di container registry.

Alur kerja tingkat tinggi

Kebijakan perlindungan artefak berlaku untuk tiga cakupan yang berbeda:

• Platform CI/CD: Pipeline Cloud Build, GitHub Actions, atau Jenkins.
• Registry: Repositori Artifact Registry.
• Runtime: Cluster GKE.

Untuk melindungi lingkungan Anda, selesaikan alur kerja berikut:

1. Untuk membuat kebijakan untuk pipeline CI/CD, buat konektor ke lingkungan CI/CD menggunakan integrasi CI/CD. Untuk repositori atau cluster GKE, Anda menentukan cakupan kebijakan secara native selama konfigurasi kebijakan.

2. Konfigurasi kebijakan perlindungan artefak untuk cakupan target Anda (pipeline, registry, atau runtime).

3. Menjalankan evaluasi terhadap kebijakan Anda:

   • Pipeline: Saat build CI/CD berjalan, pemindaian waktu build mengevaluasi image container berdasarkan kebijakan Anda. Jika gambar melanggar kebijakan keamanan Anda, build akan gagal sebelum gambar dapat dipublikasikan. Developer dapat memeriksa detail kegagalan di log build dan memperbarui dependensinya.
   • Registry: Selama deployment image yang disimpan di Artifact Registry, kontrol penerimaan registry menggunakan Otorisasi Biner untuk mengevaluasi kebijakan dan memblokir image yang tidak mematuhi kebijakan agar tidak di-deploy ke cluster GKE.
   • Runtime: Pemantauan runtime terus mengevaluasi container yang berjalan di cluster GKE untuk kerentanan yang baru diungkapkan dan memperkaya temuan di Security Command Center untuk pelanggaran kebijakan.

Langkah berikutnya

Pelajari cara mengonfigurasi kebijakan perlindungan artefak.