Cloud Storage 擴充版預先定義的姿勢範本

Premium 和 Enterprise (已淘汰) 服務級別 (須在組織層級啟用)

Security Command Center Enterprise 服務級別將於 2027 年 5 月 21 日停用。 如果貴組織使用的是 Enterprise 服務級別，則會在 2027 年 5 月 21 日當天或之後自動移至 Premium 服務級別。如有任何問題，請與您的帳戶代表或 Google Cloud 銷售專員聯絡。

Cloud Storage 擴充版 v1.0 預先定義防護機制範本可讓您設定資安態勢。這項設定可透過預防和偵測政策，保護 Cloud Storage 資源。這個範本包含兩組適用於 Cloud Storage 的政策：組織政策限制和安全狀態分析偵測工具。

部署這個範本前，您必須自訂部分政策，以便套用至您的環境。

組織政策限制

下表說明這個安全防護機制包含的組織政策。

政策	說明	法規遵循標準
storage.publicAccessPrevention	這項政策可防止 Cloud Storage bucket 開放未經驗證的公開存取權。 值為 true，可防止公開存取 bucket。	NIST SP 800-53 控管措施：AC-3、AC-17 和 AC-20
storage.uniformBucketLevelAccess	這項政策會禁止 Cloud Storage bucket 使用個別物件 ACL (與 IAM 政策不同的系統) 提供存取權，強制執行一致的存取權管理和稽核。 值為 true，用於強制執行統一 bucket 層級存取權。	NIST SP 800-53 控管措施：AC-3、AC-17 和 AC-20
storage.retentionPolicySeconds	這項限制定義了值區資料保留政策的時間長度 (以秒為單位)。 採用這個預先定義的安全防護機制範本時，必須設定這個值。	NIST SP 800-53 控制措施：SI-12

安全狀態分析偵測工具

下表說明預先定義防護機制範本中包含的安全狀態分析偵測工具。如要進一步瞭解這些偵測工具，請參閱「安全漏洞發現項目」。

偵測工具名稱	說明
BUCKET_LOGGING_DISABLED	這項偵測工具會檢查是否有未啟用記錄功能的儲存空間 bucket。
LOCKED_RETENTION_POLICY_NOT_SET	這項偵測工具會檢查記錄是否設有鎖定的保留政策。
OBJECT_VERSIONING_DISABLED	這項偵測工具會檢查含有接收器的 Storage bucket 是否啟用物件版本管理功能。
BUCKET_CMEK_DISABLED	這項偵測工具會檢查 bucket 是否使用客戶自行管理的加密金鑰 (CMEK) 加密。
BUCKET_POLICY_ONLY_DISABLED	這項偵測工具會檢查是否已設定統一 bucket 層級存取權。
PUBLIC_BUCKET_ACL	這項偵測工具會檢查 bucket 是否可公開存取。
PUBLIC_LOG_BUCKET	這項偵測工具會檢查含有記錄檔接收器的 bucket 是否可公開存取。
ORG_POLICY_LOCATION_RESTRICTION	這項偵測工具會檢查 Compute Engine 資源是否違反 constraints/gcp.resourceLocations 限制。

查看防護機制範本

如要查看 Cloud Storage 擴充版防護機制範本，請按照下列步驟操作：

gcloud

使用下列任何指令資料前，請先替換以下項目：

• ORGANIZATION_ID：組織的數字 ID。

執行 gcloud scc posture-templates describe 指令：

Linux、macOS 或 Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/cloud_storage_extended

Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/cloud_storage_extended

Windows (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/cloud_storage_extended

回應中會包含防護機制範本。

REST

使用任何要求資料之前，請先修改下列項目的值：

• ORGANIZATION_ID：組織的數字 ID。

HTTP 方法和網址：

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/cloud_storage_extended

請展開以下其中一個選項，以傳送要求：

curl (Linux、macOS 或 Cloud Shell)

注意：下列指令假設您已執行 gcloud init 或 gcloud auth login，透過使用者帳戶登入 gcloud CLI，或已使用 Cloud Shell 自動登入 gcloud CLI。您可以執行 gcloud auth list，查看目前使用的帳戶。

執行下列指令：

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/cloud_storage_extended"

PowerShell (Windows)

注意：下列指令假設您已執行 gcloud init 或 gcloud auth login，透過使用者帳戶登入 gcloud CLI。您可以執行 gcloud auth list，查看目前使用的帳戶。

執行下列指令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/cloud_storage_extended" | Select-Object -Expand Content

回應中會包含防護機制範本。

後續步驟

• 使用這個預先定義的安全防護機制範本建立安全防護機制。