Artifact Guard – Übersicht

Vorschau

Diese Funktion unterliegt den „Bedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA‑Funktionen stehen in der vorliegenden Form zur Verfügung und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie unter den Beschreibungen der Startphase.

Dienststufen für Premium und Enterprise (eingestellt)

Die Dienststufe „Security Command Center Enterprise“ wird am 21. Mai 2027 eingestellt. Wenn Ihre Organisation die Dienststufe „Enterprise“ verwendet, wird sie am oder nach dem 21. Mai 2027 automatisch auf die Dienststufe „Premium“ umgestellt. Bei Fragen wenden Sie sich an Ihren Kundenbetreuer oder einen Google Cloud Vertriebsspezialisten.

Artifact Guard ist ein Sicherheitsdienst, der Sicherheitslücken in Container-Images erkennt und verwaltet. Er bewertet Container-Images anhand konfigurierbarer Sicherheitsrichtlinien während der Build-Generierung, der Registrierungsspeicherung und der Laufzeitausführung.

Hauptmerkmale

Artifact Guard erzwingt Richtlinien zu Sicherheitslücken in drei Hauptphasen des Containerlebenszyklus:

• Scannen zur Build-Zeit: Wird direkt in CI/CD-Plattformen (z. B. Cloud Build, GitHub Actions und Jenkins) integriert, um Container während des Builds zu scannen. Wenn ein Image gegen Ihre Sicherheitsrichtlinie verstößt, schlägt der Build fehl, bevor das Image veröffentlicht werden kann.
• Zulassungssteuerung für Registrierungen: Bewertet in Artifact Registry gespeicherte Images. Mit der Binärautorisierung verhindert Artifact Guard, dass nicht konforme Images in Google Kubernetes Engine-Clustern (GKE) bereitgestellt werden.
• Laufzeitüberwachung: Überwacht kontinuierlich ausgeführte Container in GKE-Clustern auf neu bekannt gewordene Sicherheitslücken und ergänzt die Ergebnisse in Security Command Center.

Erzwingung von Sicherheitsrichtlinien

Mit Artifact Guard können Sie zentralisierte Richtlinien zu Sicherheitslücken definieren, die Ihre Umgebung schützen. Dazu werden folgende Maßnahmen ausgeführt:

• Frühes Blockieren von Artefakten mit Sicherheitslücken: Verhindert, dass Entwickler Container-Images hochladen, die Sicherheitslücken enthalten, die den von Ihnen angegebenen Schweregrad überschreiten (z. B. Blockieren von Images mit HIGH oder CRITICALSicherheitslücken).
• Einschränken bestimmter Pakete und CVEs: Sie können bestimmte Softwarepakete, Paketversionen oder gängige Sicherheitslücken (Common Vulnerabilities and Exposures, CVEs) explizit zulassen oder ablehnen.
• Ausnahmen verwalten: Bietet Kulanzzeiten für bestimmte CVEs, damit Teams die Bereitstellung fortsetzen können, während Fehlerkorrekturen entwickelt werden, ohne die Sicherheit dauerhaft zu beeinträchtigen.
• Zentralisieren von Sicherheitsergebnissen: Kombiniert Scanergebnisse aus CI/CD Pipelines, Artefaktregistrierungen und ausgeführten GKE-Clustern in einer einzigen Ansicht in Security Command Center.

Zielrollen und ‑zuständigkeiten

Artifact Guard wurde für die folgenden Teams entwickelt:

• Sicherheitsadministratoren: Definieren und verwalten zentralisierte Richtlinien zu Sicherheitslücken.
• DevOps- oder Plattformtechnikteams: Fügen Sie CI/CD-Scankonnektoren zu Build-Pipelines hinzu und konfigurieren Sie GKE-Zulassungscontroller.
• Anwendungsentwickler: Sehen Sie sich Build-Fehlerprotokolle an, um Sicherheitslücken zu identifizieren und zu beheben, bevor Sie die Bereitstellung wiederholen.

Wichtige Begriffe und Konzepte

• Common Vulnerabilities and Exposures (CVE): Eine öffentlich bekannt gewordene Computersicherheitslücke, der eine eindeutige ID zugewiesen ist.
• Software-Materialliste (Software Bill of Materials, SBOM): Eine maschinenlesbare Liste von Softwarekomponenten und ‑abhängigkeiten, mit der CVEs und andere Sicherheits risiken identifiziert werden können.
• Artefakt: Im Kontext von Artifact Guard ein Container Image, das von einer CI/CD-Pipeline erstellt oder in einer Container-Registry gespeichert wird.

Allgemeiner Workflow

Artifact Guard-Richtlinien gelten für drei verschiedene Bereiche:

• CI/CD-Plattform: Cloud Build, GitHub Actions- oder Jenkins-Pipelines.
• Registry: Artifact Registry-Repositories.
• Laufzeit: GKE-Cluster.

Führen Sie den folgenden Workflow aus, um Ihre Umgebung zu schützen:

1. Wenn Sie eine Richtlinie für eine CI/CD-Pipeline erstellen möchten, erstellen Sie mit der CI/CD-Integration eine Verbindung zu Ihrer CI/CD Umgebung. Für Repositories oder GKE-Cluster definieren Sie den Richtlinienbereich nativ während der Richtlinienkonfiguration.

2. Konfigurieren Sie Artifact Guard-Richtlinien für Ihre Zielbereiche (Pipeline, Registry oder Laufzeit).

3. Führen Sie Auswertungen anhand Ihrer Richtlinien aus:

   • Pipeline: Wenn ein CI/CD-Build ausgeführt wird, wird das Container-Image beim Scannen zur Build-Zeit anhand Ihrer Richtlinie bewertet. Wenn das Image gegen Ihre Sicherheitsrichtlinie verstößt, schlägt der Build fehl, bevor das Image veröffentlicht werden kann. Entwickler können die Fehlerdetails in den Build-Logs prüfen und ihre Abhängigkeiten aktualisieren.
   • Registry: Bei der Bereitstellung eines in Artifact Registry gespeicherten Images verwendet die Zulassungssteuerung für Registrierungen die Binärautorisierung, um die Richtlinie zu bewerten und zu verhindern, dass nicht konforme Images in GKE-Clustern bereitgestellt werden.
   • Laufzeit: Das Laufzeit-Monitoring bewertet kontinuierlich ausgeführte Container in GKE-Clustern auf neu bekannt gewordene Sicherheitslücken und ergänzt die Ergebnisse in Security Command Center für Richtlinienverstöße.

Nächste Schritte

Informationen zum Konfigurieren von Artifact Guard-Richtlinien