Artifact Guard の概要

プレビュー

この機能は、サービス固有規約の「一般サービス規約」セクションの「一般提供前のサービス規約」の対象となります。pre-GA の機能は「現状のまま」で提供されるものであり、サポートが制限されることがあります。 詳細については、 リリース ステージの説明をご覧ください。

Premium と Enterprise（非推奨）のサービスティア

Security Command Center Enterprise サービスティアは、2027 年 5 月 21 日にシャットダウンします。 組織で Enterprise サービスティアを使用している場合、2027 年 5 月 21 日以降に組織は Premium サービスティアに自動的に 移行します。 ご不明な点がございましたら、アカウント担当者または Google Cloud セールス スペシャリスト にお問い合わせください。

Security Command Center のアーティファクト保護は、開発ライフサイクル全体で脆弱性を特定することで、アプリケーション開発プロセスにセキュリティ レイヤを追加します。

Artifact Guard には次のような機能とメリットがあります。

• きめ細かいポリシー管理: 脆弱性 の種類に基づいて正確なルールを定義し、柔軟な例外オプションを使用できます。
• ビルド時のポリシー適用: セキュリティ チェックを Artifact Registry と継続的インテグレーション/継続的デリバリー（CI/CD）パイプライン に直接統合して、デプロイ前に安全でないイメージを停止します。
• 高度なランタイム適用: リアルタイム スキャンとセキュリティ ポスチャーの 完全な概要を利用できます。
• 統合された「コードからクラウド」までのセキュリティ グラフ: ビルド時間、Artifact Analysis、ランタイム スキャンのデータを関連付けて、セキュリティ検出結果を包括的に把握できます。

概要

CI/CD パイプラインとデプロイ環境では、非準拠のイメージをブロックまたは監査するための自動適用が不足していることがよくあります。アプリケーションを保護するには、ビルドとデプロイの両方のステージでポリシーを一貫して適用する必要があります。

強力なポリシー フレームワークは、次の点で役立ちます。

• サプライ チェーン攻撃: プロアクティブなポリシーにより、脅威を早期に軽減し、 侵害されたイメージがアプリケーションに影響を与えないようにします。
• コンプライアンスとガバナンス: 認証情報の漏洩の防止、脆弱な ライブラリのブロック、安全なコンテナ構成の維持などのベスト プラクティスを適用して、規制要件を満たします。
• デベロッパーの負担を軽減: セキュリティを 開発ライフサイクルにシームレスに統合し、イノベーションを妨げることなく保護を強化します。
• ランタイム リスク: 継続的なランタイム スキャンにより、デプロイ後でも新しい脆弱性を検出し、継続的な保護を提供します。

Artifact Guard は、アーティファクトのライフサイクル全体にわたってアーティファクトの脆弱性やその他の検出結果を管理するための統合セキュリティ フレームワークを提供します。このフレームワークにより、さまざまなステージで詳細なアドミッション コントロールが可能になり、検証済みのアーティファクトのみが昇格されます。

Artifact Guard には、Artifact Registry や Google Kubernetes Engine（GKE）などの主要サービスとの統合が組み込まれています。ポリシーは Google セキュリティ ベースライン ポリシーに含めて App Hub と統合することもできるため、チームはアプリケーション設計センターからセキュリティ標準を直接適用できます。この機能により、アーティファクト保護は 組織ポリシー サービス フレームワーク内で強力な制約として機能し、 Google Cloud 大規模なセキュリティ ガバナンスの一貫性を確保できます。

オーディエンス

アーティファクト保護は、次の関係者のタスクに役立ちます。

• セキュリティ管理者: セキュリティ ポリシーを定義して適用します。
• DevOps チームまたはプラットフォーム エンジニアリング チーム: アーティファクト保護を既存のビルド パイプラインとデプロイ パイプラインに統合します。
• アプリケーション デベロッパー: アーティファクト保護の分析情報を使用して、コード内のセキュリティの脆弱性を修正します。

主な用語と概念

• 共通脆弱性識別子（CVE）: 公開されている コンピュータ セキュリティの脆弱性で、一意の識別子が割り当てられています。これらの識別子は、修正のための脆弱性の追跡に役立ちます。
• ソフトウェア部品構成表（SBOM）: ソフトウェア コンポーネントと依存関係の機械可読なインベントリ。SBOM には、各コンポーネントのバージョン、オリジン、その他の関連情報が含まれます。SBOM を使用して、CVE やその他のセキュリティ リスクを特定できます。
• アーティファクト: ビルドプロセス中に作成されたデータやアイテムなど、ソフトウェア開発のバージョン管理された検証済みの出力。

大まかなワークフロー

1. アーティファクト保護は、次の 3 種類のポリシー スコープをサポートしています。

   • CI/CD プラットフォーム: Cloud Build、 GitHub Actions、Jenkins パイプライン
   • レジストリ: GKE クラスタ
   • ランタイム: GKE クラスタ

   CI/CD プラットフォーム スコープを使用する場合は、CI/CD 統合を使用して CI/CD 環境へのコネクタを作成できます。

2. アーティファクト保護ポリシーを構成します。ポリシーには、サポートされているスコープを含めることができます。

3. ポリシーに対して評価が実行されます。評価中に、イメージがビルドされ、ポリシーに照らして評価されます。ポリシーが失敗すると、ビルドが失敗します。DevOps エンジニアまたはアプリケーション エンジニアは、失敗の詳細を確認して、必要な修正をデプロイできます。

次のステップ

• アーティファクト保護ポリシーを構成する方法を学習する。