Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Google Cloud – Referenz zu Best Practices

Workload Manager prüft den Status Ihrer Ressourcen anhand der aktuellen Best Practices und hilft Ihnen, die Qualität, Zuverlässigkeit und Leistung Ihrer Arbeitslasten zu verbessern, die auf Google Cloudausgeführt werden.

In diesem Dokument werden die Best Practices aufgeführt, die Workload Manager für die Bewertung Ihrer Arbeitslasten unterstützt, die auf Google Cloudausgeführt werden. Weitere Informationen zu Workload Manager finden Sie in der Produktübersicht.

Schweregradebenen

Wenn Sie eine Bewertung ausführen, vergleicht Workload Manager den aktuellen Status von Ressourcen mit Best Practices. Wenn eine Ressource nicht den ausgewählten Best Practices entspricht, weist Workload Manager ihr einen Schweregrad zu, der angibt, wie weit die Ressource nicht den Best Practices entspricht. In der Google Cloud -Konsole wird jede nicht konforme Ressource mit einem Symbol gekennzeichnet. In der folgenden Tabelle werden diese Symbole, die entsprechenden Schweregrade, die Auswirkungen der aktuellen Ressourceneinstellung auf Ihre Arbeitslast und Empfehlungen zum Ändern der Ressource gemäß den Best Practices erläutert.

Wichtigkeitsstufe	Auswirkungen	Empfehlung
Kritisch	Systemzuverlässigkeit, ungeplante Ausfälle, nicht unterstützte Konfiguration	Beheben Sie das Problem so schnell wie möglich, um Auswirkungen auf die Systemverfügbarkeit und Datenintegrität aufgrund eines hohen Risikos eines ungeplanten Ausfalls zu vermeiden.
Hoch	Beeinträchtigte Leistung, Systemstabilität	Das Problem wird während des nächsten geplanten Wartungsfensters behoben.
Mittel	Suboptimale Leistung, Supportfähigkeit	Bitte beheben Sie das Problem so bald wie möglich.
Niedrig	Informatives, nicht essenzielles Verhalten	Es ist zwar keine Lösung erforderlich, aber die Best Practice kann nützliche Informationen liefern.

Unterstützte Best Practices

Workload Manager unterstützt die Bewertung der folgenden Arbeitslasttypen, um sicherzustellen, dass sie den Google Cloud Best Practices entsprechen:

Google Cloud (Allgemein): Best Practices für die wichtigsten Google Cloud Dienste.
MySQL: Best Practices für die Bereitstellung von MySQL-Datenbanken.
- Allgemein
Redis: Best Practices für Redis-Bereitstellungen.
- Allgemein
SAP: Best Practices für SAP-Systeme.
SQL Server: Best Practices für die Bereitstellung von SQL Server-Datenbanken.
OpenShift: Best Practices für Red Hat OpenShift-Cluster.

In den folgenden Abschnitten werden die unterstützten Best Practices für Ihre Arbeitslasten aufgeführt, die auf Google Cloudausgeführt werden.

Insgesamt sind 627 Best-Practice-Regeln verfügbar.

Anzahl der Regeln nach Best Practices

Kategorie	Anzahl der Regeln
API-Schlüssel	4
Access Transparency	1
AlloyDB for PostgreSQL	4
Apigee X	1
Artifact Registry	1
BigQuery	10
Cloud Bigtable	3
Cloud Build	1
Cloud DNS	3
Cloud Functions	3
Cloud Key Management Service	14
Cloud Load Balancing	4
Cloud Logging	3
Cloud Pub/Sub	7
Cloud Router	6
Cloud Run	3
Cloud SQL	35
Cloud Spanner	6
Cloud Storage	20
Cloud VPN	4
Composer	1
Compute Engine	95
Dataproc	2
Filestore	5
Firestore	1
Gemini Enterprise Agent Platform	18
Gemini Enterprise Agent Platform Workbench	11
Google Kubernetes Engine	55
IAM	75
Memorystore for Memcache	2
Memorystore for Redis	8
Memorystore for Redis Cluster	3
NetApp Volumes	1
Netzwerk	5
Organisationsrichtliniendienst	58
Resource Manager	3
SecOps	1
Secret Manager	2
Security Command Center	1
Sensitive Data Protection	1
MySQL: Allgemein	7
OpenShift: Kostenoptimierung	1
OpenShift: Betriebliche Effizienz	6
OpenShift: Zuverlässigkeit	5
OpenShift: Sicherheit	6
Redis: Allgemein	7
SAP: Allgemein	14
SAP: HANA	10
SAP: HANA Insights	18
SAP: HANA Security Best Practices	19
SAP: Hochverfügbarkeit	33
SAP: NetWeaver	3
SQL Server: Kostenoptimierung	2
SQL Server: Failover-Cluster	2
SQL Server: Leistung	10
SQL Server: Stabilität	3
Summe	627

Die Best Practices sind mit Tags versehen, damit Sie die Schwerpunkte leichter erkennen können:

Zuverlässigkeits-, Sicherheits- und FinOps-Regeln werden den Säulen des Google Cloud Well-Architected Framework zugeordnet.
CSPR: Cloud Security Posture Review (Überprüfung der Cloud-Sicherheitskonfiguration).
MVSP: Minimal Viable Security Posture (Mindestsicherheitsanforderungen).

Wählen Sie eine oder mehrere Regelkategorien aus, um die folgende Liste zu filtern.

Google Cloud Best Practices – API-Schlüssel (4 Ergebnisse)

API-Schlüssel ohne Einschränkung

Schweregrad:
Medium

Tags: IAM, api key, Security, CSPR, CoNa

Asset: apikeys.googleapis.com/Key

Details
Prüft, ob für alle API-Schlüssel Einschränkungen gelten, um Missbrauch zu verhindern, der zu Sicherheitslücken, unbefugtem Datenzugriff und unerwarteten Kosten führen könnte.
API-Schlüssel ohne Dienstbeschränkung

Schweregrad:
Medium

Tags: IAM, api key, Security, CSPR, CoNa

Asset: apikeys.googleapis.com/Key

Details
API-Schlüssel sind auf bestimmte Dienste beschränkt, wodurch potenzieller Missbrauch verhindert wird, der zu einer unbefugten API-Aktivierung, Sicherheitslücken und unerwarteten Kosten führen könnte.
API-Schlüssel älter als 90 Tage

Schweregrad:
Niedrig

Tags: IAM, api key, Security, CSPR

Asset: apikeys.googleapis.com/Key

Details
Erzwingt eine 90‑Tage-Rotationsrichtlinie für API-Schlüssel, um das Sicherheitsrisiko durch verlorene, durchgesickerte oder manipulierte Anmeldedaten zu minimieren.
API-Schlüssel

Schweregrad:
Medium

Tags: IAM, api key, Security, CSPR

Asset: apikeys.googleapis.com/Key

Details
Kennzeichnet das Vorhandensein von API-Schlüsseln, um die Verwendung sichererer Authentifizierungsmethoden wie Dienstkonten zu fördern und so das Risiko zu verringern, das mit statischen, langlebigen Anmeldedaten verbunden ist.

Google Cloud Best Practices – Access Transparency (1 Ergebnis)

Access Transparency für Organisation aktiviert

Schweregrad:
Medium

Tags: Access Transparency, serviceusage, Security, Compliance

Asset: serviceusage.googleapis.com/Service

Details
Prüft, ob der Access Transparency-Dienst aktiviert ist. Mit Access Transparency erhalten Sie Logs von Aktionen, die Google-Mitarbeiter beim Zugriff auf Ihre Inhalte ausgeführt haben.

Google Cloud Best Practices – AlloyDB for PostgreSQL (4 Ergebnisse)

Automatische Sicherungen für Alloy-Cluster nicht aktiviert

Schweregrad:
Medium

Tags: AlloyDB, Backup, Reliability, Cost, BCDR, DataProtection, CSPR

Asset: alloydb.googleapis.com/Cluster

Details
Prüft, ob für AlloyDB-Cluster eine automatische Sicherungsrichtlinie aktiviert ist. So wird sichergestellt, dass kritische Daten vor Verlust geschützt sind und schnell wiederhergestellt werden können, um die Geschäftskontinuität und die Zuverlässigkeit des Dienstes aufrechtzuerhalten.
Kontinuierliche Sicherungen für AlloyDB-Cluster nicht aktiviert

Schweregrad:
Medium

Tags: AlloyDB, Backup, BCDR, DataProtection, Reliability, Cost, CSPR

Asset: alloydb.googleapis.com/Cluster

Details
Prüft, ob für AlloyDB-Cluster die kontinuierliche Sicherung aktiviert ist. Dies bietet eine wichtige Point-in-Time-Wiederherstellung (PITR), um vor Datenverlust zu schützen und die Geschäftskontinuität zu gewährleisten.
Wartungsrichtlinie für Alloy-Cluster

Schweregrad:
Hoch

Tags: Reliability, Operations, BCDR, CSPR

Asset: alloydb.googleapis.com/Cluster

Details
Prüft, ob für AlloyDB-Cluster eine Wartungsrichtlinie definiert ist. Durch das Definieren einer Wartungsrichtlinie können Unternehmen Updates außerhalb der Spitzenzeiten planen, um Unterbrechungen zu minimieren. Wenn diese Richtlinie nicht vorhanden ist, wird das Standard-Timing verwendet, das möglicherweise mit kritischen Betriebszeiten zusammenfällt.
Öffentliche IP-Adresse der Alloy-Instanz

Schweregrad:
Hoch

Tags: AlloyDB, Sicherheit, Netzwerk, CSPR

Asset: alloydb.googleapis.com/Instance

Details
Prüft, ob für AlloyDB-Instanzen eine öffentliche IP-Adresse aktiviert ist. Öffentliche IP-Adressen machen die Instanz im Internet sichtbar und vergrößern die Angriffsfläche. Es wird empfohlen, stattdessen private IP-Adressen zu verwenden.

Google Cloud Best Practices – Apigee X (1 Ergebnis)

Apigee-Instanzen mit mehreren Regionen

Schweregrad:
Hoch

Tags: Reliability, API, Apigee, HighAvailability, BCDR, CoNa

Asset: apigee_Organization_RESOURCE_INSTANCE

Details
Prüft, ob in einer Apigee X-Organisation Apigee-Instanzen in mindestens zwei verschiedenen Regionen bereitgestellt sind. Eine multiregionale Apigee-Bereitstellung sorgt für API-Gateway-Redundanz, geringe Latenz und Schutz vor regionalen Ausfällen.

Google Cloud Best Practices – Artifact Registry (1 Ergebnis)

Artifact Registry (multiregional)

Schweregrad:
Hoch

Tags: Reliability, Availability, BCDR

Asset: artifactregistry.googleapis.com/Repository

Details
Prüft, ob Artifact Registry-Repositories für die Verwendung eines multiregionalen Standorts (z.B. „us“, „europe“, „asia“) konfiguriert sind. Wenn Sie multiregionale Standorte verwenden, werden Artefakte in mehreren geografischen Regionen repliziert. Dadurch wird die Verfügbarkeit erheblich verbessert und die Resilienz gegenüber regionalen Ausfällen erhöht.

Google Cloud Best Practices – BigQuery (10 Ergebnisse)

CMEK für BigQuery-Dataset deaktiviert

Schweregrad:
Medium

Tags: BigQuery, Dataset, Encryption, CMEK, Security, CSPR

Asset: bigquery.googleapis.com/Dataset

Details
Prüft, ob BigQuery-Datasets mit kundenverwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEK) aus Cloud KMS verschlüsselt sind. BigQuery verschlüsselt inaktive Daten standardmäßig mit von Google verwalteten Schlüsseln. CMEK bietet jedoch eine detailliertere Kontrolle über die Schlüsselverwaltung, einschließlich Rotation, Zugriffssteuerung und Audit-Logging. Mit dieser Regel wird das Feld „defaultEncryptionConfiguration“ in der Konfiguration der Datasets geprüft. Ein Verstoß wird ausgelöst, wenn dieses Feld fehlt oder vorhanden ist, aber keine „kmsKeyName“-Property enthält. Das Fehlen von „defaultEncryptionConfiguration“ oder „kmsKeyName“ bedeutet, dass für das Dataset kein CMEK für die Verschlüsselung verwendet wird, was sich möglicherweise auf die Compliance und die Sicherheitslage auswirkt.
BigQuery-Dataset enthält keine Labels

Schweregrad:
Niedrig

Tags: BigQuery, Dataset, Labels, Organization, FinOps, Management, CSPR

Asset: bigquery.googleapis.com/Dataset

Details
Prüft, ob einem BigQuery-Dataset Labels zugewiesen sind. Labels sind nutzerdefinierte Schlüssel/Wert-Paare, mit denen Sie Ressourcen in Google Cloud organisieren und verwalten können. Sie werden zum Filtern, Gruppieren und für Kostenberichte verwendet. Mit dieser Regel wird geprüft, ob das Feld „labels“ im Dataset vorhanden ist. Ein Verstoß wird ausgelöst, wenn das Feld „labels“ fehlt oder leer ist.
BigQuery-Dataset ohne Ressourcentags

Schweregrad:
Niedrig

Tags: BigQuery, Dataset, Tags, Organization, Management, AccessControl, FinOps, CSPR, CoNa, MVSP

Asset: bigquery.googleapis.com/Dataset

Details
Prüft, ob einem BigQuery-Dataset Ressourcentags zugewiesen sind. Ressourcentags sind Schlüssel/Wert-Paare, die über Resource Manager verwaltet werden. Sie werden für allgemeine Organisationszwecke verwendet, einschließlich der Integration in andere Google Cloud-Dienste und externe Systeme (z.B. für die Zugriffssteuerung über Tag-Bindungen). Mit dieser Regel wird geprüft, ob das Feld „resourceTags“ vorhanden ist. Ein Verstoß wird generiert, wenn das Feld „Tags“ fehlt oder leer ist.
BigQuery-Dataset mit mehreren Regionen

Schweregrad:
Hoch

Tags: Zuverlässigkeit, BigQuery, Multiregion, Hochverfügbarkeit, BCDR

Asset: bigquery.googleapis.com/Dataset

Details
Prüft, ob BigQuery-Datasets mit einem multiregionalen Standort (z. B. „US“ oder „EU“) konfiguriert sind, um eine hohe Ausfallsicherheit und Datenredundanz in verschiedenen Regionen zu gewährleisten. Regionale Datasets (Konfigurationen mit Bindestrich) entsprechen diesem Standard nicht.
BigQuery-Dataset öffentlich

Schweregrad:
Hoch

Tags: BigQuery, Dataset, Security, Privacy, Cost, Reliability, CSPR

Asset: bigquery.googleapis.com/Dataset

Details
Prüft, ob BigQuery-Datasets nicht öffentlich zugänglich sind. Öffentlich zugängliche Datasets können zu unbeabsichtigten Datenlecks und potenziellen Datenschutzverletzungen führen. BigQuery bietet detaillierte Zugriffssteuerungen über IAM-Rollen. Datasets sollten nur auf autorisierte Nutzer und Dienstkonten beschränkt werden. Mit dieser Regel wird geprüft, ob „allUsers“ oder „allAuthenticatedUsers“ in der ACL der Datasets vorhanden ist, was öffentlichen Zugriff gewährt. Das Fehlen dieser Einträge weist darauf hin, dass das Dataset nicht öffentlich zugänglich ist.
CMEK für BigQuery-Tabelle

Schweregrad:
Medium

Tags: BigQuery, Tabelle, Verschlüsselung, CMEK, KMS, Sicherheit, Compliance, CSPR

Asset: bigquery.googleapis.com/Table

Details
Prüft, ob BigQuery-Tabellen mit vom Kunden verwalteten Verschlüsselungsschlüsseln (CMEK) in Cloud KMS verschlüsselt sind. Standardmäßig verschlüsselt BigQuery inaktive Daten mit von Google verwalteten Schlüsseln. CMEK bietet eine detailliertere Kontrolle über die Verschlüsselungsschlüssel, sodass Organisationen die Schlüsselrotation, den Zugriff und das Auditing verwalten können. Mit dieser Regel wird das Feld „encryptionConfiguration“ in der Tabellenkonfiguration untersucht. Wenn dieses Feld fehlt oder vorhanden ist, aber keinen „kmsKeyName“ enthält, wird die Tabelle nicht mit CMEK verschlüsselt.
Ablauf von BigQuery-Tabelle

Schweregrad:
Niedrig

Tags: BigQuery, Tabelle, Ablauf, DataLifecycle, CostOptimization, DataGovernance, CSPR

Asset: bigquery.googleapis.com/Table

Details
Prüft, ob für eine BigQuery-Tabelle eine Ablaufzeit festgelegt ist. Das Festlegen einer Ablaufzeit für Tabellen ist eine Best Practice für die Verwaltung des Datenlebenszyklus und die Kontrolle der Speicherkosten, insbesondere für temporäre Tabellen oder Staging-Tabellen. Bei dieser Regel wird das Feld „expirationTime“ in der Tabellenkonfiguration untersucht. Wenn expirationTime null ist (oder fehlt, was in Rego gleich behandelt wird), bedeutet das, dass für die Tabelle keine Ablaufzeit festgelegt ist, und es wird ein Verstoß generiert. Eine explizite Ablaufzeit ist eine gute Praxis für Data Governance.
BigQuery-Tabelle ohne Labels

Schweregrad:
Niedrig

Tags: BigQuery, Tabelle, Labels, Organisation, FinOps, Verwaltung, CSPR

Asset: bigquery.googleapis.com/Table

Details
Prüft, ob einer BigQuery-Tabelle Labels zugewiesen sind. Labels sind nutzerdefinierte Schlüssel/Wert-Paare, mit denen Sie Ressourcen in Google Cloud organisieren und verwalten können. Sie werden zum Filtern, Gruppieren und für Kostenberichte verwendet. Mit dieser Regel wird geprüft, ob das Feld „labels“ in der Tabelle vorhanden ist. Ein Verstoß wird ausgelöst, wenn das Feld „labels“ fehlt oder leer ist.
BigQuery-Tabelle ohne Ressourcentags

Schweregrad:
Niedrig

Tags: BigQuery, Tabelle, Tags, Organisation, Verwaltung, Zugriffssteuerung, FinOps, CSPR, CoNa, MVSP

Asset: bigquery.googleapis.com/Table

Details
Prüft, ob einer BigQuery-Tabelle Ressourcentags zugewiesen sind. Ressourcentags sind Schlüssel/Wert-Paare, die über Resource Manager verwaltet werden. Sie werden für allgemeine Organisationszwecke verwendet, einschließlich der Integration in andere Google Cloud-Dienste und externe Systeme (z.B. für die Zugriffssteuerung über Tag-Bindungen). Mit dieser Regel wird geprüft, ob das Feld „resourceTags“ vorhanden ist. Ein Verstoß wird generiert, wenn das Feld „resourceTags“ fehlt oder leer ist.
BigQuery-Tabellenpartition

Schweregrad:
Niedrig

Tags: BigQuery, Tabelle, Partition, Ablauf, DataLifecycle, CostOptimization, TimePartitioning, CSPR

Asset: bigquery.googleapis.com/Table

Details
Prüft, ob für eine zeitpartitionierte BigQuery-Tabelle eine Ablaufzeit für Partitionen festgelegt ist. Durch den Ablauf von Partitionen werden Partitionen, die älter als der angegebene Zeitraum sind, automatisch gelöscht. Dies ist entscheidend für die Verwaltung von Speicherkosten und Datenlebenszyklus, insbesondere für große Zeitreihendatasets. Mit dieser Regel wird das Feld „timePartitioning“ und insbesondere das Feld „expirationMs“ in „timePartitioning“ untersucht. Wenn „timePartitioning“ oder „expirationMs“ fehlt oder keine positive Ganzzahl ist, ist der Partitionsablauf nicht richtig konfiguriert und es wird ein Verstoß generiert.

Google Cloud Best Practices – Cloud Bigtable (3 Ergebnisse)

Bigtable-Clusterredundanz

Schweregrad:
Hoch

Tags: Reliability, Database, Bigtable, HighAvailability, BCDR

Asset: bigtableadmin_Instance_RESOURCE_CLUSTER

Details
Prüft, ob für Bigtable-Instanzen Cluster in mindestens drei verschiedenen Regionen bereitgestellt sind. Die Redundanz multiregionaler Cluster sorgt für eine Verfügbarkeit von 99, 999 %, eine robuste Notfallwiederherstellung und einen Zugriff mit geringer Latenz für global verteilte Anwendungen.
Bigtable-Instanzreplikation aktiviert

Schweregrad:
Hoch

Tags: Reliability, Database, Bigtable, Replication, HighAvailability

Asset: bigtableadmin_Instance_RESOURCE_CLUSTER

Details
Prüft, ob für Bigtable-Instanzen die Replikation aktiviert ist, indem sichergestellt wird, dass Cluster in mindestens zwei verschiedenen Zonen oder Regionen bereitgestellt werden. Die Replikation ist entscheidend für Hochverfügbarkeit, Failover und Notfallwiederherstellung.
Bigtable-Profil mit Multi-Cluster-Routing

Schweregrad:
Hoch

Tags: Reliability, HighAvailability, BCDR, Bigtable

Asset: bigtableadmin.googleapis.com/AppProfile

Details
Prüft, ob in Bigtable-App-Profilen „multi_cluster_routing_use_any“ verwendet wird, um automatisches Failover zu ermöglichen und für Hochverfügbarkeit zu sorgen. Wenn Sie Single-Cluster-Routing verwenden, entsteht ein Single Point of Failure, der das Risiko von Dienstunterbrechungen birgt, wenn der jeweilige Cluster nicht verfügbar ist.

Google Cloud Best Practices – Cloud Build (1 Ergebnis)

Cloudbuild-Poolredundanz

Schweregrad:
Medium

Tags: Reliability, Security, CloudBuild, HighAvailability, BCDR

Asset: cloudresourcemanager_Project_RESOURCE_WORKERPOOL

Details
Prüft, ob private Cloud Build-Worker-Pools in mindestens zwei verschiedenen Regionen bereitgestellt werden. Durch die Bereitstellung privater Worker-Pools in mehreren Regionen wird sichergestellt, dass CI/CD-Workflows ein Failover durchführen können, wenn ein regionaler Build-Dienst ausfällt.

Google Cloud Best Practices – Cloud DNS (3 Ergebnisse)

DNS-Richtlinienprotokollierung

Schweregrad:
Medium

Tags: DNS, Policy, Logging, Security, Auditing, VPC, CSPR, CoNa, MVSP

Asset: dns.googleapis.com/Policy

Details
Prüft, ob das Logging für eine Cloud DNS-Richtlinie aktiviert ist. DNS-Richtlinien definieren Regeln für das DNS-Auflösungsverhalten, die häufig für die ausgehende Weiterleitung oder private DNS-Lookups verwendet werden. Wenn Sie das Logging aktivieren, werden die von der Richtlinie verarbeiteten Abfragen aufgezeichnet. Das ist für Sicherheitsprüfungen und die Fehlerbehebung bei DNS-Auflösungsproblemen in Ihren VPC-Netzwerken unerlässlich. Mit dieser Regel wird das Feld „enableLogging“ in der DNS-Richtlinienkonfiguration untersucht. Ein Verstoß wird generiert, wenn „enableLogging“ fehlt oder „false“ ist.
DNS-Zone public dnssec

Schweregrad:
Hoch

Tags: DNS, DNSSEC, Security, ManagedZone, Public, CSPR, CoNa

Asset: dns.googleapis.com/ManagedZone

Details
Prüft, ob DNSSEC (Domain Name System Security Extensions) für eine öffentliche verwaltete Zone in Cloud DNS aktiviert ist. DNSSEC bietet eine zusätzliche Sicherheitsebene, da DNS-Einträge digital signiert werden. So werden DNS-Spoofing und Cache-Poisoning-Angriffe verhindert. Mit dieser Regel wird das Feld „dnssecConfig“ in der Konfiguration der verwalteten Zonen untersucht. Wenn „dnssecConfig“ fehlt oder der Status „off“ oder fehlt, bedeutet das, dass DNSSEC nicht aktiviert ist. Ein Verstoß wird generiert, wenn DNSSEC für öffentliche Zonen nicht aktiviert ist. Diese Regel wird so gefiltert, dass sie sich nur auf verwaltete Zonen auswirkt, deren Sichtbarkeit auf „Öffentlich“ festgelegt ist.
Öffentliches Logging von DNS-Zonen

Schweregrad:
Medium

Tags: DNS, ManagedZone, Logging, Security, Auditing, Public, CSPR, CoNa, MVSP

Asset: dns.googleapis.com/ManagedZone

Details
Prüft, ob das Logging für eine öffentliche verwaltete Cloud DNS-Zone aktiviert ist. Wenn Sie das DNS-Logging aktivieren, werden die Abfragen aufgezeichnet, die von den Nameservern der Zone empfangen werden. Dies ist für Sicherheitsprüfungen, Fehlerbehebung und Compliance unerlässlich. Bei dieser Regel wird das Feld „loggingConfig“ in der Konfiguration der verwalteten Zonen untersucht. Ein Verstoß wird generiert, wenn die Sichtbarkeit der Zonen öffentlich ist und entweder „loggingConfig“ fehlt oder „loggingConfig.enableLogging“ fehlt oder „false“ ist.

Google Cloud Best Practices – Cloud Functions (3 Ergebnisse)

Cloud Functions-Ingress – GCLB

Schweregrad:
Hoch

Tags: Reliability, Security, Network, HighAvailability

Asset: cloudfunctions.googleapis.com/Function

Details
Prüft, ob für Cloud Functions-Funktionen Einstellungen für eingehenden Traffic konfiguriert sind, die ALLOW_INTERNAL_AND_GCLB entsprechen. Diese Einstellung schränkt den Zugriff auf internen Traffic und Google Cloud Load Balancing ein. Dies ist eine Voraussetzung für die Implementierung von multiregionaler Hochverfügbarkeit mit globalen externen Load Balancern, während direkter öffentlicher Zugriff verhindert wird.
Mindestanzahl von Funktionsinstanzen

Schweregrad:
Medium

Tags: Zuverlässigkeit, Leistung, Serverless

Asset: cloudfunctions.googleapis.com/Function

Details
Sorgt dafür, dass für Cloud Functions die Einstellung „minInstances“ auf einen Wert größer als 0 konfiguriert ist. Diese Konfiguration verhindert Kaltstarts und sorgt für eine gleichbleibende Leistung und eine geringere Latenz bei Traffic-Spitzen, da die Instanzen einsatzbereit bleiben.
Multiregionale Funktionen für Projekte

Schweregrad:
Hoch

Tags: Reliability, Serverless, CloudFunctions, HighAvailability, BCDR

Asset: cloudresourcemanager_Project_RESOURCE_FUNCTION

Details
Prüft, ob in einem Projekt Cloud Functions in mindestens zwei verschiedenen Regionen bereitgestellt wurden. Die multiregionale Bereitstellung von Cloud Function sorgt für Redundanz bei serverlosen Anwendungen und für ein nahtloses Failover im Falle eines regionalen Ausfalls.

Google Cloud Best Practices – Cloud Key Management Service (14 Ergebnisse)

Cloud KMS-Schutzniveau für kryptografische Schlüssel – HSM

Schweregrad:
Medium

Tags: KMS, CryptoKey, Security, HSM, ProtectionLevel, Encryption, CSPR, CoNa

Asset: cloudkms.googleapis.com/CryptoKey

Details
Prüft, ob das Schutzniveau eines Cloud KMS-CryptoKeys auf HSM festgelegt ist. Das Schutzniveau bestimmt, wo kryptografische Vorgänge ausgeführt werden. HSM bedeutet, dass sie in einem Hardwaresicherheitsmodul stattfinden. HSM bietet ein höheres Sicherheitsniveau. Mit dieser Regel wird das Feld „versionTemplate.protectionLevel“ geprüft. Ein Verstoß wird generiert, wenn „protectionLevel“ auf „HSM“ festgelegt ist. Das Schutzniveau SOFTWARE ist für einige Anwendungsfälle akzeptabel, HSM wird jedoch im Allgemeinen für höhere Sicherheitsanforderungen empfohlen.
Cloud KMS-Kryptoschlüssel-Schutzniveau „Software“

Schweregrad:
Medium

Tags: KMS, CryptoKey, Security, HSM, ProtectionLevel, Encryption, CSPR, CoNa

Asset: cloudkms.googleapis.com/CryptoKey

Details
Prüft, ob das Schutzniveau eines Cloud KMS-CryptoKeys auf SOFTWARE festgelegt ist. Das Schutzniveau bestimmt, wo kryptografische Vorgänge ausgeführt werden. SOFTWARE bedeutet, dass Vorgänge in Software ausgeführt werden, während HSM bedeutet, dass sie in einem Hardware-Sicherheitsmodul ausgeführt werden. HSM bietet ein höheres Sicherheitsniveau. Mit dieser Regel wird das Feld „versionTemplate.protectionLevel“ geprüft. Ein Verstoß wird generiert, wenn „protectionLevel“ auf „SOFTWARE“ festgelegt ist. Das Schutzniveau SOFTWARE ist für einige Anwendungsfälle akzeptabel, HSM wird jedoch im Allgemeinen für höhere Sicherheitsanforderungen empfohlen.
Symmetrische Rotation von Cloud KMS-Kryptoschlüsseln

Schweregrad:
Hoch

Tags: KMS, CryptoKey, Rotation, Security, Encryption, Symmetric, KeyRotation, CSPR, CoNa

Asset: cloudkms.googleapis.com/CryptoKey

Details
Prüft, ob für einen Cloud KMS CryptoKey mit dem Algorithmus GOOGLE_SYMMETRIC_ENCRYPTION und dem Status ENABLED die Schlüsselrotation konfiguriert ist. Die regelmäßige Schlüsselrotation ist eine wichtige Best Practice für die Sicherheit. Mit dieser Regel wird der folgende Status überprüft: 1. Der Status der Schlüssel ist „ENABLED“ (Aktiviert). 2. Zweck: Der Zweck des Schlüssels ist ENCRYPT_DECRYPT. 3. versionTemplate.algorithm: Der Algorithmus ist GOOGLE_SYMMETRIC_ENCRYPTION. 4. rotationPeriod oder nextRotationTime: Wenn eines dieser Felder fehlt, bedeutet das, dass die Rotation nicht konfiguriert ist, und es wird ein Verstoß generiert. Wenn keine Rotation erfolgt, steigt das Risiko erheblich, falls ein Schlüssel kompromittiert wird.
Cloud KMS-EKM-Verbindung – redundante Resolver

Schweregrad:
Hoch

Tags: Reliability, Security, KMS, ExternalKey, HighAvailability

Asset: cloudkms.googleapis.com/EkmConnection

Details
Sorgt dafür, dass EKM-Verbindungen (External Key Manager) redundante Dienstresolver haben, um zu verhindern, dass kryptografische Vorgänge bei Endpunktausfällen fehlschlagen.
Cloud KMS-Schlüsselordner öffentlich zugänglich

Schweregrad:
Hoch

Tags: IAM, Compute Engine, image, Security, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Folder

Details
Erkennt öffentlich zugängliche KMS-Schlüssel in einem Ordner, um unbefugten Zugriff und die Entschlüsselung sensibler Daten zu verhindern. So werden Ihre kritischen Informationsressourcen geschützt und das Risiko von Datenpannen verringert.
Cloud KMS-Schlüsselorganisation öffentlich zugänglich

Schweregrad:
Hoch

Tags: IAM, Compute Engine, image, Security, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Sorgen Sie dafür, dass die KMS-Verschlüsselungsschlüssel Ihrer Organisation nicht über IAM-Richtlinien öffentlich zugänglich sind. So schützen Sie sensible Daten vor unbefugtem Zugriff und verhindern kostspielige Datenpannen.
Cloud KMS-Schlüsselprojekt öffentlich zugänglich

Schweregrad:
Hoch

Tags: IAM, Compute Engine, image, Security, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Project

Details
Schützen Sie wichtige Daten und sorgen Sie für Compliance, indem Sie die Offenlegung öffentlicher KMS-Schlüssel verhindern. Dadurch werden kryptografische Vorgänge auf autorisierte Identitäten beschränkt und das Risiko von unbefugtem Zugriff und Datenpannen verringert.
Cloud KMS-Schlüssel öffentlich zugänglich

Schweregrad:
Hoch

Tags: IAM, Compute Engine, image, Security, CSPR, CoNa

Asset: cloudkms.googleapis.com/CryptoKey

Details
Mit dieser Regel werden öffentlich zugängliche KMS-Schlüssel identifiziert, um unbefugte Datenentschlüsselung zu verhindern, sensible Informationen zu schützen, die Datenintegrität zu gewährleisten und kostspielige Sicherheitsverletzungen abzuwenden.
Cloud KMS-Schlüsselzweck „symmetric“

Schweregrad:
Niedrig

Tags: KMS, CryptoKey, Security, Encryption, CSPR, CoNa

Asset: cloudkms.googleapis.com/CryptoKey

Details
Prüft, ob der Zweck des Cloud KMS-CryptoKey auf ENCRYPT_DECRYPT festgelegt ist. KMS unterstützt zwar auch andere Zwecke wie asymmetrische Signierung oder Entschlüsselung, diese Regel erzwingt jedoch symmetrische Verschlüsselungsschlüssel als Baseline. Wenn für bestimmte Arbeitslasten asymmetrische Schlüssel erforderlich sind, kann diese Regel Falschmeldungen generieren. Sie sollte entsprechend eingegrenzt werden.
Cloud KMS-Schlüsselbund öffentlich zugänglich

Schweregrad:
Hoch

Tags: IAM, Compute Engine, image, Security, CSPR, CoNa

Asset: cloudkms.googleapis.com/KeyRing

Details
Verhindern Sie unbefugten Zugriff auf sensible verschlüsselte Daten, indem Sie dafür sorgen, dass IAM-Richtlinien für KMS-Schlüsselringe keine öffentlichen Berechtigungen gewähren. So schützen Sie die Vertraulichkeit und Integrität von Daten.
Cloud KMS-Schlüsselrotation deaktiviert

Schweregrad:
Medium

Tags: KMS, KeyRotation, Security, Cryptography, Compliance, Reliability, CSPR, CoNa

Asset: cloudkms.googleapis.com/CryptoKey

Details
Prüft, ob für Google Cloud Key Management Service (KMS)-Schlüssel die automatische Schlüsselrotation aktiviert ist. Die regelmäßige Schlüsselrotation ist eine wichtige bewährte Sicherheitsmethode, um die potenziellen Auswirkungen eines kompromittierten Schlüssels zu begrenzen. Wenn ein Schlüssel kompromittiert wird, kann ein Angreifer ihn durch die Rotation nur begrenzt lange verwenden. Mit dieser Regel werden KMS-Schlüssel gekennzeichnet, für die die Rotation nicht aktiviert ist. Kürzere Rotationszeiträume werden im Allgemeinen bevorzugt, um die Sicherheit zu erhöhen.
Cloud KMS-Schlüsselrotation aktiviert (1 Jahr)

Schweregrad:
Medium

Tags: KMS, KeyRotation, Security, Cryptography, Compliance, Reliability, CSPR, CoNa

Asset: cloudkms.googleapis.com/CryptoKey

Details
Prüft, ob für Google Cloud Key Management Service-Schlüssel (KMS) die automatische Schlüsselrotation aktiviert ist und ob der Rotationszeitraum innerhalb eines akzeptablen Limits liegt (nicht länger als 365 Tage). Die regelmäßige Schlüsselrotation ist eine wichtige bewährte Sicherheitsmethode, um die potenziellen Auswirkungen eines kompromittierten Schlüssels zu begrenzen. Wenn ein Schlüssel kompromittiert wird, kann ein Angreifer ihn durch die Rotation nur begrenzt lange verwenden. Mit dieser Regel werden KMS-Schlüssel gekennzeichnet, für die entweder keine Rotation aktiviert ist oder deren Rotationszeitraum 365 Tage überschreitet. Kürzere Rotationszeiträume werden im Allgemeinen bevorzugt, um die Sicherheit zu erhöhen.
Cloud KMS-Schlüsselbund mit mehreren Regionen

Schweregrad:
Hoch

Tags: Reliability, BCDR, Availability, Resiliency

Asset: cloudkms.googleapis.com/KeyRing

Details
Prüft, ob Cloud KMS-KeyRings für multiregionale oder globale Verfügbarkeit konfiguriert sind, um die Ausfallsicherheit bei regionalen Ausfällen zu maximieren. In einzelnen Regionen gespeicherte Schlüssel werden nicht über mehrere geografische Gebiete hinweg repliziert. Dadurch entsteht bei regionalen Vorfällen ein Single Point of Failure.
Cloud KMS-Inhaberrolle

Schweregrad:
Medium

Tags: KMS, Security, CSPR

Asset: cloudkms_CryptoKey_RESOURCE_IAM_POLICY_1

Details
Durch die Einschränkung der sehr permissiven Inhaberrolle für KMS-Projekte werden kryptografische Schlüssel vor versehentlichen oder böswilligen Aktionen geschützt. Dies erhöht die Datensicherheit und die betriebliche Stabilität.

Google Cloud-Best Practices – Cloud Load Balancing (4 Ergebnisse)

Compute-Weiterleitungsregel-Netzwerkebene

Schweregrad:
Hoch

Tags: Reliability, Network, LoadBalancing, NetworkTier, Performance

Asset: compute.googleapis.com/ForwardingRule

Details
Prüft, ob Weiterleitungsregeln (die von Load Balancern verwendet werden) für die Verwendung der Premium-Netzwerkstufe konfiguriert sind. Beim Routing der Premium-Stufe wird der Traffic über den globalen Hochgeschwindigkeits-Backbone von Google anstelle des öffentlichen Internets gesendet. So werden maximale Zuverlässigkeit, niedrige Latenz und SLA-Garantien gewährleistet.
Zonenverteilung für regionalen Backend-Dienst berechnen

Schweregrad:
Hoch

Tags: Reliability, Network, LoadBalancing, HighAvailability

Asset: compute.googleapis.com/RegionBackendService

Details
Prüft, ob regionale Backend-Dienste (die von internen Load Balancern verwendet werden) Backends haben, die auf mindestens zwei verschiedene Zonen innerhalb der Region verteilt sind. Die multizonale Backend-Verteilung sorgt für Hochverfügbarkeit und Failover-Funktionen bei Zonenausfällen.
Verteilung des globalen Backends

Schweregrad:
Hoch

Tags: Reliability, Network, LoadBalancing, HighAvailability, BCDR

Asset: compute_BackendService_RESOURCE_RELATIONSHIP

Details
Prüft, ob Back-Ends für das globale Load Balancing auf mindestens zwei Regionen und zwei Zonen verteilt sind. Die multiregionale und multizonale Backend-Verteilung sorgt für Hochverfügbarkeit, Fehlertoleranz und nahtloses Failover im Falle eines regionalen oder zonalen Ausfalls.
Systemdiagnose für Zielpool aktiviert

Schweregrad:
Hoch

Tags: Reliability, Network, LoadBalancing, HighAvailability

Asset: compute.googleapis.com/TargetPool

Details
Achten Sie darauf, dass für Zielpools (Network Load Balancers) Systemdiagnosen aktiviert sind, um zu verhindern, dass Traffic an fehlerhafte VM-Back-Ends weitergeleitet wird.

Google Cloud Best Practices – Cloud Logging (3 Ergebnisse)

Logsenke

Schweregrad:
Medium

Tags: Logging, Security, Compliance, CSPR, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_5

Details
Kennzeichnet Google Cloud-Projekte, für die keine gültigen Logsenken auf Ordner-, Organisations- oder Projektebene konfiguriert sind.
Multiregionales Logging-Bucket

Schweregrad:
Medium

Tags: Reliability, Security, Logging, HighAvailability, BCDR

Asset: logging.googleapis.com/LogBucket

Details
Prüft, ob Cloud Logging-Buckets an multiregionalen oder globalen Standorten (z.B. „global“, „us“, „eu“) konfiguriert sind, um eine Hochverfügbarkeit und Ausfallsicherheit bei regionalen Ausfällen zu gewährleisten. Bei regionalen Log-Buckets besteht die Gefahr von Datenverlust, wenn in der Region ein Ausfall auftritt.
Logging-Senke nicht auf Ordner- oder Organisationsebene aggregiert

Schweregrad:
Medium

Tags: logging, Security, CSPR

Asset: logging.googleapis.com/LogSink

Details
Identifiziert Logsenken auf Ordner- oder Organisationsebene, die nicht als aggregiert konfiguriert sind. Aggregierte Senken sind auf Ordner- und Organisationsebene unerlässlich, um Logs aus allen untergeordneten Projekten und Ressourcen für Sicherheitsprüfungen und Vorgänge zu zentralisieren.

Google Cloud Best Practices – Cloud Pub/Sub (7 Ergebnisse)

Subexponentieller Backoff für Pub/Sub

Schweregrad:
Hoch

Tags: Pub/Sub, Abo, Zuverlässigkeit, Resilienz, CSPR

Asset: pubsub.googleapis.com/Subscription

Details
Prüft, ob Pub/Sub-Abos mit einer Wiederholungsrichtlinie mit exponentiellem Backoff konfiguriert sind. Dazu wird geprüft, ob die Einstellungen „retryPolicy“, „minimumBackoff“ und „maximumBackoff“ vorhanden sind. Die Implementierung des exponentiellen Backoff ist entscheidend für die Systemstabilität, da sie verhindert, dass Abonnentenfehler sofortige, unkoordinierte Wiederholungsversuche auslösen, die das Nachrichtensystem bei vorübergehenden Ausfällen überlasten können.
Pub/Sub-Abo-Dead-Letter-Thema konfiguriert

Schweregrad:
Medium

Tags: Reliability, Messaging, DisasterRecovery, Resiliency

Asset: pubsub.googleapis.com/Subscription

Details
Konfigurieren Sie für Pub/Sub-Abos ein Thema für unzustellbare Nachrichten, um nicht verarbeitbare Nachrichten zu isolieren und Stream-Blockierungen zu verhindern.
Pub/Sub-Abo-Deadletter

Schweregrad:
Medium

Tags: Pub/Sub, Subscription, DeadLetter, Reliability, Messaging, ErrorHandling, CSPR

Asset: pubsub.googleapis.com/Subscription

Details
Prüft, ob für ein Pub/Sub-Abo ein Dead-Letter-Thema konfiguriert ist. Ein Thema für unzustellbare Nachrichten (Dead-Letter Topic, DLT) ist unerlässlich, um Fehler bei der Nachrichtenzustellung zu beheben. Wenn eine Nachricht nach mehreren Versuchen nicht an einen Abonnenten zugestellt werden kann, kann sie an ein Thema für unzustellbare Nachrichten gesendet werden. So wird verhindert, dass Nachrichten verloren gehen, und es können Zustellungsprobleme analysiert werden. Mit dieser Regel wird das Feld „deadLetterPolicy“ in der Konfiguration der Abonnements untersucht. Wenn „deadLetterPolicy“ fehlt oder vorhanden ist, aber kein „deadLetterTopic“-Feld enthält, wird durch die Regel ein Verstoß generiert. Die Verwendung eines DLT ist eine Best Practice für die zuverlässige Verarbeitung von Nachrichten.
Wiederholungsrichtlinie für Pub/Sub-Abo konfiguriert

Schweregrad:
Medium

Tags: Reliability, Messaging, Resiliency

Asset: pubsub.googleapis.com/Subscription

Details
Achten Sie darauf, dass für Pub/Sub-Abos benutzerdefinierte Wiederholungsrichtlinien mit exponentiellem Backoff konfiguriert sind, um vorübergehende Fehler ordnungsgemäß zu behandeln.
Nachrichtenspeicherung für Pub/Sub-Themen

Schweregrad:
Hoch

Tags: Reliability, DataProtection, Pub/Sub, CoNa

Asset: pubsub.googleapis.com/Topic

Details
Prüft, ob für Pub/Sub-Themen eine Nachrichtenaufbewahrungsdauer konfiguriert ist. Durch die Nachrichtenaufbewahrung werden Nachrichten für einen bestimmten Zeitraum gespeichert. So ist die Verfügbarkeit auch dann gewährleistet, wenn Abonnenten vorübergehend nicht verfügbar sind oder Nachrichten für die Wiedergabe in der Vergangenheit benötigt werden.
Pub/Sub-Themennachricht Cloud Storage-Richtlinie

Schweregrad:
Medium

Tags: Reliability, Security, Pub/Sub, DataResidency, Compliance, CoNa

Asset: pubsub.googleapis.com/Topic

Details
Prüft, ob Pub/Sub-Themen mit einer Richtlinie für die Speicherung von Nachrichten konfiguriert sind, die die Nachrichtenspeicherung auf bestimmte Regionen beschränkt. Wenn Sie die Nachrichtenspeicherung auf zertifizierte Regionen beschränken, vermeiden Sie Compliance-Verstöße und sorgen dafür, dass die Anforderungen an den Datenstandort eingehalten werden.
Schema des Pub/Sub-Themas

Schweregrad:
Medium

Tags: PubSub, Messaging, Schema, DataGovernance, Reliability

Asset: pubsub.googleapis.com/Topic

Details
Prüft, ob für Pub/Sub-Themen ein Schema konfiguriert ist. Durch die Erzwingung eines Schemas wird die Datenqualität sichergestellt und verhindert, dass fehlerhafte Nachrichten nachgelagerte Nutzer beeinträchtigen.

Google Cloud Best Practices – Cloud Router (6 Ergebnisse)

Compute-Router bietet alle Subnetze an

Schweregrad:
Medium

Tags: Reliability, Network, CloudRouter, Routing

Asset: compute.googleapis.com/Router

Details
Prüft, ob Cloud Router so konfiguriert sind, dass alle Subnetze beworben werden (entweder im DEFAULT-Advertising-Modus oder im CUSTOM-Modus mit der ALL_SUBNETS-Gruppe). So wird dafür gesorgt, dass neue Subnetze automatisch für lokale Netzwerke beworben werden, wodurch Verbindungsunterbrechungen vermieden werden.
Compute-Router mit aktiviertem BFD

Schweregrad:
Hoch

Tags: Reliability, Network, BGP, BFD, HighAvailability

Asset: compute.googleapis.com/Router

Details
Prüft, ob Bidirectional Forwarding Detection (BFD) für alle BGP-Peers eines Cloud Router aktiviert ist. BFD ermöglicht die Erkennung von Verbindungsfehlern im Subsekundenbereich, um ein schnelles BGP-Failover und eine Hochverfügbarkeit zu gewährleisten.
Compute-Router-BGP-Keepalive

Schweregrad:
Medium

Tags: Reliability, Network, BGP, Keepalive, HighAvailability

Asset: compute.googleapis.com/Router

Details
Prüft, ob der BGP-Keepalive-Timer auf dem Cloud Router auf genau 20 Sekunden konfiguriert ist. Ein Keepalive-Intervall von 20 Sekunden sorgt für eine rechtzeitige Erkennung von Peering-Fehlern und eine vorhersehbare BGP-Konvergenz.
Compute-Router-BGP-Peer-Redundanz

Schweregrad:
Hoch

Tags: Reliability, Network, CloudRouter, BGP, Redundancy

Asset: compute.googleapis.com/Router

Details
Prüft, ob für Cloud Router mindestens zwei BGP-Peers konfiguriert sind. Redundante BGP-Sitzungen sorgen für hohe Verfügbarkeit und verhindern Routingunterbrechungen bei Wartungsarbeiten oder Netzwerkausfällen.
Multiregionale Router für Projekte

Schweregrad:
Hoch

Tags: Reliability, Network, Router, HighAvailability, BCDR

Asset: cloudresourcemanager_Project_RESOURCE_ROUTER

Details
Prüft, ob in einem Projekt Cloud Router in mindestens zwei verschiedenen Regionen bereitgestellt sind. Die multiregionale Cloud Router-Bereitstellung sorgt für Redundanz bei Hybridnetzwerken (VPN, Interconnect, NAT) und schützt vor regionalen Ausfällen.
Redundanz regionaler Router für Projekte

Schweregrad:
Hoch

Tags: Reliability, Network, CloudRouter, Redundancy, HighAvailability

Asset: cloudresourcemanager_Project_RESOURCE_ROUTER

Details
Prüft, ob für jede Region, in der Cloud Router in einem Projekt bereitgestellt werden, mindestens zwei Cloud Router konfiguriert sind. Die regionale Routerredundanz sorgt für Hochverfügbarkeit bei der Hybridkonnektivität (VPN/Interconnect) und verhindert Single Points of Failure.

Google Cloud Best Practices – Cloud Run (3 Ergebnisse)

Eingehenden Traffic über globalen Load-Balancer weiterleiten

Schweregrad:
Hoch

Tags: Zuverlässigkeit, Hohe Verfügbarkeit, Netzwerk, Cloud Run

Asset: run.googleapis.com/Service

Details
Sorgt dafür, dass Cloud Run-Dienste so konfiguriert sind, dass sie nur Traffic von internen Quellen und Cloud Load Balancing akzeptieren. Diese Einschränkung leitet den Traffic über einen globalen externen Load Balancer weiter. Das ist eine Voraussetzung für die Hochverfügbarkeit, Fehlertoleranz und optimierte Latenz einer multiregionalen Architektur.
Mindestanzahl von Instanzen des Dienstes ausführen

Schweregrad:
Hoch

Tags: Reliability, Latency, Serverless, Cloud Run

Asset: run.googleapis.com/Service

Details
Sorgt dafür, dass für Cloud Run-Dienste eine Mindestanzahl von Instanzen größer als null konfiguriert wird. Diese Konfiguration ist für latenzempfindliche Anwendungen entscheidend, um Kaltstarts zu vermeiden und die sofortige Verfügbarkeit aufrechtzuerhalten. Das Problem tritt auf, wenn die Annotation „autoscaling.knative.dev/minScale“ fehlt (Standardwert: 0) oder explizit auf 0 gesetzt ist.
Cloud Run-Dienst ohne ausgehenden VPC-Traffic

Schweregrad:
Medium

Tags: CloudRun, Serverless, VPC, Networking, Security, Egress, CSPR, CoNa, MVSP

Asset: run.googleapis.com/Service

Details
Prüft, ob ein Cloud Run-Dienst für die Verwendung des Serverloser VPC-Zugriff für ausgehenden Traffic konfiguriert ist. Wenn Sie ausgehenden Traffic über einen VPC-Connector weiterleiten, können Cloud Run-Dienste sicher auf interne Ressourcen zugreifen. Außerdem kann Traffic über Cloud NAT für eine statische ausgehende IP-Adresse weitergeleitet werden. Ein Verstoß liegt vor, wenn die Annotation run.googleapis.com/vpc-access-connector fehlt.

Google Cloud Best Practices – Cloud SQL (35 Ergebnisse)

Cloudsql-Sicherung in mehreren Regionen

Schweregrad:
Medium

Tags: Zuverlässigkeit, Sicherung

Asset: sqladmin.googleapis.com/Instance

Details
Prüft, ob Sicherungen von Cloud SQL-Instanzen für die multiregionale Speicherung konfiguriert sind. Sicherungen werden standardmäßig in derselben Region wie die Instanz gespeichert. Das bietet keinen Schutz vor regionalen Ausfällen. Durch die Konfiguration von multiregionalem Speicher werden Datenverfügbarkeit und Geschäftskontinuität bei solchen Ereignissen sichergestellt.
Cloud SQL-Instanz-CA-Zertifikat ungültig

Schweregrad:
Hoch

Tags: CloudSQL, Security, Certificate, Expiration, Reliability, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Prüft den Ablaufstatus des Zertifizierungsstellenzertifikats für Cloud SQL-Instanzen. Das regelmäßige Rotieren von CA-Zertifikaten und das Sicherstellen, dass sie nicht abgelaufen sind, ist eine wichtige Best Practice für die Sicherheit. Ein abgelaufenes CA-Zertifikat kann Clientverbindungen zur Datenbank unterbrechen und zu Ausfallzeiten der Anwendung führen. Bei dieser Regel werden zwei wichtige Aspekte geprüft: 1. Wenn ein CA-Zertifikat für die Instanz vorhanden ist (was darauf hindeutet, dass SSL/TLS wahrscheinlich konfiguriert ist, was empfohlen wird). 2. Wenn die Ablaufzeit (expirationTime) der vorhandenen CA-Zertifikate in der Zukunft liegt. Ein Verstoß wird generiert, wenn entweder kein CA-Zertifikat gefunden wird oder das gefundene Zertifikat abgelaufen ist (seine expirationTime liegt in der Vergangenheit). Für die Ablaufprüfung wird die aktuelle Zeit verwendet, die über time.now_ns() abgerufen wird. Die Zeit wird zum Vergleich in Sekunden seit der Epoche konvertiert.
Löschschutz für Cloud SQL-Instanzen

Schweregrad:
Hoch

Tags: Database, Security, Reliability, Data Protection, CSPR, CoNa

Asset: sqladmin.googleapis.com/Instance

Details
Prüft, ob für Cloud SQL-Instanzen der Löschschutz aktiviert ist, um versehentliches Löschen und potenziellen Datenverlust zu verhindern. Wenn „settings.deletionProtectionEnabled“ auf „false“ gesetzt oder nicht konfiguriert ist, ist die Datenbank anfällig für das sofortige Entfernen durch menschliche Fehler oder Automatisierungsskripts.
Wartungsfenster für Cloud SQL-Instanzen

Schweregrad:
Hoch

Tags: Reliability, Operations, Maintenance, BCDR

Asset: sqladmin.googleapis.com/Instance

Details
Prüft, ob für Cloud SQL-Instanzen ein Wartungsfenster konfiguriert ist. So wird sichergestellt, dass Systemupdates außerhalb von Zeiten hoher Nachfrage geplant werden, um die Auswirkungen auf das Unternehmen zu minimieren und unerwartete Ausfallzeiten zu verhindern.
Cloud SQL-Instanz – PITR deaktiviert

Schweregrad:
Medium

Tags: CloudSQL, Instance, Backup, PITR, Recovery, Reliability, DataProtection, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Prüft, ob für Cloud SQL-Instanzen die Wiederherstellung zu einem bestimmten Zeitpunkt aktiviert ist. Mit PITR kann die Datenbank zu einem bestimmten Zeitpunkt wiederhergestellt werden, was wichtige Funktionen zur Datenwiederherstellung bietet. Mit dieser Regel wird die Einstellung „pointInTimeRecoveryEnabled“ in der „backupConfiguration“ direkt geprüft. Wenn „pointInTimeRecoveryEnabled“ auf „false“ gesetzt oder nicht vorhanden ist, bedeutet das, dass PITR nicht aktiviert ist.
CloudSQL-Instanz Cloud Storage-Autoresize

Schweregrad:
Medium

Tags: CloudSQL, Instance, Storage, AutoResize, Reliability, Availability, Performance, Cost, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Prüft, ob für Cloud SQL-Instanzen die automatische Größenanpassung des Speichers aktiviert ist. Wenn Sie „storageAutoResize“ aktivieren, kann die Speicherkapazität der Instanzen bei Bedarf automatisch erhöht werden. So lassen sich potenzielle Fehler aufgrund von zu geringem Speicherplatz und Ausfallzeiten vermeiden. Ohne automatische Größenanpassung kann die Instanz nicht mehr verfügbar sein, wenn der Speicherplatz aufgebraucht ist. Mit dieser Regel wird geprüft, ob die Einstellung „storageAutoResize“ in der Instanzkonfiguration vorhanden ist und welchen Wert sie hat. Wenn „storageAutoResize“ auf „false“ gesetzt oder nicht vorhanden ist, bedeutet das, dass die automatische Größenanpassung des Speichers deaktiviert ist, was zu Betriebsproblemen führen kann. Die Aktivierung dieser Funktion ist entscheidend für die Zuverlässigkeit und Verfügbarkeit der Datenbank.
Cloudsql mysql local infile enabled

Schweregrad:
Medium

Tags: CloudSQL, MySQL, Instanz, Sicherheit, Flags, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Wenn Sie „local_infile“ in Cloud SQL for MySQL aktivieren, kann der Server für Exploits zum Lesen von Dateien anfällig sein. Deaktivieren Sie die Option, sofern sie nicht unbedingt erforderlich ist.
Cloudsql mysql skip show database

Schweregrad:
Medium

Tags: CloudSQL, MySQL, Instanz, Sicherheit, Flags, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Achten Sie darauf, dass das Flag „skip_show_database“ für Cloud SQL for MySQL-Instanzen aktiviert (auf „Ein“ gesetzt) ist. Wenn Sie dieses Flag aktivieren, können Nutzer den Befehl SHOW DATABASES nur verwenden, wenn sie die Berechtigung SHOW DATABASES haben. Dadurch wird die Sicherheit erhöht, da Nutzer weniger Möglichkeiten haben, Datenbanknamen zu ermitteln. Das Risiko unbefugter Zugriffsversuche und der Offenlegung von Informationen wird so verringert. Es handelt sich um eine Form von „Security through Obscurity“.
Cloudsql mysql slow query log disabled

Schweregrad:
Medium

Tags: CloudSQL, MySQL, Instanz, Leistung, Flags, Leistung, Fehlerbehebung, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Prüft, ob das Datenbank-Flag „slow_query_log“ für Cloud SQL for MySQL-Instanzen aktiviert (auf „Ein“ festgelegt) ist. Wenn Sie dieses Flag aktivieren, wird das langsame Abfrage-Log aktiviert. Darin werden SQL-Anweisungen aufgezeichnet, die einen definierten Ausführungszeitschwellenwert (der von „long_query_time“ gesteuert wird) überschreiten. Das langsame Abfragelog ist ein wichtiges Tool, um Leistungsengpässe zu erkennen, Abfragen zu optimieren und Probleme mit der Datenbankleistung zu beheben. Wenn Sie dieses Flag deaktivieren, können Sie Probleme mit langsamen Abfragen nur schwer diagnostizieren und beheben.
Cloudsql no auto backup

Schweregrad:
Hoch

Tags: Reliability, BCDR, DataProtection, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Prüft, ob für Cloud SQL-Instanzen automatische Sicherungen aktiviert sind, damit kritische Daten im Falle von Beschädigung, Löschung oder Dienstausfall wiederhergestellt werden können. Wenn Sie automatische Sicherungen deaktivieren, ist keine Wiederherstellung zu einem bestimmten Zeitpunkt mehr möglich.
Cloud SQL-Passwortrichtlinie nicht aktiviert

Schweregrad:
Hoch

Tags: CloudSQL, Instance, Security, Password, Reliability, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Prüft, ob für Cloud SQL-Instanzen eine Passwortvalidierungsrichtlinie aktiviert ist. Aus Sicherheitsgründen wird dringend empfohlen, eine Richtlinie zur Passwortvalidierung festzulegen. Wenn Sie sich auf Standardeinstellungen verlassen oder die Passwortvalidierung nicht festlegen, steigt das Risiko von unbefugtem Zugriff und potenziellen Datenpannen erheblich. Mit dieser Regel wird geprüft, ob die Passwortvalidierung fehlt. Wenn die Passwortvalidierung für die Instanz nicht erzwungen wird, deutet dies auf eine potenzielle Sicherheitslücke hin.
Cloudsql pgsql log checkpoints

Schweregrad:
Medium

Tags: CloudSQL, PostgreSQL, Reliability, Performance, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Achten Sie darauf, dass das Datenbank-Flag „log_checkpoints“ für Cloud SQL for PostgreSQL-Instanzen aktiviert (auf „Ein“ festgelegt) ist. Prüfpunkte sind kritische Punkte in der Transaktionslog-Sequenz, an denen PostgreSQL alle geänderten Datenpuffer auf die Festplatte schreibt und die Steuerdatei aktualisiert. Das Protokollieren von Checkpoints liefert wertvolle Informationen zum Überwachen der Datenbankwiederherstellungszeit, zum Diagnostizieren von Leistungsproblemen im Zusammenhang mit E/A und zum Nachvollziehen von Schreibvorgängen. Durch Deaktivieren dieses Flags kann die Fehlerbehebung und die Analyse der Wiederherstellung erschwert werden.
Cloudsql pgsql log connections disabled

Schweregrad:
Medium

Tags: CloudSQL, PostgreSQL, Instance, Logging, Flags, Security, Troubleshooting, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Prüft, ob das Datenbank-Flag „log_connections“ für Cloud SQL for PostgreSQL-Instanzen aktiviert (auf „on“ gesetzt) ist. Wenn dieses Flag aktiviert ist, wird jeder erfolgreiche Verbindungsversuch zum Datenbankserver protokolliert, einschließlich des Nutzernamens und der Client-IP-Adresse. Diese Informationen sind entscheidend für Sicherheitsprüfungen, die Nachverfolgung des Datenbankzugriffs und die Behebung von Verbindungsproblemen. Es ergänzt das Flag „log_disconnections“, mit dem das Ende von Sitzungen protokolliert wird. Mit dieser Regel werden Instanzen gekennzeichnet, bei denen das Verbindungs-Logging deaktiviert ist.
Cloudsql pgsql log disconnections disabled

Schweregrad:
Medium

Tags: CloudSQL, PostgreSQL, Instance, Logging, Flags, Security, Troubleshooting, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Prüft, ob das Datenbank-Flag „log_disconnections“ für Cloud SQL for PostgreSQL-Instanzen aktiviert (auf „on“ gesetzt) ist. Wenn dieses Flag aktiviert ist, wird das Ende jeder Clientsitzung einschließlich der Sitzungsdauer protokolliert. Diese Informationen sind für Audits, Sicherheitsanalysen (z.B. zum Erkennen ungewöhnlicher Verbindungsmuster) und die Fehlerbehebung bei verbindungsbezogenen Problemen nützlich. Es ergänzt das Flag „log_connections“, mit dem der Beginn von Verbindungen protokolliert wird. Diese Regel kennzeichnet Instanzen, bei denen das Logging von Verbindungsunterbrechungen deaktiviert ist.
Cloudsql pgsql log error verbosity

Schweregrad:
Medium

Tags: CloudSQL, PostgreSQL, Instance, Logging, Flags, Troubleshooting, Debugging, Reliability, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Prüft, ob das Datenbank-Flag „log_error_verbosity“ für Cloud SQL for PostgreSQL-Instanzen auf „default“ oder „verbose“ festgelegt ist. Dieses Flag steuert die Detailgenauigkeit von Fehlermeldungen, die in das Serverlog geschrieben werden. Wenn Sie die Einstellung auf „default“ oder „verbose“ setzen, erhalten Sie mehr Informationen für die Fehlerbehebung und das Debugging als bei der Einstellung „terse“, bei der die Details minimiert werden. Ausführlichere Fehlerprotokolle können die Diagnose der Ursache von Datenbankproblemen erheblich erleichtern.
Cloudsql pgsql log hostname

Schweregrad:
Medium

Tags: CloudSQL, PostgreSQL, Instance, Logging, Troubleshooting, Security, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Prüft, ob das Datenbank-Flag „log_hostname“ für Cloud SQL for PostgreSQL-Instanzen aktiviert (auf „on“ gesetzt) ist. Wenn dieses Flag aktiviert ist, werden zusätzlich zu den IP-Adressen auch die Hostnamen der verbundenen Clients protokolliert. Das Protokollieren von Hostnamen kann für die Fehlerbehebung, Sicherheitsüberprüfung und Identifizierung der Quelle von Verbindungen nützlich sein. Dies kann besonders in Umgebungen hilfreich sein, in denen sich IP-Adressen häufig ändern (z.B. aufgrund von DHCP) oder in denen mehrere Clients über dieselbe IP-Adresse verbunden sind (z.B. über einen Proxy oder NAT). Wenn Sie diese Option aktivieren, kann es jedoch aufgrund des Hostnamens zu einem leichten Leistungsmehraufwand kommen.
Cloudsql pgsql log lock waits

Schweregrad:
Medium

Tags: CloudSQL, Leistung, Zuverlässigkeit, PostgreSQL, Instanz, Logging, Flags, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Achten Sie darauf, dass das Datenbank-Flag „log_lock_waits“ für Cloud SQL for PostgreSQL-Instanzen aktiviert (auf „Ein“ gesetzt) ist. Wenn Sie dieses Flag aktivieren, werden lange Sperrwartezeiten protokolliert, die häufig auf Leistungsengpässe oder Probleme mit der Parallelität in der Datenbank hinweisen. Durch die Überwachung dieser Logs können Administratoren die Ursachen für langsame Abfragen oder Probleme mit der Anwendungsleistung ermitteln und beheben. Dieser proaktive Ansatz trägt dazu bei, die Datenbank in gutem Zustand zu halten und die Reaktionsfähigkeit zu gewährleisten.
Cloudsql pgsql log min duration disabled

Schweregrad:
Medium

Tags: CloudSQL, PostgreSQL, Instance, Logging, Flags, Performance, Troubleshooting, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Prüft, ob das Datenbank-Flag „log_min_duration_statement“ für Cloud SQL for PostgreSQL-Instanzen auf „1“ (deaktiviert) festgelegt ist. Mit diesem Flag wird die Mindestausführungszeit (in Millisekunden) festgelegt, die für eine Anweisung erforderlich ist, bevor sie protokolliert wird. Wenn Sie diesen Wert auf 1 festlegen, wird die Protokollierung der Anweisungsdauern deaktiviert, was die Leistungsüberwachung und Fehlerbehebung erschwert. Es wird im Allgemeinen empfohlen, einen bestimmten Schwellenwert festzulegen (z. B. 2.000 für 2 Sekunden), um langsame Abfragen zu erfassen, ohne die Logs zu überlasten. Mit dieser Regel werden Instanzen gekennzeichnet, bei denen das dauerbasierte Statement-Logging deaktiviert ist.
Cloudsql pgsql log min error too high

Schweregrad:
Medium

Tags: CloudSQL, PostgreSQL, Instance, Logging, Flags, Troubleshooting, Security, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Prüft, ob das Datenbank-Flag „log_min_error_statement“ für Cloud SQL for PostgreSQL-Instanzen auf „error“, „log“, „fatal“ oder „panic“ festgelegt ist. Dieses Flag steuert den Schweregrad von SQL-Anweisungen, die als Fehler protokolliert werden. Wenn Sie den Wert auf „error“ oder eine strengere Stufe (log, fatal, panic) festlegen, werden alle fehlerverursachenden Anweisungen protokolliert. Das ist wichtig für die Fehlerbehebung, die Prüfung und die Sicherheitsanalyse. Bei Einstellungen, die weniger streng als „Fehler“ sind (z.B. „Warnung“, „Hinweis“), werden möglicherweise nicht alle Fehlerbedingungen erfasst, was die Diagnose und Behebung von Problemen erschwert. Mit dieser Regel werden Instanzen mit einer Einstellung gekennzeichnet, die weniger streng als „error“ ist.
Cloudsql pgsql log min messages non default

Schweregrad:
Medium

Tags: CloudSQL, PostgreSQL, Instance, Logging, Flags, Logging, Troubleshooting, Reliability, CSPR, CoNa

Asset: sqladmin.googleapis.com/Instance

Details
Prüft, ob das Datenbank-Flag „log_min_messages“ für Cloud SQL for PostgreSQL-Instanzen auf den Standardwert „warning“ (Warnung) festgelegt ist. Dieses Flag steuert den Schweregrad von Nachrichten, die in das Serverlog geschrieben werden. Die Standardeinstellung (Warnung) ist in der Regel angemessen. Es wird jedoch oft empfohlen, diese Einstellung an Ihre spezifischen betrieblichen Anforderungen und den gewünschten Detaillierungsgrad der Protokollierung anzupassen. Wenn Sie die Ausführlichkeitsstufe auf eine höhere Ebene (z. B. „notice“, „info“, „debug“) festlegen, erhalten Sie mehr Informationen für die Fehlerbehebung. Wenn Sie sie auf eine niedrigere Ebene (z. B. „error“, „log“, „fatal“, „panic“) festlegen, wird das Log-Volumen reduziert. Mit dieser Regel werden Fälle gekennzeichnet, in denen die Einstellung nicht der Standardwert ist (Warnung). Es ist eine Richtlinienentscheidung, ob die Standardeinstellung erzwungen oder Abweichungen zugelassen werden sollen.
Cloud SQL-pgsql-Logbericht

Schweregrad:
Medium

Tags: CloudSQL, PostgreSQL, Instance, Logging, Flags, Troubleshooting, Performance, Security, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Prüft, ob das Datenbank-Flag „log_statement“ für Cloud SQL for PostgreSQL-Instanzen auf einen anderen Wert als „none“ konfiguriert ist. Das Flag „log_statement“ steuert, welche SQL-Anweisungen protokolliert werden. Die richtige Protokollierung von SQL-Anweisungen ist entscheidend für die Prüfung, Sicherheitsanalyse, Fehlerbehebung bei der Leistung und das Debugging. Wenn Sie den Wert auf „ddl“, „mod“ oder „all“ festlegen (je nach Bedarf), erhalten Sie wertvolle Informationen zu Datenbankaktivitäten. Wenn Sie „Keine“ auswählen, wird die Protokollierung von Aussagen vollständig deaktiviert, was diese wichtigen Funktionen beeinträchtigt.
Cloudsql pgsql log temp files

Schweregrad:
Medium

Tags: CloudSQL, PostgreSQL, Instance, Logging, Flags, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Prüft, ob das Datenbank-Flag „log_temp_files“ für Cloud SQL for PostgreSQL-Instanzen aktiviert ist (auf einen Wert ungleich null festgelegt). Mit diesem Flag wird die Protokollierung der Verwendung temporärer Dateien gesteuert. Wenn Sie einen anderen Wert als 0 festlegen (wodurch die Protokollierung deaktiviert wird), können Sie die Größe und Anzahl der temporären Dateien überwachen, die von Abfragen erstellt werden. Das Erstellen einer großen Anzahl temporärer Dateien kann auf ineffiziente Abfragen, schlecht abgestimmte work_mem-Einstellungen oder potenzielle Leistungsengpässe hinweisen. Die Analyse dieser Logs kann dazu beitragen, die Abfrageleistung und Ressourcennutzung zu optimieren. Bei einem Wert von 0 wird die Protokollierung deaktiviert. Positive Werte geben einen Schwellenwert in KB an.
Cloudsql pgsql max connections

Schweregrad:
Medium

Tags: CloudSQL, Zuverlässigkeit, Leistung, SQL, PostgreSQL, Instanz, Verbindungen, Flags, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Sorgt dafür, dass das Datenbank-Flag „max_connections“ explizit für Cloud SQL for PostgreSQL-Instanzen konfiguriert ist. Das Festlegen eines geeigneten Werts für „max_connections“ ist entscheidend für die Ressourcenverwaltung und zur Vermeidung von Verbindungsengpässen. Ohne ein definiertes Limit könnte ein Anstieg der Verbindungsanfragen die Datenbank überlasten, was zu einer Beeinträchtigung der Leistung oder zu einem Denial-of-Service führen könnte. Der optimale Wert hängt von der Instanzgröße und der Arbeitslast ab.
Cloudsql pgsql pgaudit disabled

Schweregrad:
Medium

Tags: CloudSQL, PostgreSQL, Instance, Auditing, Flags, Security, Auditing, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Prüft, ob das Flag „cloudsql.enable_pgaudit“ für Cloud SQL for PostgreSQL-Instanzen aktiviert (auf „on“ gesetzt) ist. Mit diesem Flag wird die pgaudit-Erweiterung aktiviert, die detaillierte Audit-Logs zu Sitzungen und Objekten bereitstellt. Mit pgaudit können Sie bestimmte Datenbankaktivitäten wie SELECT-, INSERT-, UPDATE- und DELETE-Vorgänge verfolgen und detaillierte Audit-Regeln basierend auf Nutzern, Rollen und Objekten konfigurieren. Dies ist für Sicherheitsprüfungen, Compliance und forensische Analysen unerlässlich.
Cloudsql-Zugriff über das öffentliche Netzwerk

Schweregrad:
Hoch

Tags: CloudSQL, Instance, Security, Networking, CSPR, MVSP

Asset: sqladmin.googleapis.com/Instance

Details
Erkennt Cloud SQL-Instanzen, die so konfiguriert sind, dass Verbindungen von jeder IP-Adresse (0.0.0.0/0) in ihren autorisierten Netzwerken zugelassen werden. Eine Datenbankinstanz dem öffentlichen Internet auszusetzen, ist ein kritisches Sicherheitsrisiko und sollte nur vermieden werden, wenn es unbedingt erforderlich ist und mit äußerster Vorsicht. Die öffentliche Zugänglichkeit erhöht die Angriffsfläche erheblich und macht die Instanz anfällig für unbefugten Zugriff, Brute-Force-Angriffe und Datenpannen. Der Zugriff sollte auf bestimmte, bekannte IP-Adressen oder ‑Bereiche beschränkt sein.
Cloud SQL erfordert SSL

Schweregrad:
Hoch

Tags: CloudSQL, Instance, Security, SSL, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Erzwingt die Verwendung von SSL/TLS-Verbindungen für alle Clients, die eine Verbindung zu dieser Cloud SQL-Instanz herstellen. Wenn Sie SSL/TLS erzwingen, werden Daten bei der Übertragung verschlüsselt und so vor Abhören und Man-in-the-Middle-Angriffen geschützt. Dies ist eine wichtige Best Practice für die Sicherheit für jede Datenbank, in der vertrauliche Informationen verarbeitet werden. Ohne SSL/TLS werden Daten im Nur-Text-Format übertragen.
Cloudsql-Root-Passwort nicht festgelegt

Schweregrad:
Hoch

Tags: CloudSQL, Instance, Security, Password, Reliability, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Prüft, ob für Cloud SQL-Instanzen ein Root-Passwort festgelegt ist. Aus Sicherheitsgründen sollte für alle Cloud SQL-Instanzen ein starkes, eindeutiges Root-Passwort festgelegt werden. Diese Regel prüft direkt das Feld „rootPassword“ in der Instanzkonfiguration. Ein leeres oder fehlendes rootPassword-Feld stellt eine erhebliche Sicherheitslücke dar, da dies bedeutet, dass auf die Instanz ohne Passwort oder mit einem Standardpasswort zugegriffen werden kann.
Cloud SQL-Server mit aktivierter Authentifizierung für eigenständige Datenbanken

Schweregrad:
Medium

Tags: CloudSQL, SQL Server, Instance, Security, Authentication, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Prüft, ob die Authentifizierung von eigenständigen Datenbanken für Cloud SQL for SQL Server-Instanzen aktiviert ist. Enthaltene Datenbanken ermöglichen die Authentifizierung auf Datenbankebene und nicht nur auf Instanzebene (Serverebene). Das kann zwar die Portabilität von Datenbanken vereinfachen, birgt aber auch potenzielle Sicherheitsrisiken, wenn es nicht sorgfältig verwaltet wird. Nutzer, die für eine eigenständige Datenbank authentifiziert wurden, können Sicherheitskontrollen auf Instanzebene umgehen. Es wird im Allgemeinen empfohlen, die Authentifizierung für eigenständige Datenbanken zu deaktivieren, es sei denn, sie ist ausdrücklich erforderlich und die Sicherheitsrisiken sind bekannt.
Cloud SQL-Server – datenbankübergreifende Eigentümerverkettung

Schweregrad:
Medium

Tags: CloudSQL, Reliability, SQL Server, Instance, Security, Ownership Chaining, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Sorgt dafür, dass „cross db ownership chaining“ für Cloud SQL for SQL Server-Instanzen deaktiviert (auf „off“ gesetzt) ist. Das Deaktivieren dieser Einstellung ist eine wichtige Best Practice für die Sicherheit. Wenn diese Option aktiviert ist, können Nutzer einer Datenbank möglicherweise unbeabsichtigten Zugriff auf Objekte in anderen Datenbanken erhalten, wenn die Verkettung der Eigentümerschaft nicht sorgfältig verwaltet wird. Dies kann zu Sicherheitslücken in Bezug auf die Rechteausweitung führen.
Cloud SQL-Server „external scripts enabled“

Schweregrad:
Medium

Tags: CloudSQL, SQL Server, Instance, Security, Flags, Security, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Prüft, ob das Flag „external scripts enabled“ für Cloud SQL for SQL Server-Instanzen aktiviert ist. Mit diesem Flag wird gesteuert, ob externe Scripts (z.B. R, Python) in der SQL Server-Umgebung ausgeführt werden können. Diese Funktion kann zwar für erweiterte Analysen und maschinelles Lernen nützlich sein, birgt jedoch potenzielle Sicherheitsrisiken, wenn sie nicht sorgfältig verwaltet wird. Externe Skripts können möglicherweise auf Systemressourcen zugreifen oder schädlichen Code ausführen. Es wird generell empfohlen, diese Funktion zu deaktivieren, es sei denn, sie ist ausdrücklich erforderlich und es wurden entsprechende Sicherheitsvorkehrungen getroffen.
Cloud SQL-Server-Remotezugriff

Schweregrad:
Medium

Tags: CloudSQL, SQL Server, Instance, Security, Access Control, Reliability, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Sorgt dafür, dass das Datenbank-Flag „remote access“ für Cloud SQL für SQL Server-Instanzen deaktiviert (auf „Aus“ festgelegt) ist. Wenn Sie dieses Flag deaktivieren, können SQL Server-Clients auf Remotecomputern keine Verbindung zu dieser Instanz über die Dedicated Administrator Connection (DAC) herstellen. Der DAC ist zwar ein leistungsstarkes Tool zur Fehlerbehebung, aber wenn seine Verwendung auf lokale Verbindungen beschränkt wird, wird die Angriffsfläche erheblich verringert. Falsch konfigurierter oder kompromittierter Remotezugriff kann zu unbefugter Datenbanksteuerung führen.
Cloudsql-Server-Traceflag 3625 aktiviert

Schweregrad:
Medium

Tags: CloudSQL, SQL Server, Instance, Security, Reliability, Security, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Prüft, ob das Trace-Flag 3625 für Cloud SQL for SQL Server-Instanzen aktiviert ist. Das Trace-Flag 3625 begrenzt die Menge an Informationen, die in Fehlermeldungen an Nutzer zurückgegeben werden, die keine Sysadmins sind. Dadurch werden möglicherweise vertrauliche Details zur Datenbankstruktur oder -konfiguration maskiert. Dieses Trace-Flag ist in einigen Sicherheitskontexten nützlich, wird aber in Entwicklungs- und Testumgebungen oft deaktiviert, um detailliertere Fehlerinformationen für die Fehlerbehebung zu erhalten. Mit dieser Regel werden Instanzen gekennzeichnet, in denen das Trace-Flag 3625 aktiviert ist. Es ist wichtig, die Auswirkungen dieses Flags zu verstehen und zu prüfen, ob es Ihren Sicherheits- und Betriebsanforderungen entspricht.
Cloud SQL-Server – unbegrenzte Nutzerverbindungen

Schweregrad:
Medium

Tags: CloudSQL, SQL Server, Instance, Connections, Flags, Performance, Reliability, CSPR

Asset: sqladmin.googleapis.com/Instance

Details
Prüft, ob das Datenbank-Flag „user connections“ für Cloud SQL for SQL Server-Instanzen auf „0“ (unbegrenzt) festgelegt ist. Wenn Sie die Nutzerverbindungen auf 0 setzen, ist eine unbegrenzte Anzahl gleichzeitiger Nutzerverbindungen möglich. Dies kann zu Ressourcenerschöpfung, Leistungseinbußen und potenziellen Denial-of-Service-Angriffen führen. Es wird empfohlen, ein bestimmtes, angemessenes Limit für Nutzerverbindungen basierend auf der Instanzgröße und der erwarteten Arbeitslast zu konfigurieren, um Ressourcenkonflikte zu vermeiden und die Datenbankstabilität aufrechtzuerhalten. Diese Regel kennzeichnet Instanzen, bei denen die Verbindungen unbegrenzt sind.
Cloudsql-Servernutzeroptionen festgelegt

Schweregrad:
Medium

Tags: CloudSQL, SQL Server, Instance, Configuration, Flags, Reliability, CSPR, CoNa

Asset: sqladmin.googleapis.com/Instance

Details
Prüft, ob das Datenbank-Flag „user options“ für Cloud SQL for SQL Server-Instanzen konfiguriert ist. Das Flag „user options“ gibt serverweite Standardeinstellungen für das Verhalten bei der Abfrageverarbeitung für alle Nutzer an. Es wird generell empfohlen, keine globalen Nutzeroptionen festzulegen, sondern einzelnen Nutzern oder Anwendungen zu erlauben, ihre eigenen Einstellungen auf Sitzungsebene nach Bedarf zu konfigurieren. Wenn Sie sich auf globale Nutzeroptionen verlassen, kann dies zu unerwartetem Verhalten oder Kompatibilitätsproblemen führen, wenn für verschiedene Anwendungen unterschiedliche Einstellungen erforderlich sind. Mit dieser Regel werden Fälle gekennzeichnet, in denen „user options“ festgelegt ist (d.h. nicht der Standardstatus „nicht konfiguriert“, der in der Regel durch „0“ oder einen leeren String dargestellt wird).
Cloud SQL-Failover-Replikat für zonale Instanzen

Schweregrad:
Hoch

Tags: CloudSQL, Instance, Reliability, Availability, HA, Zonal, Failover, CSPR, CoNa

Asset: sqladmin.googleapis.com/Instance

Details
Prüft, ob eine Cloud SQL-Instanz für Hochverfügbarkeit konfiguriert ist. Diese Regel konzentriert sich auf zonale Instanzen (nicht regional) und prüft, ob ein Failover-Replikat verfügbar ist. Bei zonalen Instanzen ist ein Failover-Replikat für die Ausfallsicherheit unerlässlich. Wenn „failoverReplicaAvailable“ für eine zonale Instanz „false“ ist, bedeutet das, dass die Instanz ein Single Point of Failure ist und anfällig für Ausfälle in dieser Zone ist. Eine zonale Instanz ohne Failover-Replikat erfüllt die Anforderungen an die Hochverfügbarkeit nicht. Dies wird als Problem mit hohem Schweregrad eingestuft, da es sich direkt auf die Zuverlässigkeit und Verfügbarkeit der Datenbank auswirkt.

Google Cloud Best Practices – Cloud Spanner (6 Ergebnisse)

Alter der Spanner-Datenbanksicherung

Schweregrad:
Medium

Tags: Spanner, Backup, Security, CSPR

Asset: spanner.googleapis.com/Backup

Details
Prüft, ob Cloud Spanner-Sicherungen älter als ihr Mindestaufbewahrungszeitraum sind.
Spanner-Datenbank ohne CMEK

Schweregrad:
Hoch

Tags: Spanner, Sicherheit, Verschlüsselung, CMEK, CSPR, MVSP

Asset: spanner.googleapis.com/Database

Details
Prüft, ob Cloud Spanner-Datenbanken mit kundenverwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEK) anstelle von von Google verwalteten Schlüsseln verschlüsselt werden.
Spanner-Datenbank mit aktivierter PITR

Schweregrad:
Hoch

Tags: Reliability, Database, Backup, Recovery, BCDR

Asset: spanner.googleapis.com/Database

Details
Prüfen Sie, ob für Spanner-Datenbanken die Wiederherstellung zu einem bestimmten Zeitpunkt konfiguriert ist, indem Sie prüfen, ob die Aufbewahrungsdauer für Versionen auf einen anderen Wert als den Standardwert festgelegt ist.
Schutz vor dem Löschen von Spanner-Datenbanken deaktiviert

Schweregrad:
Hoch

Tags: Sicherheit, Zuverlässigkeit, Datenschutz, CSPR

Asset: spanner.googleapis.com/Database

Details
Erzwingt den Löschschutz für Cloud Spanner-Datenbanken, um versehentliches Löschen zu verhindern, das zu irreversiblem Datenverlust und erheblichen Dienstunterbrechungen führen kann. Mit dieser Regel wird geprüft, ob das Flag „enableDropProtection“ fehlt oder explizit auf „false“ gesetzt ist. In diesem Fall ist die Datenbank anfällig für unbeabsichtigtes Entfernen.
Unzureichende Kapazität der Spanner-Instanz

Schweregrad:
Hoch

Tags: Reliability, Performance, Capacity Management, CSPR

Asset: spanner.googleapis.com/Instance

Details
Prüft, ob Cloud Spanner-Instanzen mit mindestens einem Knoten oder 1.000 Verarbeitungseinheiten bereitgestellt werden, um eine ausreichende Kapazität für Produktionsarbeitslasten zu gewährleisten und Latenz und Drosselung zu verhindern. Instanzen mit geringerer Kapazität können bei Traffic-Spitzen Probleme haben, was sich auf die Zuverlässigkeit der Anwendung auswirkt.
Multiregionale Spanner-Instanz

Schweregrad:
Hoch

Tags: Reliability, Availability, BCDR, CSPR

Asset: spanner.googleapis.com/Instance

Details
Prüft, ob Cloud Spanner-Instanzen mit einer multiregionalen Instanzkonfiguration konfiguriert sind, um eine Verfügbarkeit von 99,999% und eine hohe Ausfallsicherheit bei regionalen Ausfällen zu gewährleisten. Instanzen, die mit Konfigurationen für eine einzelne Region konfiguriert sind (anhand des regionalen Präfixes in der Konfigurationseinstellung erkennbar), erfüllen diesen Verfügbarkeitsstandard nicht.

Google Cloud Best Practices – Cloud Storage (20 Ergebnisse)

Richtlinie für vorläufiges Löschen für Cloud Storage-Bucket aktiviert

Schweregrad:
Hoch

Tags: Reliability, Storage, Backup, DataProtection

Asset: storage.googleapis.com/Bucket

Details
Prüfen Sie, ob für Google Cloud Storage-Buckets eine Richtlinie für vorläufiges Löschen aktiviert ist, um vor versehentlichem oder böswilligem Löschen von Objekten zu schützen.
Turboreplikation von Cloud Storage-Bucket

Schweregrad:
Medium

Tags: Reliability, Storage, Replication, DisasterRecovery, BCDR

Asset: storage.googleapis.com/Bucket

Details
Prüfen Sie, ob für die biregionalen GCS-Buckets die Turboreplikation aktiviert ist, um ein RPO von 15 Minuten gemäß dem Google Cloud-SLA zu garantieren.
Cloud Storage-Bucket: Unvollständige mehrteilige Uploads abbrechen

Schweregrad:
Niedrig

Tags: CloudStorage, Lifecycle, CostOptimization

Asset: storage.googleapis.com/Bucket

Details
Prüft, ob für Cloud Storage-Buckets eine Lebenszyklusregel konfiguriert ist, um unvollständige mehrteilige Uploads abzubrechen. Unvollständige Uploads verbrauchen Speicherplatz und verursachen auf unbestimmte Zeit Kosten, wenn sie nicht bereinigt werden.
CMEK-Rotation für Cloud Storage-Bucket

Schweregrad:
Hoch

Asset: storage_Bucket_RESOURCE_RELATIONSHIP

Details
Achten Sie darauf, dass Cloud Storage-Buckets mit einem kundenverwalteten Verschlüsselungsschlüssel (CMEK) verschlüsselt werden, der einen Rotationszeitraum von maximal 90 Tagen hat.
Cloud Storage-Bucket mit zwei Regionen

Schweregrad:
Medium

Tags: Bucket, Availability, Resilience, DisasterRecovery

Asset: storage.googleapis.com/Bucket

Details
Prüft, ob Cloud Storage-Buckets mit Dual-Region- oder Multi-Region-Standorttypen konfiguriert sind. Diese Konfiguration sorgt für Hochverfügbarkeit und Datenresilienz, da die Daten auf mehrere geografische Standorte verteilt werden. Bei einem regionalen Standorttyp sind Daten anfällig für Ausfälle in einer einzelnen Region und die Anforderungen an die Hochverfügbarkeit werden nicht erfüllt.
Cloud Storage-Bucket-Lebenszyklus für leere Buckets

Schweregrad:
Medium

Tags: Storage, Bucket, Lifecycle, Reliability, Cost, CSPR, CoNa

Asset: storage.googleapis.com/Bucket

Details
Identifiziert Cloud Storage-Buckets, für die Lebenszyklusregeln definiert sind, in denen jedoch eine bestimmte Aktion fehlt. Eine Lebenszyklusregel ohne Aktion ist wirkungslos und hat keinen Zweck. Lebenszyklusregeln dienen dazu, den Objektlebenszyklus durch Aktionen wie Löschungen oder Übergänge von Speicherklassen zu verwalten. Eine leere Aktion weist auf einen Konfigurationsfehler hin, der behoben werden sollte. Das kann ein Zeichen für eine unvollständige Einrichtung oder einen Tippfehler in der Konfiguration sein.
Cloud Storage-Bucket „gdpr“

Schweregrad:
Medium

Tags: Storage, Bucket, GDPR, Compliance, Location, EU, DataResidency, CSPR

Asset: storage.googleapis.com/Bucket

Details
Prüft, ob sich ein Google Cloud Storage-Bucket außerhalb der geografischen Grenzen der Europäischen Union (EU) befindet. Für Organisationen, die der DSGVO oder ähnlichen Vorschriften zum Datenstandort unterliegen, ist die Speicherung von Daten an konformen Standorten von entscheidender Bedeutung. Mit dieser Regel werden Buckets identifiziert, bei denen das Feld „Standort“ nicht einer multiregionalen EU-Region (EU) oder einer bestimmten EU-Region (beginnt in der Regel mit „EUROPE“) entspricht. Buckets außerhalb der EU müssen möglicherweise auf Einhaltung der Vorschriften überprüft werden.
Cloud Storage-Bucket-Logging aktiviert

Schweregrad:
Medium

Tags: Storage, Bucket, Logging, Security, Audit, CSPR, CoNa, MVSP

Asset: storage.googleapis.com/Bucket

Details
Prüft, ob das Logging für den Cloud Storage-Bucket aktiviert ist. Zugriffs-Logging enthält detaillierte Informationen zu Anfragen, die an den Bucket gesendet wurden. Das ist wichtig für Sicherheitsprüfungen und das Monitoring des Zugriffs auf sensible Daten.
Cloud Storage-Bucket ohne Klassifizierungslabel

Schweregrad:
Niedrig

Tags: Storage, Bucket, Labels, DataGovernance, Classification, Security, CSPR, CoNa

Asset: storage.googleapis.com/Bucket

Details
Prüft, ob für den Cloud Storage-Bucket ein Label vom Typ „classification“ konfiguriert ist. Klassifizierungslabels (z.B. öffentlich, privat, vertraulich) sind für Data Governance und die Anwendung geeigneter Sicherheitskontrollen von entscheidender Bedeutung.
Cloud Storage-Bucket ohne Labels

Schweregrad:
Niedrig

Tags: Storage, Bucket, Labels, Organization, FinOps, CSPR, CoNa

Asset: storage.googleapis.com/Bucket

Details
Sorgt dafür, dass Cloud Storage-Buckets Labels für die Ressourcenorganisation, die Kostenzuordnung und die Richtliniendurchsetzung haben.
Cloud Storage-Bucket ohne Inhaberlabel

Schweregrad:
Niedrig

Tags: Storage, Bucket, Labels, Owner, Security, CSPR, CoNa

Asset: storage.googleapis.com/Bucket

Details
Prüft, ob für den Cloud Storage-Bucket das Label „owner“ konfiguriert ist. Wenn Sie Ressourcen mit Inhabern kennzeichnen, können Sie die Rechenschaftspflicht, Kostenzuordnung und Ressourcenverwaltung verbessern.
Multiregionaler Cloud Storage-Bucket

Schweregrad:
Hoch

Tags: Reliability, Storage, MultiRegion, HighAvailability, BCDR

Asset: storage.googleapis.com/Bucket

Details
Prüft, ob Cloud Storage-Buckets für die Verwendung eines multiregionalen oder biregionalen Standorts konfiguriert sind, um maximale Verfügbarkeit, Datenredundanz und Schutz vor regionalen Dienstausfällen zu gewährleisten. Buckets mit einer einzelnen Region erfüllen diesen Hochverfügbarkeitsstandard nicht.
Cloud Storage-Bucket ohne CMEK

Schweregrad:
Hoch

Tags: Storage, Bucket, Encryption, CMEK, Security, CSPR

Asset: storage.googleapis.com/Bucket

Details
Prüft, ob ein Cloud Storage-Bucket mit einem vom Kunden verwalteten Verschlüsselungsschlüssel (Customer-Managed Encryption Key, CMEK) verschlüsselt ist. Mit CMEKs haben Sie mehr Kontrolle über Ihre Datenverschlüsselungsschlüssel als bei der von Google verwalteten Verschlüsselung. Mit CMEKs verwalten Sie den Schlüssellebenszyklus, einschließlich Rotation, Zugriffssteuerung und Auditing, in Cloud KMS. Dies ist häufig eine Anforderung für die Einhaltung regulatorischer Anforderungen oder für erweiterte Sicherheitsfunktionen, wenn Sie die direkte Kontrolle über Ihre Verschlüsselungsschlüssel benötigen. Wenn für einen Bucket kein CMEK verwendet wird, wird standardmäßig die von Google verwaltete Verschlüsselung verwendet.
Cloud Storage-Bucket öffentlich zugänglich

Schweregrad:
Kritisch

Tags: Security, Storage, IAM, CSPR, CoNa, MVSP

Asset: storage.googleapis.com/Bucket

Details
Erkennt, ob ein Cloud Storage-Bucket öffentlich zugänglich ist. Öffentliche Buckets ermöglichen es jedem Nutzer im Internet, Daten zu lesen oder zu schreiben, was ein erhebliches Risiko für Datenlecks darstellt.
Cloud Storage-Bucket mit Versionierung, keine Bereinigung des Lebenszyklus

Schweregrad:
Medium

Tags: CloudStorage, Storage, Bucket, Cost, Reliability, CSPR, CoNa, MVSP

Asset: storage.googleapis.com/Bucket

Details
Prüft, ob für einen Cloud Storage-Bucket mit aktivierter Objektversionsverwaltung auch eine Lebenszyklusregel zum Bereinigen nicht aktueller Versionen vorhanden ist. Wenn Sie die Versionsverwaltung ohne Lebenszyklusregel aktivieren, können die Speicherkosten unendlich steigen, da ältere Versionen nie gelöscht werden. Ein Verstoß tritt auf, wenn „versioning.enabled“ auf „true“ gesetzt ist, aber keine Lebenszyklusregel die Aktion „Delete“ in Kombination mit der Bedingung „daysSinceNoncurrentTime“ enthält.
Cloud Storage-Bucket-Versionsverwaltung deaktiviert

Schweregrad:
Medium

Tags: Storage, Bucket, Versioning, Reliability, Recovery, CSPR, CoNa

Asset: storage.googleapis.com/Bucket

Details
Prüft, ob die Objektversionsverwaltung für den Cloud Storage-Bucket aktiviert ist. Bei der Objektversionsverwaltung werden frühere Versionen eines Objekts beibehalten, wenn es überschrieben oder gelöscht wird. Dies ist ein wichtiger Schutz vor versehentlichem Datenverlust oder ‑beschädigung. Wenn die Versionsverwaltung aktiviert ist, können Sie bei Bedarf frühere Versionen von Objekten wiederherstellen. Wenn Sie die Versionsverwaltung deaktivieren, sind Überschreibungen und Löschungen endgültig.
Verhinderung des öffentlichen Zugriffs in Cloud Storage

Schweregrad:
Medium

Tags: Security, Storage, Compliance, CSPR, CoNa, MVSP

Asset: storage.googleapis.com/Bucket

Details
Prüft, ob die Verhinderung des öffentlichen Zugriffs (Public Access Prevention, PAP) für Cloud Storage-Buckets erzwungen wird. Wenn Sie PAP aktivieren, kann der öffentliche Zugriff auf Buckets nicht über IAM-Richtlinien oder ACLs gewährt werden. So werden sensible Daten vor versehentlicher Offenlegung im Internet geschützt.
Cloud Storage-Aufbewahrungsrichtlinie nicht gesperrt

Schweregrad:
Medium

Tags: Storage, Bucket, Retention, Policy, Lock, Compliance, DataLoss, DataGovernance, CSPR, CoNa

Asset: storage.googleapis.com/Bucket

Details
Prüft, ob für einen Google Cloud Storage-Bucket eine Aufbewahrungsrichtlinie konfiguriert ist und ob diese Richtlinie gesperrt ist. In einer Aufbewahrungsrichtlinie wird die Mindestdauer angegeben, für die Objekte im Bucket aufbewahrt werden müssen. Wenn Sie die Aufbewahrungsrichtlinie sperren, wird sie dauerhaft und unveränderlich. So wird verhindert, dass die Richtlinie versehentlich oder böswillig gelöscht oder geändert wird. Diese Regel prüft zwei Bedingungen: Wenn für den Bucket keine Aufbewahrungsrichtlinie (retentionPolicy) konfiguriert ist. 2. Wenn eine Aufbewahrungsrichtlinie konfiguriert ist, sie aber nicht gesperrt ist („retentionPolicy.isLocked“ ist „false“ oder fehlt). Wenn eine dieser Bedingungen zutrifft, wird durch die Regel ein Verstoß generiert. Wenn Sie eine entsperrte Aufbewahrungsrichtlinie oder gar keine Richtlinie haben, kann das Risiko von Datenverlust oder Manipulationen steigen. Eine gesperrte Aufbewahrungsrichtlinie ist entscheidend für Compliance und Data Governance.
Cloud Storage-Aufbewahrungsrichtlinie nicht definiert

Schweregrad:
Medium

Tags: Storage, Bucket, Retention, Policy, Lock, Compliance, DataLoss, DataGovernance, CSPR, CoNa

Asset: storage.googleapis.com/Bucket

Details
Prüft, ob für einen Google Cloud Storage-Bucket eine Aufbewahrungsrichtlinie konfiguriert ist und ob diese Richtlinie gesperrt ist. In einer Aufbewahrungsrichtlinie wird die Mindestdauer angegeben, für die Objekte im Bucket aufbewahrt werden müssen. Wenn Sie die Aufbewahrungsrichtlinie sperren, wird sie dauerhaft und unveränderlich. So wird verhindert, dass die Richtlinie versehentlich oder böswillig gelöscht oder geändert wird. Diese Regel prüft zwei Bedingungen: Wenn für den Bucket keine Aufbewahrungsrichtlinie (retentionPolicy) konfiguriert ist. 2. Wenn eine Aufbewahrungsrichtlinie konfiguriert ist, sie aber nicht gesperrt ist („retentionPolicy.isLocked“ ist „false“ oder fehlt). Wenn eine dieser Bedingungen zutrifft, wird durch die Regel ein Verstoß generiert. Wenn Sie eine entsperrte Aufbewahrungsrichtlinie oder gar keine Richtlinie haben, kann das Risiko von Datenverlust oder Manipulationen steigen. Eine gesperrte Aufbewahrungsrichtlinie ist entscheidend für Compliance und Data Governance.
Einheitlicher Bucket-Zugriff in Cloud Storage

Schweregrad:
Medium

Tags: Storage, Bucket, Security, CSPR

Asset: storage.googleapis.com/Bucket

Details
Prüft, ob der einheitliche Zugriff auf Bucket-Ebene für den Cloud Storage-Bucket aktiviert ist. Wenn Sie den einheitlichen Zugriff auf Bucket-Ebene aktivieren, können Sie Berechtigungen auf Bucket-Ebene mit IAM-Rollen verwalten, anstatt einzelne Objekt-ACLs zu verwalten. Dies wird im Allgemeinen empfohlen, um die Sicherheit und Verwaltbarkeit zu verbessern. Bei UBLA verwenden Sie nur IAM, um den Zugriff zu steuern. Berechtigungen lassen sich so einfacher prüfen und nachvollziehen. Wenn Sie UBLA deaktivieren, verwenden Sie eine Kombination aus IAM und Objekt-ACLs, was komplex und schwer zu verwalten sein kann.

Google Cloud Best Practices – Cloud VPN (4 Ergebnisse)

Compute vpn tunnel bgp enabled

Schweregrad:
Medium

Tags: Reliability, Network, VPN, BGP, Routing

Asset: compute.googleapis.com/VpnTunnel

Details
Prüft, ob für Compute Engine-VPN-Tunnel BGP-Routing aktiviert ist (d.h., ob sie einem Cloud Router zugeordnet sind). Beim statischen Routing für VPN-Tunnel fehlen dynamische Failover-Funktionen. Es wird daher nicht für Produktionsarbeitslasten mit hoher Verfügbarkeit empfohlen.
Compute vpngateway ha

Schweregrad:
Hoch

Tags: VPN, Networking, HighAvailability, Reliability

Asset: compute.googleapis.com/TargetVpnGateway

Details
Prüft, ob Cloud VPN-Gateways das eingestellte Klassisches VPN (TargetVpnGateway) anstelle von HA VPN verwenden. Für das Klassisches VPN gibt es kein SLA mit einer Verfügbarkeit von 99,99 %.
Multiregionale VPN-Gateways für Projekte

Schweregrad:
Hoch

Tags: Reliability, Network, VPN, HighAvailability, BCDR

Asset: cloudresourcemanager_Project_RESOURCE_VPNGATEWAY

Details
Prüft, ob in einem Projekt VPN-Gateways in mindestens zwei verschiedenen Regionen bereitgestellt wurden. Die multiregionale Bereitstellung von VPN-Gateways sorgt für Redundanz im Hybridnetzwerk und schützt vor regionalen Ausfällen.
Regionale VPN-Tunnel für Projekte

Schweregrad:
Hoch

Tags: Reliability, Network, VPN, HighAvailability, BCDR

Asset: cloudresourcemanager_Project_RESOURCE_VPNTUNNEL

Details
Prüft, ob für jede Region, in der VPN-Tunnel in einem Projekt bereitgestellt werden, mindestens zwei VPN-Tunnel konfiguriert sind. Die regionale VPN-Tunnelredundanz sorgt für die Einhaltung des SLA von 99, 99 %, nahtloses Failover und eine robuste Hybridkonnektivität.

Google Cloud Best Practices – Composer (1 Ergebnis)

Composer-Umgebungsscheduler ha

Schweregrad:
Hoch

Tags: Reliability, High Availability, Composer, Airflow, CoNa

Asset: composer.googleapis.com/Environment

Details
Prüft, ob Cloud Composer-Umgebungen mit mindestens zwei Airflow-Planern konfiguriert sind, um Hochverfügbarkeit zu gewährleisten. Die Ausführung mit einem einzelnen Scheduler birgt das Risiko von Workflow-Unterbrechungen bei Fehlern oder Wartungsarbeiten.

Google Cloud Best Practices – Compute Engine (95 Ergebnisse)

Autoscaling-Mindestreplikate redundant

Schweregrad:
Hoch

Tags: Reliability, Compute, Autoscaling, HighAvailability

Asset: compute.googleapis.com/Autoscaler

Details
Prüft, ob für Compute Engine-Autoscaler „minNumReplicas“ auf mindestens „2“ konfiguriert ist, um eine redundante Instanzverfügbarkeit bei Herunterskalierungsereignissen zu gewährleisten.
Compute-Adressnetzwerkstufe

Schweregrad:
Hoch

Tags: Reliability, Network, NetworkTier, IPAddress, Performance

Asset: compute.googleapis.com/Address

Details
Prüft, ob externe IP-Adressen für die Verwendung der Premium-Netzwerkstufe konfiguriert sind. Bei der Premium-Netzwerkstufe wird der Traffic über das globale Backbone-Netzwerk von Google und nicht über das öffentliche Internet geleitet. So werden eine hohe Verfügbarkeit, weniger Routing-Hops und eine bessere Leistung gewährleistet.
Compute-Autonetzwerke aktiviert

Schweregrad:
Niedrig

Tags: Compute, Network, VPC, AutoMode, Subnets, Networking, Configuration, CSPR

Asset: compute.googleapis.com/Network

Details
Prüft, ob für ein Compute Engine-VPC-Netzwerk die Funktion „autoCreateSubnetworks“ aktiviert ist. Bei VPC-Netzwerken im automatischen Modus wird automatisch ein Subnetz in jeder Google Cloud-Region erstellt. Dies entspricht möglicherweise nicht den gewünschten Strategien für die Netzwerksegmentierung oder die Verwaltung von IP-Adressen. VPCs im benutzerdefinierten Modus sind zwar nicht so einfach einzurichten, bieten aber eine detailliertere Kontrolle. Mit dieser Regel werden Netzwerke identifiziert, in denen „autoCreateSubnetworks“ explizit auf „true“ gesetzt ist. Für eine bessere Kontrolle und Sicherheit wird oft empfohlen, VPC-Netzwerke im benutzerdefinierten Modus zu verwenden.
Compute-Zielpools vermeiden

Schweregrad:
Hoch

Tags: Compute, LoadBalancing, Legacy, Migration, Reliability, CSPR, CoNa

Asset: compute.googleapis.com/TargetPool

Details
Erkennt die Verwendung von Legacy-Compute Engine-Zielpools. Zielpools sind für moderne Load-Balancing-Szenarien zugunsten von Backend-Diensten veraltet, die bessere Systemdiagnosen, Autoscaling und Multiregion-Funktionen bieten. Das Vorhandensein eines Zielpools weist auf eine Legacy-Konfiguration hin, die migriert werden sollte, um die Zuverlässigkeit der Anwendung und die Parität der Funktionen zu gewährleisten.
Logging für Compute-Backend-Dienste

Schweregrad:
Medium

Tags: Compute, BackendService, Logging, Security, Auditing, Monitoring, LoadBalancing, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/BackendService

Details
Prüft, ob das Logging für einen Compute Engine-Backend-Dienst aktiviert ist. Beim Backend-Dienst-Logging werden Anfragen aufgezeichnet, die vom Load Balancer verarbeitet werden. So erhalten Sie wichtige Informationen für die Überwachung des Traffics, die Fehlerbehebung, die Sicherheitsanalyse und das Auditieren. Bei dieser Regel wird das Feld „logConfig“ in der Konfiguration der Backend-Dienste untersucht. Ein Verstoß wird generiert, wenn „logConfig“ fehlt oder „logConfig.enable“ fehlt oder auf „false“ gesetzt ist.
Compute-Backend-Dienst ohne Systemdiagnose

Schweregrad:
Hoch

Tags: Reliability, Compute, LoadBalancing, CoNa

Asset: compute.googleapis.com/BackendService

Details
Erkennt Load-Balancer-Backend-Dienste, für die keine Systemdiagnosen konfiguriert sind. Systemdiagnosen sind wichtig, um Traffic von fehlerhaften Instanzen wegzuleiten und so Dienstausfälle zu verhindern.
Compute be bucket cdn

Schweregrad:
Niedrig

Tags: Compute, BackendBucket, CDN, Performance, Caching, CSPR

Asset: compute.googleapis.com/BackendBucket

Details
Prüft, ob Cloud CDN für einen Compute Engine-Back-End-Bucket aktiviert ist. Mit Cloud CDN werden Inhalte näher an den Nutzern im Cache gespeichert. Dadurch wird die Leistung verbessert und die Last für den Ursprungsserver verringert. Diese Regel untersucht das Feld „enableCDN“ in der Konfiguration der Backend-Buckets. Wenn „enableCDN“ auf „false“ gesetzt oder nicht angegeben ist, bedeutet das, dass Cloud CDN nicht aktiviert ist, und es wird ein Verstoß generiert.
Compute-Bucket-Edge-Sicherheitsrichtlinie

Schweregrad:
Hoch

Tags: Compute, BackendBucket, Security, EdgeSecurityPolicy, CloudArmor, External, CSPR

Asset: compute.googleapis.com/BackendBucket

Details
Prüft, ob einem Compute Engine-Backend-Bucket eine Edge-Sicherheitsrichtlinie zugeordnet ist. Edge-Sicherheitsrichtlinien (Teil von Cloud Armor) bieten erweiterte Sicherheitsfunktionen wie DDoS-Schutz und WAF für global verteilte Anwendungen. Für Back-End-Buckets, die Inhalte über einen externen Load-Balancer bereitstellen, ist es eine bewährte Sicherheitsmethode, eine Edge-Sicherheitsrichtlinie zuzuordnen. Mit dieser Regel wird geprüft, ob das Feld „edgeSecurityPolicy“ in der Konfiguration der Backend-Buckets vorhanden ist. Wenn „edgeSecurityPolicy“ fehlt oder null ist, bedeutet das, dass keine Edge-Sicherheitsrichtlinie zugeordnet ist, und es wird ein Verstoß generiert.
Berechnung durch Verbindungsausgleich

Schweregrad:
Medium

Tags: Compute, BackendService, Reliability, Availability, LoadBalancing

Asset: compute.googleapis.com/BackendService

Details
Prüft, ob der Verbindungsausgleich für Compute Engine-Back-End-Dienste aktiviert ist. Durch den Verbindungsausgleich werden Unterbrechungen für Nutzer minimiert, da vorhandene Verbindungen für einen bestimmten Zeitraum offen bleiben, wenn Instanzen entfernt werden oder fehlerhaft sind. Diese Regel prüft, ob „connectionDraining.drainingTimeoutSec“ auf einen Wert größer als 0 festgelegt ist.
Compute be regional service ext sec policy

Schweregrad:
Hoch

Tags: Compute, RegionBackendService, Security, LoadBalancing, External, SecurityPolicy, CSPR

Asset: compute.googleapis.com/RegionBackendService

Details
Prüft, ob für einen regionalen externen Compute Engine-Backend-Dienst eine Sicherheitsrichtlinie konfiguriert ist. Bei externen Load-Balancern ist es wichtig, eine Sicherheitsrichtlinie zu haben, um sich vor Bedrohungen zu schützen. Mit dieser Regel wird Folgendes geprüft: 1. loadBalancingScheme: Es wird geprüft, ob der Backend-Dienst für externes Load Balancing verwendet wird. Es wird sowohl für EXTERNAL als auch für EXTERNAL_MANAGED geprüft. 2. securityPolicy: Prüft, ob eine Sicherheitsrichtlinie konfiguriert ist. Backend-Dienste verwenden „securityPolicy“ und nicht „edgeSecurityPolicy“. Eine Richtlinienverletzung wird generiert, wenn das loadBalancingScheme einen externen Dienst angibt und die securityPolicy entweder fehlt oder null ist.
Compute be regional service insecure protocol http

Schweregrad:
Medium

Tags: Compute, RegionBackendService, Security, Protocol, Encryption, HTTP, TCP, HTTPS, CSPR

Asset: compute.googleapis.com/RegionBackendService

Details
Prüft, ob ein Compute Engine-Backend-Dienst für die Verwendung der unverschlüsselten HTTP- oder TCP-Protokolle konfiguriert ist. Wenn Sie für Backend-Verbindungen einfaches HTTP oder TCP verwenden, kann Anwendungs-Traffic, einschließlich potenziell vertraulicher Daten, im internen Netzwerk offengelegt werden. Es wird dringend empfohlen, sichere Protokolle wie HTTPS, SSL oder HTTP/2 oder geeignete Proxy-Protokolle (z. B. TCP_PROXY) zu verwenden, um die Vertraulichkeit und Integrität der Daten zu gewährleisten. Mit dieser Regel werden Backend-Dienste gekennzeichnet, bei denen das Protokollfeld auf HTTP oder TCP gesetzt ist.
Compute be regional service insecure protocol tcp

Schweregrad:
Medium

Tags: Compute, RegionBackendService, Security, Protocol, Encryption, HTTP, TCP, HTTPS, CSPR

Asset: compute.googleapis.com/RegionBackendService

Details
Prüft, ob ein Compute Engine-Backend-Dienst für die Verwendung der unverschlüsselten HTTP- oder TCP-Protokolle konfiguriert ist. Wenn Sie für Backend-Verbindungen einfaches HTTP oder TCP verwenden, kann Anwendungs-Traffic, einschließlich potenziell vertraulicher Daten, im internen Netzwerk offengelegt werden. Es wird dringend empfohlen, sichere Protokolle wie HTTPS, SSL oder HTTP/2 oder geeignete Proxy-Protokolle (z. B. TCP_PROXY) zu verwenden, um die Vertraulichkeit und Integrität der Daten zu gewährleisten. Mit dieser Regel werden Backend-Dienste gekennzeichnet, bei denen das Protokollfeld auf HTTP oder TCP gesetzt ist.
Compute – Dienst – CDN

Schweregrad:
Niedrig

Tags: Compute, BackendService, CDN, Performance, Caching, CSPR

Asset: compute.googleapis.com/BackendService

Details
Prüft, ob Cloud CDN für einen Compute Engine-Backend-Dienst aktiviert ist. Mit Cloud CDN werden Inhalte näher an den Nutzern im Cache gespeichert. Dadurch wird die Leistung verbessert und die Last für den Ursprungsserver verringert. Bei dieser Regel wird das Feld „enableCDN“ in der Konfiguration der Backend-Dienste untersucht. Wenn „enableCDN“ auf „false“ gesetzt oder nicht angegeben ist, bedeutet das, dass Cloud CDN nicht aktiviert ist, und es wird ein Verstoß generiert.
Compute be service ext sec policy

Schweregrad:
Hoch

Tags: Compute, BackendService, Security, LoadBalancing, External, SecurityPolicy, CSPR

Asset: compute.googleapis.com/BackendService

Details
Prüft, ob für einen externen Compute Engine-Backend-Dienst eine Sicherheitsrichtlinie konfiguriert ist. Bei externen Load-Balancern ist es wichtig, eine Sicherheitsrichtlinie zu haben, um sich vor Bedrohungen zu schützen. Mit dieser Regel wird Folgendes geprüft: 1. loadBalancingScheme: Es wird geprüft, ob der Backend-Dienst für externes Load Balancing verwendet wird. Es wird sowohl für EXTERNAL als auch für EXTERNAL_MANAGED geprüft. 2. securityPolicy: Prüft, ob eine Sicherheitsrichtlinie konfiguriert ist. Backend-Dienste verwenden „securityPolicy“ und nicht „edgeSecurityPolicy“. Eine Richtlinienverletzung wird generiert, wenn das loadBalancingScheme einen externen Dienst angibt und die securityPolicy entweder fehlt oder null ist.
Compute be service iap over http

Schweregrad:
Hoch

Tags: Compute, BackendService, IAP, Security, Encryption, HTTP, HTTPS, CSPR

Asset: compute.googleapis.com/BackendService

Details
Prüft, ob für einen Compute Engine-Backend-Dienst Identity-Aware Proxy (IAP) aktiviert ist, während das unverschlüsselte HTTP-Protokoll verwendet wird. Durch die Aktivierung von IAP werden Authentifizierung und Autorisierung hinzugefügt. Wenn für die Verbindung zwischen dem Load-Balancer und dem Backend-Dienst jedoch einfaches HTTP verwendet wird, ist der Traffic (einschließlich potenziell vertraulicher Anwendungsdaten oder Sitzungsinformationen) im internen Netzwerk unverschlüsselt. Das stellt ein Sicherheitsrisiko dar. Mit dieser Regel wird geprüft, ob „iap.enabled“ auf „true“ gesetzt ist UND das Protokoll „HTTP“ ist. Es wird dringend empfohlen, HTTPS für Backend-Dienste zu verwenden, wenn IAP aktiviert ist, um eine Ende-zu-Ende-Verschlüsselung zu gewährleisten.
Compute-Dienst mit unsicherem Protokoll

Schweregrad:
Medium

Tags: Compute, BackendService, Security, Protocol, Encryption, HTTP, TCP, HTTPS, CSPR

Asset: compute.googleapis.com/BackendService

Details
Prüft, ob ein Compute Engine-Backend-Dienst für die Verwendung der unverschlüsselten HTTP- oder TCP-Protokolle konfiguriert ist. Wenn Sie für Backend-Verbindungen einfaches HTTP oder TCP verwenden, kann Anwendungs-Traffic, einschließlich potenziell vertraulicher Daten, im internen Netzwerk offengelegt werden. Es wird dringend empfohlen, sichere Protokolle wie HTTPS, SSL oder HTTP/2 oder geeignete Proxy-Protokolle (z. B. TCP_PROXY) zu verwenden, um die Vertraulichkeit und Integrität der Daten zu gewährleisten. Mit dieser Regel werden Backend-Dienste gekennzeichnet, bei denen das Protokollfeld auf HTTP oder TCP gesetzt ist.
Compute Cloud Armor angehängt

Schweregrad:
Medium

Tags: Security, Compute, Network, Cloud Armor, Compliance, CSPR

Asset: compute_Instance_RESOURCE_7

Details
Kennzeichnet Compute Engine-VM-Instanzen mit öffentlichen IP-Adressen, denen Cloud Armor nicht zugewiesen ist.
Compute-Standarddienstkonto verwendet

Schweregrad:
Medium

Tags: Compute, Security, Service Account, Security, CSPR

Asset: compute.googleapis.com/Instance

Details
Erkennt Compute Engine-Instanzen, die das Compute Engine-Standarddienstkonto verwenden. Das Standarddienstkonto wird automatisch erstellt und hat standardmäßig umfangreiche Berechtigungen (Rolle „Bearbeiter“), was gegen das Prinzip der geringsten Berechtigung verstößt. Es empfiehlt sich, für jede Instanz benutzerdefinierte Dienstkonten mit den minimal erforderlichen Berechtigungen zu erstellen und zu verwenden. Die Verwendung des Standarddienstkontos erhöht das Risiko von unbefugtem Zugriff und Rechteausweitung, wenn eine Instanz manipuliert wird.
Compute-Laufwerk-CSEK deaktiviert

Schweregrad:
Medium

Tags: Compute, Disk, Encryption, CSEK, Security, sha256, CSPR

Asset: compute.googleapis.com/Disk

Details
Prüft, ob ein Compute Engine-Laufwerk mit vom Kunden bereitgestellten Verschlüsselungsschlüsseln (Customer-Supplied Encryption Keys, CSEK) verschlüsselt ist. Mit CSEK stellen Sie Ihren eigenen Verschlüsselungsschlüssel bereit und Google Cloud verwendet diesen Schlüssel, der durch seinen SHA256-Hash dargestellt wird, um Ihre Daten zu schützen. Diese Regel untersucht das Feld „diskEncryptionKey“ und insbesondere das darin enthaltene Feld „sha256“. Wenn „diskEncryptionKey“ oder „sha256“ fehlt, leer oder null ist, bedeutet das, dass CSEK nicht verwendet wird, was einen Verstoß auslöst.
Compute-Laufwerk-Datenbank-HDD

Schweregrad:
Medium

Tags: Performance, Compute, Disk, Storage, CoNa

Asset: compute.googleapis.com/Disk

Details
Erkennt nichtflüchtige Speicher vom Typ „pd-standard“ (HDD), die an VM-Instanzen angehängt sind, die als Datenbanken konfiguriert sind. Datenbanken erfordern hohe IOPS und geringe Latenz, was mit Standard-HDDs nicht möglich ist und zu Leistungsengpässen führt.
Compute-Laufwerk ohne Snapshot-Zeitplan

Schweregrad:
Medium

Tags: Reliability, Compute, Disk, Backup, CoNa

Asset: compute.googleapis.com/Disk

Details
Erkennt nichtflüchtige Compute Engine-Speicher, an die keine Richtlinien für Snapshot-Zeitpläne angehängt sind. Snapshot-Zeitpläne automatisieren das Sichern von Laufwerksdaten, was für die Notfallwiederherstellung und zur Vermeidung von Datenverlusten unerlässlich ist.
Regionale Prüfung von Compute-Laufwerken

Schweregrad:
Hoch

Tags: Reliability, High Availability, Compute, Disk, Storage

Asset: compute.googleapis.com/Disk

Details
Konfigurieren Sie Compute Engine-Persistent Disks als regionale Persistent Disks, um Hochverfügbarkeit zu gewährleisten und vor Zonenausfällen zu schützen. Regionale Laufwerke replizieren Daten synchron zwischen zwei Zonen in derselben Region und sorgen so für Zugänglichkeit, auch wenn eine bestimmte Zone nicht mehr verfügbar ist. Mit dieser Regel wird geprüft, ob im Feld „replicaZones“ mehrere Zonen aufgeführt sind.
Compute firewall all protocols internet

Schweregrad:
Medium

Tags: Network, Security, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/Firewall

Details
Eine Firewallregel, die Internet-Traffic für alle Protokolle zulässt, vergrößert die Angriffsfläche des Netzwerks erheblich und erhöht das Risiko von unbefugtem Zugriff, potenziellen Dienstunterbrechungen und kostspieligen Sicherheitsvorfällen.
Compute-Firewall-Logging

Schweregrad:
Medium

Tags: Compute, Firewall, VPC, Logging, Security, Auditing, Network, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/Firewall

Details
Prüft, ob das Logging für eine VPC-Firewallregel aktiviert ist. Beim Firewallregel-Logging werden Verbindungen aufgezeichnet, die der Regel entsprechen. Das bietet wertvolle Informationen für Sicherheitsprüfungen, die Fehlerbehebung bei der Netzwerkverbindung und das Verständnis von Traffic-Mustern. Bei dieser Regel wird das Feld „logConfig“ in der Konfiguration der Firewallregeln untersucht. Ein Verstoß wird generiert, wenn „logConfig“ fehlt oder „logConfig.enable“ fehlt oder auf „false“ gesetzt ist.
Compute-Firewall-Managementports sind für das Internet geöffnet

Schweregrad:
Hoch

Tags: Compute, Security, Network, Firewall, SSH, RDP, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/Firewall

Details
Prüft, ob Firewallregeln uneingeschränkten öffentlichen Zugriff (0.0.0.0/0 oder
Compute-Firewallrichtlinie für alle Protokolle im Internet

Schweregrad:
Medium

Tags: Network, Security, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/FirewallPolicy

Details
Mit dieser Regel werden zu permissive Firewallkonfigurationen erkannt, die uneingeschränkten Internetzugriff auf allen Protokollen ermöglichen. So können Sie die Angriffsfläche Ihres Netzwerks verringern und sich vor unbefugtem Zugriff schützen.
Logging von Compute-Firewallrichtlinien

Schweregrad:
Medium

Tags: Compute, FirewallPolicy, Logging, Security, Auditing, Network, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/FirewallPolicy

Details
Prüft, ob eine Compute Engine-Firewallrichtlinie aktivierte Regeln enthält, für die kein Logging aktiviert ist. Beim Firewall-Logging werden Verbindungen aufgezeichnet, die mit Regeln übereinstimmen. Das ist wichtig für Audits und die Fehlerbehebung. Diese Richtlinie durchläuft das in der FirewallPolicy-Ressource eingebettete Array „rules“. Ein Verstoß wird generiert, wenn die Firewallrichtlinie mindestens eine Regel enthält, in der „disabled“ nicht „true“ ist (d. h. die Regel ist aktiviert) UND „enableLogging“ nicht „true“ ist (d. h. das Logging ist deaktiviert). Dabei wird berücksichtigt, dass fehlende boolesche Felder oft standardmäßig auf „false“ gesetzt sind. Regeln mit der höchsten Priorität (in der Regel Standardregeln) sind ausgeschlossen.
Compute-Firewallrichtlinien-Verwaltungsports, die für das Internet geöffnet sind

Schweregrad:
Hoch

Tags: Compute, Security, Network, Firewall, SSH, RDP, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/FirewallPolicy

Details
Prüft, ob Firewallrichtlinien uneingeschränkten öffentlichen Zugriff (0.0.0.0/0 oder
Öffentlicher eingehender Traffic für Compute-Firewallrichtlinie

Schweregrad:
Hoch

Tags: Compute, FirewallPolicy, Security, Network, PublicAccess, Ingress, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/FirewallPolicy

Details
Prüft, ob eine Compute Engine-Firewallrichtlinie aktivierte Regeln für eingehenden Traffic enthält, die Traffic von einer beliebigen Quell-IP-Adresse (0.0.0.0/0 für IPv4 oder /0 für IPv6) zulassen. Diese Richtlinie durchläuft das in den Ressourcendaten von FirewallPolicy eingebettete Array mit Regeln. Öffentlichen eingehenden Traffic zuzulassen, kann ein erhebliches Sicherheitsrisiko darstellen, wenn dies nicht beabsichtigt ist. Mit dieser Regel wird die gesamte Richtlinie gekennzeichnet, wenn auch nur eine solche Regel vorhanden ist.
Compute-Firewallrichtlinie für ungewöhnliches Protokoll im Internet

Schweregrad:
Medium

Tags: Network, Security, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/FirewallPolicy

Details
Identifiziert Firewallregeln, die ungewöhnliche internetorientierte Protokolle offenlegen, und ermöglicht so eine proaktive Verkleinerung der Angriffsfläche, um die Sicherheit zu erhöhen und kostspielige Systemkompromittierungen zu verhindern.
Compute-Firewallrichtlinie für ungewöhnliche TCP-Ports im Internet

Schweregrad:
Medium

Tags: Network, Security, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/FirewallPolicy

Details
Erhöht die Sicherheit, indem Firewallregeln identifiziert werden, die uneingeschränkten öffentlichen Internetzugriff auf häufig angegriffene TCP-Ports (z. B. 20, 21, 22, 25, 53, 80, 110, 143, 443) gewähren. Dies ermöglicht eine proaktive Reduzierung der Angriffsfläche und die Abwehr unbefugter Nutzung.
Compute-Firewallrichtlinie – ungewöhnliche UDP-Ports – Internet

Schweregrad:
Medium

Tags: Network, Security, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/FirewallPolicy

Details
Ermittelt Firewallrichtlinien, die in der Regel TCP-bezogene oder andere sensible UDP-Ports im Internet verfügbar machen. So können Sie die Angriffsfläche verringern und die Dienstzuverlässigkeit verbessern, indem Sie potenzielle Fehlkonfigurationen oder Exploits verhindern.
Compute-Firewall mit öffentlichem Internetzugang

Schweregrad:
Hoch

Tags: Compute, Security, Network, Firewall, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/Firewall

Details
Erkennt öffentlich zugängliche Compute Engine-Firewallregeln. Eine Firewallregel gilt als öffentlich zugänglich, wenn sie bei Regeln für eingehenden Traffic Traffic von einer beliebigen IP-Adresse (0.0.0.0/0 für IPv4 oder /0 für IPv6) oder bei Regeln für ausgehenden Traffic Traffic zu einer beliebigen IP-Adresse zulässt. Öffentlich zugängliche Firewallregeln vergrößern die Angriffsfläche und das Risiko unbefugter Zugriffe erheblich. Firewallregeln sollten nach dem Prinzip der geringsten Berechtigung konfiguriert werden, sodass nur der erforderliche Traffic von/zu bestimmten, vertrauenswürdigen Quellen/Zielen zugelassen wird. Mit dieser Regel werden sowohl Ingress- als auch Egress-Regeln mit zu moderaten Quell- oder Zielbereichen geprüft, einschließlich Fällen, in denen Bereiche leer oder null sind.
Compute-Firewall ungewöhnliche Protokolle Internet

Schweregrad:
Medium

Tags: Network, Security, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/Firewall

Details
Reduziert die Angriffsfläche, indem aktive Firewallregeln für eingehenden Traffic identifiziert werden, die ungewöhnliche Netzwerkprotokolle (nicht TCP, UDP oder ICMP) im Internet verfügbar machen. So werden potenzielle Sicherheitslücken durch nicht überwachte Dienste verhindert.
Compute firewall unusual tcp ports internet

Schweregrad:
Medium

Tags: Network, Security, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/Firewall

Details
Verringern Sie die Angriffsfläche Ihrer Systeme im Internet, indem Sie Firewallregeln identifizieren und überprüfen, die eine kuratierte Liste potenziell anfälliger TCP-Ports (20, 21, 22, 25, 53, 80, 110, 143, 443, 587, 989, 990, 995, 1194, 3389) für den öffentlichen Zugriff freigeben.
Compute-Firewall – ungewöhnliche UDP-Ports – Internet

Schweregrad:
Medium

Tags: Network, Security, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/Firewall

Details
Diese Regel verbessert die Netzwerksicherheit, indem öffentlich zugängliche Firewallregeln für ungewöhnliche UDP-Ports 20, 21, 22, 25, 53, 80, 110, 143, 443, 587, 989, 990, 995 und 1194 erkannt werden. So wird die Angriffsfläche minimiert und eine potenzielle Ausnutzung von Diensten verhindert, die sich auf die Zuverlässigkeit und Leistung auswirken oder zu unerwarteten Kosten führen könnte.
Compute-Firewall mit Netzwerktags

Schweregrad:
Medium

Tags: Compute, Network, Firewall, Tags, Security, CSPR

Asset: compute.googleapis.com/Firewall

Details
Kennzeichnet VPC-Firewallregeln, die Netzwerktags verwenden. Netzwerk-Tags sind weniger sicher als IAM-verwaltete sichere Tags für das Firewall-Targeting.
Compute – privater Google-Zugriff

Schweregrad:
Medium

Tags: Compute, Subnet, Subnetwork, VPC, PrivateGoogleAccess, Networking, Security, CSPR, CoNa

Asset: compute.googleapis.com/Subnetwork

Details
Prüft, ob der privater Google-Zugriff für ein Compute Engine-Subnetzwerk deaktiviert ist. Mit PGA können VM-Instanzen im Subnetz ohne externe IP-Adressen über das interne Netzwerk von Google auf Google APIs und ‑Dienste zugreifen. Das erhöht die Sicherheit und kann die Kosten für ausgehenden Traffic senken. Wenn der private Google-Zugriff deaktiviert ist, können VMs ohne externe IP-Adressen nicht direkt auf diese Dienste zugreifen. Diese Regel untersucht das Feld „privateIpGoogleAccess“ in der Subnetzkonfiguration. Ein Verstoß wird generiert, wenn „privateIpGoogleAccess“ fehlt oder auf „false“ gesetzt ist.
Compute-HTTP-Load-Balancer

Schweregrad:
Medium

Tags: Network, Security, CSPR

Asset: compute.googleapis.com/TargetHttpProxy

Details
Diese Regel identifiziert HTTP-Load-Balancer, die unverschlüsselte Daten übertragen. Dadurch werden vertrauliche Informationen kritisch offengelegt, das Vertrauen der Kunden untergraben und häufig Compliance-Vorgaben verletzt. Dies unterstreicht die Notwendigkeit von HTTPS für eine sichere, private und vertrauenswürdige Kommunikation.
Compute-Image alt, nicht eingestellt

Schweregrad:
Medium

Tags: Compute, Images, Lifecycle, FinOps, Cost, CSPR

Asset: compute.googleapis.com/Image

Details
Erkennt Compute Engine-Images, die älter als 90 Tage sind und sich nicht im Status „Eingestellt“ befinden. Alte, nicht verwendete Images können sich ansammeln, was die Speicherkosten erhöht und möglicherweise Sicherheitsrisiken birgt, wenn sie veraltete Software oder Sicherheitslücken enthalten. Es empfiehlt sich, alte Bilder, die nicht mehr benötigt werden, regelmäßig zu überprüfen und zu entfernen. Mit dieser Regel werden Bilder gekennzeichnet, die älter als 90 Tage sind und nicht als veraltet markiert wurden. So wird eine Überprüfung ihres Status und eine mögliche Entfernung veranlasst.
Automatischer Neustart von Compute-Instanzen

Schweregrad:
Hoch

Tags: Compute, Reliability, Availability, HighAvailability, Resiliency, CSPR, CoNa

Asset: compute.googleapis.com/Instance

Details
Prüft, ob die Funktion „Automatischer Neustart“ für Compute Engine-Instanzen aktiviert ist. Durch den automatischen Neustart wird dafür gesorgt, dass eine Instanz, die durch ein nicht vom Nutzer initiiertes Ereignis (z. B. einen Hardwarefehler) beendet wird, automatisch neu gestartet wird, um eine hohe Verfügbarkeit zu gewährleisten.
Compute-Instanz im Migrationscheck

Schweregrad:
Medium

Tags: Reliability, Compute, HighAvailability, Resiliency

Asset: compute.googleapis.com/Instance

Details
Prüft, ob eine Compute-VM-Instanz Teil einer verwalteten Instanzgruppe (Managed Instance Group, MIG) ist. Eigenständige VMs sind nicht gegen Hostfehler geschützt und haben keine automatische Reparatur.
Live-Migration von Compute-Instanzen

Schweregrad:
Hoch

Tags: Reliability, Availability, Compute, Maintenance

Asset: compute.googleapis.com/Instance

Details
Prüft, ob Compute Engine-Instanzen für die Live-Migration konfiguriert sind. Bei der Live-Migration werden Instanzen während Hostsystem-Ereignissen wie Software- oder Hardwareupdates weiter ausgeführt, indem sie zu einem anderen Host verschoben werden. Instanzen, die nicht auf MIGRATE gesetzt sind (z.B. auf TERMINATE), werden während der Wartung gestoppt, was möglicherweise zu Ausfallzeiten der Anwendung führt.
Nicht standardmäßiges Dienstkonto für Compute-Instanz

Schweregrad:
Medium

Tags: Compute, IAM, Security, CSPR

Asset: compute.googleapis.com/Instance

Details
Prüft, ob Compute Engine-Instanzen das Compute Engine-Standarddienstkonto verwenden.
Compute Legacy-Netzwerk

Schweregrad:
Niedrig

Tags: Compute, Network, VPC, AutoMode, Subnets, Networking, Configuration, CSPR

Asset: compute.googleapis.com/Network

Details
Kennzeichnet Legacy-VPC-Netzwerke von Compute Engine. Legacy-Netzwerke unterstützen keine Subnetze, verwenden einen einzelnen globalen IP-Bereich und unterstützen keine modernen VPC-Funktionen. Die Migration zu VPC-Netzwerken im benutzerdefinierten Modus wird empfohlen, um Subnetze zu aktivieren, die Netzwerksegmentierung zu verbessern und die Angriffsfläche zu verkleinern.
Compute-Maschinen-Image-CMEK deaktiviert

Schweregrad:
Hoch

Tags: Security, Encryption, CMEK, Compute, Machine Image, NIST-800-53-SC-28

Asset: compute.googleapis.com/MachineImage

Details
Sorgt dafür, dass Compute Engine-Maschinen-Images mit einem vom Kunden verwalteten Verschlüsselungsschlüssel (Customer-Managed Encryption Key, CMEK) verschlüsselt werden. So haben Sie die Kontrolle über die Verschlüsselungsschlüssel, die zum Schutz der inaktiven Bilddaten verwendet werden. Diese Konfiguration ist entscheidend, um strenge Compliance-Anforderungen zu erfüllen und die Datensicherheit zu erhöhen. Eine Fehlkonfiguration tritt auf, wenn das Feld „machineImageEncryptionKey.kmsKeyName“ fehlt oder leer ist.
Compute-Migrationsdiagnose deaktiviert

Schweregrad:
Medium

Tags: compute, Security, CSPR

Asset: compute.googleapis.com/InstanceGroupManager

Details
Ermittelt verwaltete Instanzgruppen (MIGs), für die keine Systemdiagnose für die automatische Reparatur konfiguriert ist. Das Konfigurieren von Systemdiagnosen ist eine wichtige operative Best Practice, um die automatische VM-Wiederherstellung bei Anwendungsfehlern zu gewährleisten.
Compute mig regional check

Schweregrad:
Hoch

Tags: Compute, Reliability, Availability, HighAvailability, MIG

Asset: compute.googleapis.com/InstanceGroupManager

Details
Prüft, ob eine verwaltete Instanzgruppe (Managed Instance Group, MIG) von Compute Engine als zonal konfiguriert ist. Regionale MIGs werden für Hochverfügbarkeit empfohlen, da sie VM-Instanzen auf mehrere Zonen innerhalb einer Region verteilen und so Arbeitslasten vor Ausfällen in einer einzelnen Zone schützen. Mit dieser Regel werden MIGs identifiziert, deren Konfiguration an eine bestimmte Zone und nicht an eine Region gebunden ist.
Fehlende Labels berechnen

Schweregrad:
Niedrig

Tags: Compute, VM, Instance, Labels, Organization, Management, FinOps, CSPR

Asset: compute.googleapis.com/Instance

Details
Sorgt dafür, dass Compute Engine-Instanzen Labels haben, um Ressourcen besser zu organisieren, Kosten zuzuordnen und Filterfunktionen zu nutzen.
Fehlende Ressourcen-Tags berechnen

Schweregrad:
Medium

Tags: Compute, VM, Tags, FinOps, Organization, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/Instance

Details
Sorgt dafür, dass auf Compute Engine-Instanzen Resource Manager-Tags über das Feld „params.resourceManagerTags“ angewendet werden, um eine konsistente Verwaltung, Richtliniendurchsetzung und Kostenanalyse zu ermöglichen.
Fehlende Tags berechnen

Schweregrad:
Medium

Tags: Compute, Network, Firewall, Tags, FinOps, CSPR

Asset: compute.googleapis.com/Instance

Details
Sorgt dafür, dass auf Compute Engine-Instanzen Netzwerktags angewendet werden, um Firewallregeln effektiv auszurichten und das Netzwerk zu segmentieren.
Compute-NAT-Protokoll deaktiviert

Schweregrad:
Medium

Tags: Network, Logging, Security

Asset: compute.googleapis.com/Router

Details
Wenn Sie Cloud NAT-Logging aktivieren, erhalten Sie wichtige Telemetriedaten für die schnelle Fehlerbehebung und Sicherheitsanalyse. So können Sie die Zuverlässigkeit des Netzwerks und die betriebliche Transparenz verbessern.
Nur NAT-Log-Fehler berechnen

Schweregrad:
Medium

Tags: Network, Logging, Security

Asset: compute.googleapis.com/Router

Details
Aktivieren Sie das umfassende Cloud NAT-Logging für Übersetzungen und Fehler, um die Möglichkeiten zur Fehlerbehebung und die betriebliche Transparenz erheblich zu verbessern. Das Logging nur von Fehlern schränkt wichtige diagnostische Informationen für die Netzwerkleistung und Sicherheitsanalyse ein.
Compute-NAT-Router-Logging

Schweregrad:
Medium

Tags: Compute, Router, NAT, Logging, Monitoring, Security, Networking, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/Router

Details
Prüft, ob die Protokollierung für Cloud NAT-Konfigurationen auf einem Compute Engine-Router deaktiviert ist. Cloud NAT-Logging bietet Einblick in NAT-Übersetzungen und ‑Fehler, was für Monitoring, Fehlerbehebung und Sicherheitsanalysen unerlässlich ist. Diese Regel durchläuft alle NAT-Konfigurationen (nats-Array), die einem Router zugeordnet sind. Wenn eine NAT-Konfiguration gefunden wird, in der das Feld „logConfig.enable“ fehlt oder auf „false“ gesetzt ist, wird für den Router ein Verstoß generiert.
Compute neg zonal

Schweregrad:
Medium

Tags: Reliability, new-rule, CoNa

Asset: compute.googleapis.com/NetworkEndpointGroup

Details
Prüft, ob zonale Netzwerk-Endpunktgruppen (NEGs) vorhanden sind. Zonale NEGs beschränken den Traffic auf eine einzelne Verfügbarkeitszone. Bei Zonenausfällen kann dies zu einem potenziellen Single Point of Failure führen. Mit dieser Regel werden diese Ressourcen identifiziert, um sicherzustellen, dass ihre Verwendung beabsichtigt ist und sie Teil einer umfassenderen Strategie für Hochverfügbarkeit mit mehreren Zonen sind.
Compute-Netzwerk-Subnetz automatisch erstellen

Schweregrad:
Medium

Tags: Network, Security

Asset: compute.googleapis.com/Network

Details
Deaktivieren Sie automatisch erstellte Subnetzwerke, um ein bewusstes Netzwerkdesign zu erzwingen. Dadurch wird die Sicherheit erhöht, da standardmäßige, potenziell unsichere Subnetze in jeder Region verhindert werden. Außerdem werden die Kosten optimiert, da unnötige Ressourcenzuweisungen vermieden werden.
Standardmäßiges Compute-Netzwerk

Schweregrad:
Medium

Tags: Compute, Network, VPC, Default, Security, Networking, CSPR

Asset: compute.googleapis.com/Network

Details
Prüft, ob das Compute Engine-Standardnetzwerk vorhanden ist. Das Standardnetzwerk wird automatisch in neuen Projekten erstellt (sofern nicht deaktiviert) und enthält permissive Firewallregeln (z.B. „allowinternal“, „allowrdp“, „allowssh“ von überall). Die Verwendung des Standardnetzwerks für Produktionsarbeitslasten ist zwar für die Ersteinrichtung praktisch, wird aber aufgrund der flachen Struktur und der zu weit gefassten Standardberechtigungen nicht empfohlen. Es wird empfohlen, benutzerdefinierte VPC-Netzwerke mit restriktiveren, zweckorientierten Firewallregeln zu erstellen. Diese Regel identifiziert Netzwerke mit dem Namen „Standard“.
Globales dynamisches Routing für Compute-Netzwerke

Schweregrad:
Hoch

Tags: Network, Reliability, HighAvailability, HybridConnectivity

Asset: compute.googleapis.com/Network

Details
Prüft, ob das VPC-Netzwerk mit globalem dynamischen Routing konfiguriert ist. Beim globalen dynamischen Routing können Cloud Router Routen aus allen Regionen lernen und bewerben. Das erleichtert das regionsübergreifende Failover und die Netzwerkverwaltung für Hybridumgebungen. Diese Regel identifiziert Netzwerke, in denen „routingConfig.routingMode“ nicht explizit auf „GLOBAL“ festgelegt ist.
Compute – keine öffentliche IP-Adresse

Schweregrad:
Hoch

Tags: Security, Compute, Public IP, Compliance, CSPR

Asset: compute.googleapis.com/Instance

Details
Erkennt Compute Engine-VM-Instanzen, die mit öffentlichen (externen) IP-Adressen konfiguriert sind. Wenn VMs direkt mit dem Internet verbunden sind, steigt die Anfälligkeit für unbefugten Zugriff und Brute-Force-Angriffe. VMs sollten private IPs verwenden und über Cloud NAT oder Identity-Aware Proxy (IAP) auf das Internet zugreifen, sofern nicht explizit öffentlicher Zugriff erforderlich ist.
Standard-Netzwerkstufe des Compute-Projekts – Premium

Schweregrad:
Medium

Tags: Reliability, Network, NetworkTier

Asset: compute.googleapis.com/Project

Details
Prüft, ob die Standard-Netzwerkdienststufe für das Projekt auf PREMIUM festgelegt ist. Wenn Sie die STANDARD-Stufe als Standard verwenden, kann dies zu einer geringeren Leistung und Zuverlässigkeit des Netzwerkverkehrs führen. Bei der PREMIUM-Stufe wird das globale Netzwerk von Google für ein optimales Routing verwendet.
Compute-Protokollierung für regionale Backend-Dienste

Schweregrad:
Medium

Tags: Compute, RegionBackendService, Logging, Security, Auditing, Monitoring, LoadBalancing, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/RegionBackendService

Details
Prüft, ob das Logging für einen Compute Engine-Backend-Dienst aktiviert ist. Beim Backend-Dienst-Logging werden Anfragen aufgezeichnet, die vom Load Balancer verarbeitet werden. So erhalten Sie wichtige Informationen für die Überwachung des Traffics, die Fehlerbehebung, die Sicherheitsanalyse und das Auditieren. Bei dieser Regel wird das Feld „logConfig“ in der Konfiguration der Backend-Dienste untersucht. Ein Verstoß wird generiert, wenn „logConfig“ fehlt oder „logConfig.enable“ fehlt oder auf „false“ gesetzt ist.
Compute-Snapshot mit langer Aufbewahrungsdauer erstellen

Schweregrad:
Medium

Tags: Compute, Snapshots, Resource Policies, DataRetention, Reliability, FinOps, CSPR, CoNa

Asset: compute.googleapis.com/ResourcePolicy

Details
Erkennt Compute Engine-Snapshot-Zeitpläne (innerhalb von Ressourcenrichtlinien), die sowohl einen Aufbewahrungszeitraum von mehr als 365 Tagen haben als auch so konfiguriert sind, dass automatische Snapshots auch nach dem Löschen des Quelllaufwerks beibehalten werden (onSourceDiskDelete auf KEEP_AUTO_SNAPSHOTS gesetzt). Lange Aufbewahrungszeiträume und das Beibehalten von Snapshots nach dem Löschen des Quelldatenträgers können in bestimmten Szenarien sinnvoll sein. Diese Kombination kann jedoch zu erheblichen Speicherkosten führen und Daten möglicherweise länger als nötig aufbewahren. Mit dieser Regel werden solche Konfigurationen zur Überprüfung gekennzeichnet, um sicherzustellen, dass sie den Richtlinien zur Datenaufbewahrung und den Zielen zur Kostenoptimierung entsprechen.
Compute-Snapshot ohne Gast-Flush

Schweregrad:
Medium

Tags: Compute, Snapshots, Resource Policies, Backup, Reliability, CSPR

Asset: compute.googleapis.com/ResourcePolicy

Details
Erkennt Compute Engine-Snapshot-Zeitpläne (innerhalb von Ressourcenrichtlinien), für die keine anwendungskonsistenten Snapshots aktiviert sind (d.h. „guestFlush“ ist nicht auf „true“ gesetzt). Anwendungskonsistente Snapshots sorgen dafür, dass die Daten auf dem Laufwerk zum Zeitpunkt des Snapshots in einem konsistenten Zustand sind. Dies ist entscheidend für zuverlässige Back-ups und die Wiederherstellung, insbesondere für Anwendungen wie Datenbanken. Ohne guestFlush kann der Snapshot Daten in einem inkonsistenten Zustand erfassen, was möglicherweise zu Datenbeschädigung oder nicht wiederherstellbaren Sicherungen führt. Mit dieser Regel werden Snapshot-Zeitpläne gekennzeichnet, die keine Anwendungskonsistenz aufweisen.
Compute-Snapshot, der älter als 365 Tage ist

Schweregrad:
Medium

Tags: Compute, Snapshots, Lifecycle, Reliability, FinOps, CSPR

Asset: compute.googleapis.com/Snapshot

Details
Erkennt Compute Engine-Snapshots, die älter als 365 Tage sind. Alte Snapshots können viel Speicherplatz belegen und die Kosten erhöhen. Einige Snapshots müssen möglicherweise über einen längeren Zeitraum aufbewahrt werden. Es empfiehlt sich jedoch, nicht mehr benötigte Snapshots regelmäßig zu überprüfen und zu löschen. Mit dieser Regel werden Snapshots, die älter als 365 Tage sind, zur Überprüfung gekennzeichnet. So können Sie feststellen, ob sie sicher gelöscht oder archiviert werden können.
Compute-Wartung für einzelne Mandanten der nächsten Generation

Schweregrad:
Hoch

Tags: Compute, NodeGroup, Availability, Isolation, SoleTenant

Asset: compute.googleapis.com/NodeGroup

Details
Prüft, ob Knotengruppen für einzelne Mandanten mit der Wartungsrichtlinie MIGRATE_WITHIN_NODE_GROUP konfiguriert sind. Diese Einstellung sorgt dafür, dass VMs während der Hostwartung zu anderen Knoten in derselben dedizierten Gruppe live migriert werden, wodurch die physische Isolation und Verfügbarkeit erhalten bleiben. Verstöße treten auf, wenn die Wartungsrichtlinie fehlt oder auf einen anderen Modus wie DEFAULT oder RESTART_IN_PLACE festgelegt ist.
Compute-SSL-Load-Balancer

Schweregrad:
Medium

Tags: Network, Security

Asset: compute.googleapis.com/TargetSslProxy

Details
Sorgt dafür, dass Anwendungs-Traffic von modernen HTTPS-Load-Balancern statt von Legacy-SSL-Proxy-Load-Balancern bereitgestellt wird. Wenn ein HTTPS-Load-Balancer verwendet wird, bietet er Layer-7-Traffic-Verwaltung, einschließlich Funktionen wie URL-Zuordnungen, Integration mit von Google verwalteten Zertifikaten und erweiterte Sicherheitskontrollen. Dies ist nützlich, um die Sicherheit mit Funktionen wie SSL-Richtlinien und Cloud Armor-Integration zu erhöhen, die Traffic-Verwaltung mit inhaltsbasiertem Routing zu verbessern und die Verwaltung des Zertifikatslebenszyklus zu vereinfachen. Das ist besonders hilfreich für Standard-Webanwendungen, die von anwendungsbezogenen Sicherheits- und Routingregeln profitieren können. Der SSL-Proxy-Load-Balancer ist jedoch möglicherweise weiterhin für bestimmte Nicht-HTTP-Arbeitslasten erforderlich, bei denen SSL für die Verschlüsselung der Transportschicht verwendet wird.
Compute-Subnetz-Flowlogs

Schweregrad:
Medium

Tags: Compute, Subnet, VPC, FlowLogs, Networking, Security, CSPR, CoNa

Asset: compute.googleapis.com/Subnetwork

Details
Prüft, ob VPC-Flusslogs für ein Compute Engine-Subnetzwerk aktiviert sind. VPC-Flusslogs erfassen eine Stichprobe von Netzwerkflüssen, die von VM-Instanzen im Subnetz gesendet und empfangen werden. Dies bietet wichtige Informationen für Netzwerkmonitoring, Forensik, Sicherheitsanalysen und Fehlerbehebung in Echtzeit. Bei dieser Regel wird das Feld „enableFlowLogs“ in der Subnetzwerkkonfiguration untersucht. Ein Verstoß wird generiert, wenn „enableFlowLogs“ fehlt oder auf „false“ gesetzt ist.
Compute targethttpsproxy ssl

Schweregrad:
Medium

Tags: Compute, TargetHttpsProxy, SSL, TLS, Security, Policy, Encryption, LoadBalancing, CSPR

Asset: compute.googleapis.com/TargetHttpsProxy

Details
Prüft, ob für eine Compute Engine-TargetHttpsProxy-Ressource eine SSL-Richtlinie definiert ist. SSL-Richtlinien steuern die TLS-Features (z. B. TLS-Versionen und Chiffresammlungen), die der Proxy mit Clients aushandelt. Durch die Zuordnung einer bestimmten SSL-Richtlinie können strengere Sicherheitsstandards als die Standardeinstellungen erzwungen werden. Diese Regel untersucht das Feld „sslPolicy“ in der TargetHttpsProxy-Konfiguration. Wenn „sslPolicy“ fehlt oder null/leer ist, bedeutet das, dass keine bestimmte SSL-Richtlinie zugewiesen ist und ein Verstoß generiert wird. Wenn Sie sich auf die Standard-SSL-Einstellungen verlassen, werden möglicherweise bestimmte Sicherheits- oder Compliance-Anforderungen nicht erfüllt.
Compute-TCP-Load-Balancer

Schweregrad:
Medium

Tags: Network, Security

Asset: compute.googleapis.com/TargetSslProxy

Details
Validiert die Verwendung von SSL-Proxy-Load-Balancern und empfiehlt HTTPS-Load-Balancer für Webtraffic, um Sicherheit, Leistung und betriebliche Effizienz zu verbessern.
Nicht angehängtes Compute-Laufwerk

Schweregrad:
Niedrig

Tags: CostOptimization, Compute, Disk, Storage, CoNa

Asset: compute.googleapis.com/Disk

Details
Erkennt nichtflüchtige Speicher, die keiner VM-Instanz angehängt sind. Für nicht angehängte Laufwerke fallen weiterhin Gebühren an, was zu unnötigen Cloud-Ausgaben führt.
Nicht verwendete öffentliche IP-Adresse berechnen

Schweregrad:
Medium

Tags: Compute, Address, IP, PublicIP, CostOptimization, Unused, Networking, CSPR, CoNa

Asset: compute.googleapis.com/Address

Details
Prüft auf externe Compute Engine-IP-Adressen, die reserviert, aber derzeit von keiner Ressource verwendet werden. Für reservierte, aber nicht verwendete öffentliche IP-Adressen fallen Kosten an. Sie können auf verwaiste Ressourcen oder Konfigurationsfehler hinweisen. Mit dieser Regel werden Adressen identifiziert, bei denen „addressType“ auf „EXTERNAL“ und „status“ auf „RESERVED“ festgelegt ist. Es wird empfohlen, nicht verwendete Adressen einer Ressource zuzuweisen oder freizugeben, um unnötige Kosten zu vermeiden.
Confidential Computing für Compute-VM deaktiviert

Schweregrad:
Medium

Tags: Compute, Security, Confidential Computing, CSPR

Asset: compute.googleapis.com/Instance

Details
Prüft, ob Confidential Computing für Compute Engine-VM-Instanzen aktiviert ist. Confidential Computing verwendet hardwarebasierte Verschlüsselung, um aktive Daten zu schützen, auch vor dem Cloud-Anbieter. Das sorgt für ein höheres Sicherheits- und Datenschutzniveau für sensible Arbeitslasten. Mit dieser Regel werden Instanzen gekennzeichnet, für die Confidential Computing nicht aktiviert ist. Die Aktivierung von Confidential Computing kann eine Compliance-Anforderung sein oder erforderlich sein, um bestimmte Sicherheitsanforderungen zu erfüllen.
Compute-VM-Löschschutz deaktiviert

Schweregrad:
Medium

Tags: Compute, Security, Deletion Protection, Security, Reliability, CSPR, CoNa

Asset: compute.googleapis.com/Instance

Details
Prüft, ob der Löschschutz für Compute Engine-VM-Instanzen aktiviert ist. Der Löschschutz verhindert das versehentliche Löschen wichtiger VMs. Wenn diese Option aktiviert ist, schlägt jeder Versuch fehl, die Instanz über die API, die Befehlszeile oder die Console zu löschen, sofern der Löschschutz nicht zuerst explizit deaktiviert wird. Das ist eine wichtige Sicherheitsmaßnahme gegen menschliche Fehler oder böswillige Aktionen. Mit dieser Regel werden Instanzen ohne aktivierten Löschschutz gekennzeichnet.
CMEK für Compute-VM-Laufwerk

Schweregrad:
Hoch

Tags: Compute, Security, Encryption, CSPR

Asset: compute.googleapis.com/Instance

Details
Prüft, ob alle an eine Compute Engine-VM-Instanz angehängten Laufwerke mit einem vom Kunden verwalteten Verschlüsselungsschlüssel (Customer-Managed Encryption Key, CMEK) verschlüsselt sind. Durch die Verschlüsselung von Festplatten werden Daten im Ruhezustand geschützt und unbefugter Zugriff auf die Daten verhindert, wenn der physische Speicher kompromittiert wird. Wenn Sie CMEKs verwenden, haben Sie die Kontrolle über die Verschlüsselungsschlüssel, einschließlich der Schlüsselrotation und Zugriffsverwaltung. Mit dieser Regel werden Instanzen gekennzeichnet, bei denen angehängte Laufwerke nicht mit einem CMEK verschlüsselt sind.
IP-Weiterleitung für Compute-VM aktiviert

Schweregrad:
Medium

Tags: Compute, Security, Networking, CSPR

Asset: compute.googleapis.com/Instance

Details
Prüft, ob die IP-Weiterleitung für Compute Engine-VM-Instanzen aktiviert ist. Wenn Sie die IP-Weiterleitung aktivieren, kann eine VM Traffic zwischen verschiedenen Netzwerken weiterleiten und so als Router fungieren. Diese Funktion ist für einige Anwendungsfälle (z.B. NAT-Gateways, VPN-Server) erforderlich, sollte aber nur aktiviert werden, wenn sie explizit benötigt wird. Wenn Sie die IP-Weiterleitung auf Instanzen aktivieren, die sie nicht benötigen, vergrößert sich die Angriffsfläche. Außerdem kann die IP-Weiterleitung möglicherweise genutzt werden, um Netzwerksicherheitsfunktionen zu umgehen. Diese Regel kennzeichnet Instanzen, für die die IP-Weiterleitung aktiviert ist.
Compute-VM ohne Integritätsüberwachung

Schweregrad:
Hoch

Tags: Compute, Security, Shielded VM, CSPR

Asset: compute.googleapis.com/Instance

Details
Prüft, ob die Integritätsüberwachung für Compute Engine-VM-Instanzen aktiviert ist. Shielded VM bietet eine überprüfbare Integrität Ihrer VM-Instanzen und schützt so vor erweiterten Bedrohungen wie Rootkits und Bootkits. Mit dem Integritätsmonitoring können Sie die Integrität beim Booten Ihrer Instanzen überwachen. vTPM bietet ein virtualisiertes Trusted Platform Module. Secure Boot sorgt dafür, dass das System nur authentische Software ausführt. Mit dieser Regel werden Instanzen gekennzeichnet, in denen eine dieser Funktionen nicht aktiviert ist.
Compute-VM ohne Secure Boot

Schweregrad:
Hoch

Tags: Compute, Security, Shielded VM, CSPR, CoNa

Asset: compute.googleapis.com/Instance

Details
Prüft, ob Secure Boot für Compute Engine-VM-Instanzen aktiviert ist. Shielded VM bietet eine überprüfbare Integrität Ihrer VM-Instanzen und schützt so vor erweiterten Bedrohungen wie Rootkits und Bootkits. Mit dem Integritätsmonitoring können Sie die Integrität beim Booten Ihrer Instanzen überwachen. vTPM bietet ein virtualisiertes Trusted Platform Module. Secure Boot sorgt dafür, dass das System nur authentische Software ausführt. Mit dieser Regel werden Instanzen gekennzeichnet, in denen eine dieser Funktionen nicht aktiviert ist.
Compute-VM ohne TPM

Schweregrad:
Hoch

Tags: Compute, Security, Shielded VM, CSPR

Asset: compute.googleapis.com/Instance

Details
Prüft, ob vTPM für Compute Engine-VM-Instanzen aktiviert ist. Shielded VM bietet eine überprüfbare Integrität Ihrer VM-Instanzen und schützt so vor erweiterten Bedrohungen wie Rootkits und Bootkits. Mit dem Integritätsmonitoring können Sie die Integrität beim Booten Ihrer Instanzen überwachen. vTPM bietet ein virtualisiertes Trusted Platform Module. Secure Boot sorgt dafür, dass das System nur authentische Software ausführt. Mit dieser Regel werden Instanzen gekennzeichnet, in denen eine dieser Funktionen nicht aktiviert ist.
Compute VM-oslogin-2FA deaktiviert

Schweregrad:
Medium

Tags: Compute, Security, OSLogin, 2FA, CSPR

Asset: compute.googleapis.com/Instance

Details
Prüft, ob OS Login für Compute Engine-VM-Instanzen aktiviert ist, ohne die 2‑Faktor-Authentifizierung (2FA) zu aktivieren. OS Login selbst erhöht die Sicherheit durch die Verwendung von IAM für die Zugriffssteuerung. Die 2FA bietet jedoch eine entscheidende zusätzliche Schutzebene gegen kompromittierte Anmeldedaten. Ohne 2FA kann ein Angreifer, der das Passwort eines Nutzers erhält, Zugriff auf die VM erhalten. Diese Regel kennzeichnet Instanzen, für die OS Login aktiviert ist, aber 2FA nicht.
Compute-VM-oslogin deaktiviert

Schweregrad:
Medium

Tags: Compute, Security, OSLogin, CSPR

Asset: compute.googleapis.com/Instance

Details
Hinweis: Mit dieser Regel werden nur Überschreibungen von Metadaten auf Instanzebene geprüft. Konfigurationen für die Betriebssystemanmeldung auf der Schutzebene werden von dieser Regel nicht validiert.) Prüft, ob OS Login für Compute Engine-VM-Instanzen aktiviert ist. OS Login bietet eine zentralisierte und detaillierte Zugriffssteuerung für VMs mithilfe von IAM-Rollen, anstatt auf einzelne SSH-Schlüssel zu setzen, die auf Instanz- oder Projektebene verwaltet werden. OS Login verbessert die Sicherheit, vereinfacht die Schlüsselverwaltung und erhöht die Prüfbarkeit. Diese Regel kennzeichnet Instanzen, für die OS Login nicht aktiviert ist.
SSH-Schlüssel für gesamtes Compute-VM-Projekt zulässig

Schweregrad:
Medium

Tags: Compute, Security, SSH, Security, Reliability, CSPR

Asset: compute.googleapis.com/Instance

Details
Prüft, ob für eine Compute Engine-VM-Instanz die Verwendung projektweiter SSH-Schlüssel zulässig ist. Projektweite SSH-Schlüssel können den Metadaten eines Projekts hinzugefügt werden und gewähren automatisch Zugriff auf alle Instanzen in diesem Projekt, sofern sie nicht explizit blockiert werden oder OS Login aktiviert ist. Wenn Sie sich ausschließlich auf projektweite SSH-Schlüssel verlassen, verstoßen Sie gegen das Prinzip der geringsten Berechtigung und erhöhen das Risiko eines unbefugten Zugriffs, wenn ein Schlüssel manipuliert wird. Im Allgemeinen wird empfohlen, entweder OS Login (das eine detailliertere Steuerung ermöglicht) zu verwenden oder projektweite SSH-Schlüssel explizit zu blockieren und stattdessen instanzspezifische Schlüssel zu verwenden. Mit dieser Regel werden Instanzen gekennzeichnet, die keine projektweiten SSH-Schlüssel blockieren und für die OS Login nicht aktiviert ist.
Serieller Port der Compute-VM aktiviert

Schweregrad:
Medium

Tags: Compute, Security, Compute Engine, Serial Port, CSPR

Asset: compute.googleapis.com/Instance

Details
Prüft, ob der Zugriff auf den seriellen Port für Compute Engine-VM-Instanzen aktiviert ist. Der serielle Port bietet eine textbasierte Konsole für die Interaktion mit der VM, hauptsächlich für das Debugging und die Fehlerbehebung. Die Aktivierung des seriellen Ports ist zwar in bestimmten Situationen nützlich, erhöht aber die Angriffsfläche, da er potenziell für unbefugten Zugriff verwendet werden kann, wenn er nicht ordnungsgemäß gesichert ist. Im Allgemeinen wird empfohlen, den Zugriff auf den seriellen Port zu deaktivieren, es sei denn, er ist ausdrücklich erforderlich und es werden geeignete Sicherheitsmaßnahmen ergriffen (z.B. starke Authentifizierung, Firewallregeln). Diese Regel kennzeichnet Instanzen, für die der Zugriff auf den seriellen Port aktiviert ist.
Compute VM-Shielded VM unvollständig

Schweregrad:
Hoch

Tags: Compute, Security, Shielded VM, CSPR, CoNa

Asset: compute.googleapis.com/Instance

Details
Prüft, ob alle Shielded VM-Funktionen (Integritätsmonitoring, vTPM und Secure Boot) für Compute Engine-VM-Instanzen aktiviert sind. Shielded VM bietet eine überprüfbare Integrität Ihrer VM-Instanzen und schützt so vor erweiterten Bedrohungen wie Rootkits und Bootkits. Mit dem Integritätsmonitoring können Sie die Integrität beim Booten Ihrer Instanzen überwachen. vTPM bietet ein virtualisiertes Trusted Platform Module. Secure Boot sorgt dafür, dass das System nur authentische Software ausführt. Mit dieser Regel werden Instanzen gekennzeichnet, in denen eine dieser Funktionen nicht aktiviert ist.
Privater Zugriff auf das Compute-VM-Subnetz

Schweregrad:
Medium

Asset: compute_Instance_RESOURCE_6

Details
Prüfen Sie, ob VM-Instanzen mit Subnetzen verbunden sind, für die der privater Google-Zugriff aktiviert ist.
Compute vpntunnel ike version

Schweregrad:
Hoch

Tags: Compute, VpnTunnel, VPN, IKEv1, IKEv2, Security, Encryption, Networking, CSPR

Asset: compute.googleapis.com/VpnTunnel

Details
Prüft, ob ein Compute Engine-VPN-Tunnel für die Verwendung des IKEv1-Protokolls konfiguriert ist. IKEv1 (Internet Key Exchange Version 1) ist ein älteres VPN-Protokoll mit bekannten Sicherheitsschwachstellen im Vergleich zum moderneren IKEv2. Die Verwendung von IKEv1 erhöht das Risiko von Sicherheitslücken. Bei dieser Regel wird das Feld „ikeVersion“ in der VPN-Tunnelkonfiguration untersucht. Ein Verstoß wird generiert, wenn „ikeVersion“ auf 1 gesetzt ist. Es wird dringend empfohlen, IKEv2 (Version 2) zu verwenden, um die Sicherheit und Zuverlässigkeit zu erhöhen.
Standardmäßige Firewall-Verweigerung für ausgehenden Traffic

Schweregrad:
Hoch

Tags: Security, Firewall, Network, Compliance, CSPR, CoNa, MVSP

Asset: compute_Network_RESOURCE_2

Details
Kennzeichnet Compute Engine-VPC-Netzwerke, die nicht mit einer Standard-Firewallregel zum Ablehnen von ausgehendem Traffic konfiguriert sind.
Standardmäßig ausgehenden Traffic in Firewallrichtlinie ablehnen

Schweregrad:
Hoch

Tags: Networking, Security, Compliance, CSPR, CoNa, MVSP

Asset: compute_Network_RESOURCE_1

Details
Kennzeichnet Compute Engine-VPC-Netzwerke, die nicht mit einer Standard-Firewallrichtlinie zum Ablehnen von ausgehendem Traffic konfiguriert sind.
Compute Engine-Images öffentlich zugänglich gemacht

Schweregrad:
Hoch

Tags: IAM, Compute Engine, image, Security, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Project

Details
Verhindert unautorisierten Zugriff und potenzielle Daten-Exfiltration, indem erkannt wird, ob die IAM-Richtlinie eines Projekts öffentlichen Zugriff (allUsers oder allAuthenticatedUsers) gewährt, wodurch alle enthaltenen Compute Engine-Images offengelegt würden.
Osconfig-Schwachstellenbericht – Kritisch

Schweregrad:
Kritisch

Tags: Compute, Security, osconfig, Vulnerability, CSPR

Asset: compute_Instance_RESOURCE_8

Details
Erkennt Compute Engine-VM-Instanzen, für die OS Config-Sicherheitslückenberichte mit Sicherheitslücken mit dem Schweregrad „KRITISCH“ vorhanden sind. Kritische Sicherheitslücken stellen das höchste Risiko dar und sollten sofort behoben werden, um eine potenzielle Ausnutzung zu verhindern.
Privategoogleaccess compute

Schweregrad:
Medium

Tags: Networking, Security, Compliance

Asset: compute_Instance_RESOURCE_1

Details
Achten Sie darauf, dass der private Google-Zugriff speziell für Subnetzwerke aktiviert ist, die an VM-Instanzen angehängt sind.
Projekt „multiregion nat“

Schweregrad:
Hoch

Tags: Reliability, Network, NAT, HighAvailability, BCDR

Asset: cloudresourcemanager_Project_RESOURCE_ROUTER

Details
Prüft, ob für ein Projekt Cloud NAT in mindestens zwei verschiedenen Regionen konfiguriert ist. Die multiregionale Cloud NAT-Bereitstellung sorgt für Redundanz und schützt vor regionalen Ausfällen bei ausgehenden Verbindungen.
Project-Instanzen mit mehreren Zonen

Schweregrad:
Hoch

Tags: Reliability, Compute, Instance, HighAvailability, BCDR, CoNa

Asset: cloudresourcemanager_Project_RESOURCE_INSTANCE

Details
Prüft, ob in einem Projekt Compute Engine-Anwendungsservice-VMs in mindestens zwei verschiedenen Zonen bereitgestellt sind. Die Bereitstellung von VMs in mehreren Zonen sorgt für Rechenredundanz und schützt vor Zonenausfällen.
Multiregionale Cloud Storage-Speicherung für Snapshots

Schweregrad:
Medium

Tags: Reliability, Compute, Backup, DisasterRecovery, BCDR

Asset: compute.googleapis.com/Snapshot

Details
Prüfen Sie, ob Compute Engine-Festplattensnapshots an multiregionalen Standorten gespeichert werden, um die Überlebensfähigkeit und Wiederherstellungsfähigkeit bei einem regionalen Ausfall zu gewährleisten.
Sslpolicy modern with tlsv12

Schweregrad:
Hoch

Tags: Compute, SslPolicy, TLS, Security, Encryption, Profile, Modern, CSPR

Asset: compute.googleapis.com/SslPolicy

Details
Prüft, ob eine Compute Engine-SSL-Richtlinie die empfohlenen Sicherheitsstandards erfüllt, indem ihr Profil auf MODERN und ihre TLS-Mindestversion auf TLS_1_2 festgelegt ist. Das Profil MODERN umfasst starke Chiffrensammlungen und deaktiviert ältere, weniger sichere TLS-Versionen. Wenn Sie die Mindest-TLS-Version auf TLS_1_2 festlegen, wird die Sicherheit weiter erhöht, da TLS 1.0 und 1.1 nicht mehr zulässig sind. Bei dieser Regel werden die Felder „profile“ und „minTlsVersion“ geprüft. Ein Verstoß wird generiert, wenn das Profil nicht MODERN ist oder die minTlsVersion nicht TLS_1_2 ist.
Subnetz-Stacktyp

Schweregrad:
Medium

Tags: Security, Network, Compliance

Asset: compute.googleapis.com/Subnetwork

Details
Prüft, ob ein Compute Engine-VPC-Subnetzwerk mit einem Dual-Stack-Stacktyp (IPV4_IPV6) konfiguriert ist. Wenn Sie nur IPv4-Stack-Typen erzwingen, können Sie eine einheitliche Sicherheitslage aufrechterhalten, die Netzwerkkomplexität verringern und die Einhaltung von Organisationsrichtlinien sicherstellen, die die IPv6-Nutzung einschränken, um unautorisierte Zugriffspfade zu verhindern.

Google Cloud Best Practices – Dataproc (2 Ergebnisse)

Graceful Decommissioning beim Dataproc-Autoscaling

Schweregrad:
Medium

Tags: Dataproc, Autoscaling, Reliability, CostOptimization

Asset: dataproc.googleapis.com/AutoscalingPolicy

Details
Prüft, ob in Dataproc-Autoscaling-Richtlinien ein „gracefulDecommissionTimeout“ definiert ist. Ein ordnungsgemäßes Zeitlimit sorgt dafür, dass laufende Jobs abgeschlossen werden können, bevor Worker-Knoten herunterskaliert werden.
Dataproc-Clustermaster-HA

Schweregrad:
Hoch

Tags: Reliability, Availability, HighAvailability, BCDR

Asset: dataproc.googleapis.com/Cluster

Details
Prüft, ob Dataproc-Cluster im Modus für hohe Verfügbarkeit ausgeführt werden, indem drei Masterinstanzen bereitgestellt werden. Wenn Sie weniger als drei Masternodes verwenden, entsteht ein Single Point of Failure, der die Produktionsstabilität und die Kontinuität der Datenverarbeitung bei Wartungsarbeiten oder Ausfällen gefährdet.

Google Cloud Best Practices – Filestore (5 Ergebnisse)

Sicherungskonfiguration für Filestore-Instanz

Schweregrad:
Hoch

Tags: Sicherheit, Zuverlässigkeit, Datenschutz, Sicherung, CSPR

Asset: file.googleapis.com/Instance

Details
Filestore-Instanzen sollten einen definierten Sicherungszeitplan haben, um eine robuste Datenwiederherstellung zu ermöglichen und vor Datenverlust durch versehentliches Löschen oder Beschädigung zu schützen. Mit dieser Regel wird speziell geprüft, ob in den Instanzeinstellungen eine „backupConfig“ vorhanden ist. Das ist für die Geschäftskontinuität unerlässlich.
Löschschutz für Filestore-Instanzen deaktiviert

Schweregrad:
Hoch

Tags: Security, Reliability, Data Protection, CoNa

Asset: file.googleapis.com/Instance

Details
Sorgt dafür, dass für Filestore-Instanzen der Löschschutz aktiviert ist, um versehentlichen Datenverlust und Dienstunterbrechungen durch unbeabsichtigtes Löschen zu verhindern. Wenn Sie den Löschschutz für wichtige Dateifreigaben deaktivieren, steigt das Risiko von Bedienungsfehlern, die zu einem unwiderruflichen Datenverlust führen können. Diese Einstellung wird durch das Flag „deletionProtectionEnabled“ in der Instanzkonfiguration gesteuert.
Filestore-Instanz mit HA-Stufen

Schweregrad:
Hoch

Tags: Reliability, High Availability, Filestore, Resiliency

Asset: file.googleapis.com/Instance

Details
Sorgt dafür, dass Google Cloud Filestore-Instanzen mit regionalen Verfügbarkeitsstufen (ENTERPRISE oder REGIONAL) konfiguriert werden, um Hochverfügbarkeit und Ausfallsicherheit für kritische Arbeitslasten zu unterstützen. Die Stufen „Basic“, „High Scale SSD“ und „Generic Zonal“ sind Bereitstellungen in einer einzelnen Zone und bieten nicht die multizonale Resilienz, die zum Schutz vor zonalen Ausfällen erforderlich ist.
Fehlende Labels für Filestore-Instanz

Schweregrad:
Niedrig

Tags: Filestore, Instance, Labels, FinOps, CSPR

Asset: file.googleapis.com/Instance

Details
Sorgt dafür, dass Filestore-Instanzen Labels für die Ressourcenorganisation, das Filtern und die Analyse der Kostenzuordnung erhalten.
Filestore-Instanz ohne Ressourcentags

Schweregrad:
Niedrig

Tags: Filestore, Instance, Tags, FinOps, CSPR, CoNa, MVSP

Asset: file.googleapis.com/Instance

Details
Sorgt dafür, dass auf Filestore-Instanzen Resource Manager-Tags angewendet werden, um eine einheitliche Verwaltung, Richtliniendurchsetzung und Kostenanalyse für Cloud-Ressourcen zu ermöglichen.

Google Cloud Best Practices – Firestore (1 Ergebnis)

Firestore-Datenbank mit mehreren Regionen

Schweregrad:
Hoch

Tags: Reliability, BCDR, High Availability

Asset: firestore.googleapis.com/Database

Details
Prüft, ob Firestore-Datenbanken für die Verwendung von Standorten mit mehreren Regionen (z.B. nam5, eur3) konfiguriert sind. Bei multiregionalen Bereitstellungen werden Daten in verschiedenen geografischen Gebieten repliziert, um eine Hochverfügbarkeit und Robustheit gegenüber regionalen Ausfällen zu gewährleisten.

Google Cloud Best Practices – Gemini Enterprise Agent Platform (18 Ergebnisse)

Vertex AI-Endpunkt – Mindestanzahl von Replikaten

Schweregrad:
Hoch

Tags: Reliability, VertexAI, HighAvailability, Resiliency

Asset: aiplatform.googleapis.com/Endpoint

Details
Stellt sicher, dass bereitgestellte ML-Modelle an Onlineendpunkten mindestens zwei Replikate haben, um die Verfügbarkeit aufrechtzuerhalten und Ausfallzeiten bei Vorhersagen bei einem einzelnen Knotenausfall zu verhindern.
Benutzerdefinierter Vertex-Job mit aktiviertem CMEK

Schweregrad:
Hoch

Tags: Sicherheit, Verschlüsselung, CMEK, Vertex AI, Compliance

Asset: aiplatform.googleapis.com/CustomJob

Details
Sorgt dafür, dass benutzerdefinierte Trainingsjobs in Vertex AI mit kundenverwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEKs) geschützt werden. So haben Sie detaillierte Kontrolle über die Datenverschlüsselung für erweiterte Sicherheitsfunktionen und Compliance. Mit dieser Regel wird geprüft, ob das Feld „encryptionSpec.kmsKeyName“ in der Jobspezifikation richtig konfiguriert ist.
Vertex-Dataset-CMEK aktiviert

Schweregrad:
Hoch

Tags: Sicherheit, Verschlüsselung, CMEK, Vertex AI, Compliance

Asset: aiplatform.googleapis.com/Dataset

Details
Sorgt dafür, dass Vertex AI-Datasets mit kundenverwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEKs) geschützt werden. Dies ermöglicht eine detaillierte Kontrolle über die Datenverschlüsselung für erweiterte Sicherheitsfunktionen und Compliance. Mit dieser Regel wird geprüft, ob das Feld „encryptionSpec.kmsKeyName“ für das Dataset richtig konfiguriert ist.
Vertex-Endpunkt mit CMEK aktiviert

Schweregrad:
Hoch

Tags: Sicherheit, Verschlüsselung, CMEK, Vertex AI, Compliance

Asset: aiplatform.googleapis.com/Endpoint

Details
Sorgt dafür, dass Vertex AI-Endpunkte mit einem vom Kunden verwalteten Verschlüsselungsschlüssel (CMEK) verschlüsselt werden. Dies ermöglicht eine detaillierte Kontrolle über die Datenverschlüsselung für bereitgestellte Modelle und verbessert die Sicherheit. Diese Einstellung ist wichtig für die Einhaltung von Compliance-Vorgaben und den Schutz sensibler Daten im Ruhezustand. Mit dieser Regel wird geprüft, ob das Feld „encryptionSpec.kmsKeyName“ für den Endpunkt richtig konfiguriert ist.
Vertex Feature Store mit CMEK aktiviert

Schweregrad:
Hoch

Tags: Sicherheit, Verschlüsselung, CMEK, Vertex AI, Compliance

Asset: aiplatform.googleapis.com/Featurestore

Details
Sorgt dafür, dass Vertex AI Featurestores mit kundenverwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEK) geschützt werden. So erhalten Sie eine detaillierte Kontrolle über die Datenverschlüsselung für erweiterte Sicherheitsfunktionen und Compliance. Mit dieser Regel wird geprüft, ob das Feld „encryptionSpec.kmsKeyName“ richtig konfiguriert ist.
Vertex-Hyperparameter-Abstimmungsjob mit CMEK-Verschlüsselung

Schweregrad:
Hoch

Tags: Sicherheit, Verschlüsselung, CMEK, Vertex AI, Compliance

Asset: aiplatform.googleapis.com/HyperparameterTuningJob

Details
Sorgt dafür, dass Vertex AI-Jobs zum Optimieren von Hyperparametern mit vom Kunden verwalteten Verschlüsselungsschlüsseln (CMEK) geschützt werden. So erhalten Sie eine detaillierte Kontrolle über die Datenverschlüsselung für erweiterte Sicherheitsfunktionen und Compliance. Mit dieser Regel wird geprüft, ob das Feld „encryptionSpec.kmsKeyName“ in der Jobspezifikation richtig konfiguriert ist.
Vertex-Metadatenspeicher mit CMEK aktiviert

Schweregrad:
Hoch

Tags: Sicherheit, Verschlüsselung, CMEK, Vertex AI, Compliance

Asset: aiplatform.googleapis.com/MetadataStore

Details
Sorgt dafür, dass Vertex AI Metadata Stores mit vom Kunden verwalteten Verschlüsselungsschlüsseln (CMEK) geschützt werden, um eine bessere Kontrolle über die Datenverschlüsselung zu erhalten. Mit dieser Regel wird geprüft, ob das Feld „encryptionSpec.kmsKeyName“ vorhanden und konfiguriert ist. Dies ist für die Compliance und die Verbesserung der Datensicherheit unerlässlich, da so sichergestellt wird, dass Metadaten nicht nur standardmäßig, sondern mit einem von Ihnen verwalteten Schlüssel verschlüsselt werden.
Vertex-Modell mit aktiviertem CMEK

Schweregrad:
Hoch

Tags: Sicherheit, Verschlüsselung, CMEK, Vertex AI, Compliance

Asset: aiplatform.googleapis.com/Model

Details
Sorgt dafür, dass Vertex AI-Modelle mit kundenverwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEK) geschützt werden, um die Datenverschlüsselung besser zu kontrollieren und Compliance-Anforderungen zu erfüllen. Mit dieser Regel wird geprüft, ob das Feld „encryptionSpec.kmsKeyName“ in den Ressourcendaten der Modelle richtig konfiguriert ist.
CMEK für die Laufzeit des Vertex-Notebooks aktiviert

Schweregrad:
Hoch

Tags: Sicherheit, Verschlüsselung, CMEK, Vertex AI, Compliance, CoNa, MVSP

Asset: aiplatform.googleapis.com/NotebookRuntime

Details
Sorgt dafür, dass Vertex AI Notebook-Laufzeiten mit kundenverwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEKs) geschützt werden. Dies ermöglicht eine detaillierte Kontrolle der Datenverschlüsselung für erweiterte Sicherheitsfunktionen und Compliance. Für eine Notebook-Laufzeit ohne CMEK werden standardmäßig von Google verwaltete Verschlüsselungsschlüssel verwendet.
Herunterfahren bei Inaktivität der Vertex-Notebook-Laufzeit aktiviert

Schweregrad:
Medium

Tags: Cost, FinOps, Vertex AI, CoNa, MVSP

Asset: aiplatform.googleapis.com/NotebookRuntime

Details
Erzwingt das automatische Herunterfahren bei Inaktivität in Vertex AI-Notebook-Laufzeiten, um die Kosten durch Beenden inaktiver Ressourcen zu optimieren. Eine Fehlkonfiguration tritt auf, wenn die idleShutdownConfig nicht definiert ist oder wenn das Flag idleShutdownDisabled darin auf „true“ gesetzt ist. Dies führt zu einer kontinuierlichen Abrechnung von Ressourcen, auch wenn sie nicht verwendet werden.
Vertex-Notebook-Laufzeit ohne Internetzugriff

Schweregrad:
Hoch

Tags: Security, Vertex AI, Networking, Data Exfiltration, CoNa, MVSP

Asset: aiplatform.googleapis.com/NotebookRuntime

Details
Sorgt dafür, dass Vertex AI Notebook-Runtimes keinen direkten Internetzugriff haben, um Risiken wie Daten-Exfiltration und unbefugten Zugriff auf externe Ressourcen zu minimieren. Das Deaktivieren des Internetzugriffs verbessert den Sicherheitsstatus, da die Laufzeitumgebung isoliert wird. Der Internetzugriff wird über die Einstellung „networkSpec.enableInternetAccess“ gesteuert.
Secure Boot für die Vertex-Notebook-Laufzeit ist deaktiviert

Schweregrad:
Hoch

Tags: Security, Vertex AI, Shielded VM, Secure Boot, NIST-800-53-SI-7, CoNa, MVSP

Asset: aiplatform.googleapis.com/NotebookRuntime

Details
Sorgt dafür, dass Secure Boot in Vertex AI-Notebook-Laufzeiten aktiviert ist, um vor Bedrohungen auf Boot-Ebene zu schützen. Secure Boot ist eine wichtige Shielded VM-Funktion, mit der die digitale Signatur aller Bootkomponenten überprüft wird. So wird verhindert, dass während des Bootvorgangs nicht autorisierter oder schädlicher Code ausgeführt wird. Mit dieser Regel wird geprüft, ob das Flag „enableSecureBoot“ explizit auf „true“ gesetzt ist.
CMEK-aktivierte Laufzeitvorlage für Vertex-Notebook

Schweregrad:
Hoch

Tags: Sicherheit, Verschlüsselung, CMEK, Vertex AI, Compliance, CoNa, MVSP

Asset: aiplatform.googleapis.com/NotebookRuntimeTemplate

Details
Sorgt dafür, dass Vertex AI Notebook-Laufzeiten mit kundenverwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEKs) geschützt werden. Dies ermöglicht eine detaillierte Kontrolle der Datenverschlüsselung für erweiterte Sicherheitsfunktionen und Compliance. Für eine Notebook-Laufzeit ohne CMEK werden standardmäßig von Google verwaltete Verschlüsselungsschlüssel verwendet.
Inaktivitätsbedingtes Herunterfahren von Laufzeitvorlagen für Vertex-Notebooks

Schweregrad:
Medium

Tags: Cost, FinOps, Vertex AI, CoNa, MVSP

Asset: aiplatform.googleapis.com/NotebookRuntimeTemplate

Details
Erzwingt das automatische Herunterfahren bei Inaktivität für Laufzeitvorlagen für Vertex AI-Notebooks, um Kosten zu optimieren, indem inaktive Ressourcen beendet werden. Eine Fehlkonfiguration tritt auf, wenn die idleShutdownConfig nicht definiert ist oder wenn das Flag idleShutdownDisabled darin auf „true“ gesetzt ist. Dies führt zu einer kontinuierlichen Abrechnung von Ressourcen, auch wenn sie nicht verwendet werden.
Internet-Zugriff über die Laufzeitvorlage für Vertex-Notebooks

Schweregrad:
Hoch

Tags: Security, Vertex AI, Network, CoNa, MVSP

Asset: aiplatform.googleapis.com/NotebookRuntimeTemplate

Details
Sorgt dafür, dass Vertex AI-Laufzeitvorlagen nicht dem öffentlichen Internet ausgesetzt sind. Dadurch wird die externe Angriffsfläche verringert und eine potenzielle Daten-Exfiltration verhindert. Dies wird verletzt, wenn die Einstellung „enableInternetAccess“ auf „true“ gesetzt ist.
Sicherer Start von Laufzeitvorlagen für Vertex-Notebooks

Schweregrad:
Hoch

Tags: Sicherheit, Vertex AI, Notebooks, Compliance, CoNa, MVSP

Asset: aiplatform.googleapis.com/NotebookRuntimeTemplate

Details
Prüft, ob für Vertex AI Notebook-Laufzeitvorlagen Secure Boot aktiviert ist, um die Integrität des Betriebssystems zu gewährleisten und vor unautorisiertem Code auf Boot-Ebene zu schützen. Secure Boot ist eine wichtige Sicherheitsfunktion, die die Ausführung von Schadcode während des Startvorgangs verhindert. Diese Einstellung wird über das Flag „enableSecureBoot“ im Objekt „shieldedVmConfig“ gesteuert.
Vertex TensorBoard mit aktiviertem CMEK

Schweregrad:
Hoch

Tags: Sicherheit, Verschlüsselung, CMEK, Vertex AI, Compliance

Asset: aiplatform.googleapis.com/Tensorboard

Details
Sorgt dafür, dass Vertex AI TensorBoard-Instanzen mit kundenverwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEK) geschützt sind. Dies ermöglicht eine detaillierte Kontrolle über die Verschlüsselung von Testdaten und Modellvisualisierungen für erweiterte Sicherheitsfunktionen und Compliance. Mit dieser Regel wird geprüft, ob das Feld „encryptionSpec.kmsKeyName“ richtig konfiguriert ist.
Vertex-Trainingspipeline mit CMEK-Verschlüsselung

Schweregrad:
Hoch

Tags: Sicherheit, Verschlüsselung, CMEK, Vertex AI, Compliance

Asset: aiplatform.googleapis.com/TrainingPipeline

Details
Sorgt dafür, dass Vertex AI-Trainingspipelines mit kundenverwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEK) geschützt werden. So erhalten Sie detaillierte Kontrolle über die Datenverschlüsselung für erweiterte Sicherheitsfunktionen und Compliance. Mit dieser Regel wird geprüft, ob das Feld „encryptionSpec.kmsKeyName“ in der Pipelinespezifikation richtig konfiguriert ist.

Google Cloud Best Practices – Gemini Enterprise Agent Platform Workbench (11 Ergebnisse)

Automatische Upgrades für Vertex Workbench aktiviert

Schweregrad:
Medium

Tags: Security, Reliability, Vertex AI, Notebooks, CoNa

Asset: notebooks.googleapis.com/Instance

Details
Sorgt dafür, dass für Vertex AI Workbench-Instanzen automatische Umgebungs-Upgrades aktiviert sind. Das Aktivieren automatischer Upgrades ist entscheidend, um Instanzen mit den neuesten Funktionen, Framework-Updates und Sicherheitspatches auf dem neuesten Stand zu halten. Dies verbessert sowohl die Sicherheit als auch die Zuverlässigkeit. Diese Einstellung wird durch den Metadatenschlüssel „notebookupgradeschedule“ gesteuert, der vorhanden sein und einen definierten Wert haben muss.
Vertex Workbench-CMEK aktiviert

Schweregrad:
Hoch

Tags: Sicherheit, Verschlüsselung, CMEK, Vertex AI, Compliance, NIST-800-53-SC-28

Asset: notebooks.googleapis.com/Instance

Details
Sorgt dafür, dass Vertex AI Workbench-Instanzen mit einem vom Kunden verwalteten Verschlüsselungsschlüssel (Customer-Managed Encryption Key, CMEK) verschlüsselt werden. Dies ist entscheidend, um die Kontrolle über die Datenverschlüsselung zu behalten und bestimmte Compliance-Anforderungen zu erfüllen. Mit dieser Richtlinie wird überprüft, ob das Attribut „kmsKey“ für die Boot- und Datenlaufwerke in den Instanzen von „gceSetup“ konfiguriert ist.
Standardnetzwerk für Vertex Workbench deaktiviert

Schweregrad:
Medium

Tags: Sicherheit, Netzwerk, Vertex AI

Asset: notebooks.googleapis.com/Instance

Details
Das Deaktivieren der Verwendung des Standard-VPC-Netzwerk für Vertex AI Workbench-Instanzen ist eine wichtige Sicherheitsmaßnahme, um zu verhindern, dass zu permissive Firewallregeln verwendet werden. Diese Fehlkonfiguration tritt auf, wenn eine Workbench-Instanz an die Netzwerkressource mit dem Namen „default“ angehängt wird, wodurch eine sicherere, bewusst entwickelte Netzwerkarchitektur umgangen wird.
Löschschutz für Vertex Workbench aktiviert

Schweregrad:
Medium

Tags: Reliability, Vertex AI, Notebooks, CoNa

Asset: notebooks.googleapis.com/Instance

Details
Sorgt dafür, dass für Vertex AI Workbench-Instanzen der Löschschutz aktiviert ist, um das versehentliche Löschen wichtiger Entwicklungsumgebungen und zugehöriger Daten zu verhindern. Dieser Schutz ist für die Aufrechterhaltung der Betriebssicherheit unerlässlich, da eine Fehlkonfiguration zu einem irreversiblen Verlust von Daten führen kann. Das Flag „deletionProtection“ muss explizit auf „true“ gesetzt werden.
Vertex Workbench-Dateidownloads deaktivieren

Schweregrad:
Hoch

Tags: Sicherheit, Vertex AI, Notebooks, Datenexfiltration, NIST-800-53-AC-3, CoNa

Asset: notebooks.googleapis.com/Instance

Details
Um Datenexfiltration zu verhindern, wird mit dieser Richtlinie sichergestellt, dass Dateidownloads über die JupyterLab-Oberfläche in Vertex AI Workbench-Instanzen deaktiviert sind. Eine Fehlkonfiguration liegt vor, wenn der Metadatenschlüssel „notebookdisabledownloads“ fehlt oder nicht auf „true“ gesetzt ist. Dadurch entsteht ein potenzieller Vektor für das unbefugte Entfernen von Daten.
Vertex Workbench: Root-Zugriff deaktivieren

Schweregrad:
Hoch

Tags: Sicherheit, Vertex AI, Notebooks, Rechteausweitung

Asset: notebooks.googleapis.com/Instance

Details
Das Deaktivieren des Root-Zugriffs auf Vertex AI Workbench-Instanzen ist eine wichtige Sicherheitsmaßnahme, um Rechteausweitung und unbefugte Systemänderungen zu verhindern. Diese Einstellung wird über den Metadatenschlüssel „notebookdisableroot“ in der Compute Engine-Einrichtung gesteuert, der auf „true“ gesetzt werden sollte.
Integritätsmonitoring für Vertex Workbench aktiviert

Schweregrad:
Hoch

Tags: Sicherheit, Vertex AI, Notebooks, Integritätsüberwachung, NIST-800-53-SI-7

Asset: notebooks.googleapis.com/Instance

Details
Sorgt dafür, dass für Vertex AI Workbench-Instanzen die Integritätsüberwachung von Shielded VM aktiviert ist. Dies bietet eine grundlegende Schutzschicht gegen Malware auf Boot- und Kernelebene. Ein Verstoß tritt auf, wenn das Flag „enableIntegrityMonitoring“ in der Shielded VM-Konfiguration der Instanzen fehlt, leer ist oder auf „false“ gesetzt ist.
Vertex Workbench ohne öffentliche IP-Adresse

Schweregrad:
Hoch

Tags: Security, Vertex AI, Networking

Asset: notebooks.googleapis.com/Instance

Details
Achten Sie darauf, dass Vertex AI Workbench-Instanzen keine öffentlichen IP-Adressen haben, indem Sie prüfen, ob die Einstellung „disablePublicIp“ explizit auf „true“ gesetzt ist. Das Deaktivieren öffentlicher IP-Adressen ist eine wichtige Sicherheitsmaßnahme, die die Exposition von Instanzen gegenüber dem öffentlichen Internet verringert und das Risiko unbefugter Zugriffe minimiert. Ein Verstoß liegt vor, wenn die Einstellung „disablePublicIp“ fehlt, leer ist oder auf „false“ gesetzt ist.
Vertex Workbench-Standarddienstkonto einschränken

Schweregrad:
Hoch

Tags: Sicherheit, Vertex AI, IAM, Dienstkonto, NIST-800-53-AC-3, CSPR

Asset: notebooks.googleapis.com/Instance

Details
Sorgt dafür, dass Vertex AI Workbench-Instanzen nicht das Compute Engine-Standarddienstkonto verwenden. Das Zuweisen dedizierter Dienstkonten mit geringsten Berechtigungen zu Workbench-Instanzen ist eine wichtige Sicherheitsmaßnahme, die die potenziellen Auswirkungen eines Angriffs minimiert, indem der Zugriff der Instanzen auf nur die erforderlichen Google Cloud-Dienste beschränkt wird. Bei dieser Prüfung werden Instanzen gekennzeichnet, die mit einem Dienstkonto konfiguriert sind, das auf „compute@developer.gserviceaccount.com“ endet. Dies weist auf die Verwendung des zu permissiven Standarddienstkontos hin.
Secure Boot für Vertex Workbench aktiviert

Schweregrad:
Hoch

Tags: Security, Vertex AI, Notebooks, Shielded VM, CoNa

Asset: notebooks.googleapis.com/Instance

Details
Sorgt dafür, dass für Vertex AI Workbench-Instanzen Secure Boot aktiviert ist. Dies ist eine wichtige Sicherheitsfunktion, mit der die digitale Signatur aller Bootkomponenten überprüft wird, um vor Bootkits und Rootkits zu schützen. Diese Einstellung, enableSecureBoot, ist Teil der Shielded VM-Konfiguration der Instanzen und muss auf „true“ gesetzt werden.
Vertex Workbench mit aktiviertem TPM

Schweregrad:
Hoch

Tags: Sicherheit, Vertex AI, Notebooks, vTPM, Shielded VM

Asset: notebooks.googleapis.com/Instance

Details
Prüft, ob für Vertex AI Workbench-Instanzen das Virtual Trusted Platform Module (vTPM) aktiviert ist, um einen sicheren und gemessenen Boot-Prozess zu gewährleisten. Die Aktivierung von vTPM ist ein wichtiger Bestandteil der Shielded VM-Funktionen von Google Cloud. Sie schützt Instanzen vor Malware auf Boot-Ebene und Rootkits, indem sie die überprüfbare Integrität des Bootloaders, des Kernels und der Boottreiber der Instanzen bietet. Diese Einstellung wird in der shieldedInstanceConfig der Instanz verwaltet.

Google Cloud Best Practices – Google Kubernetes Engine (55 Ergebnisse)

Google Kubernetes Engine-Alphacluster aktiviert

Schweregrad:
Hoch

Tags: GKE, Sicherheit, CSPR, MVSP

Asset: container.googleapis.com/Cluster

Details
Prüft, ob für GKE-Cluster keine Alphafunktionen aktiviert sind. Alphacluster werden für Produktionsarbeitslasten nicht unterstützt und laufen nach 30 Tagen ab.
Google Kubernetes Engine Autopilot aktiviert

Schweregrad:
Niedrig

Tags: Google Kubernetes Engine, Kubernetes, Cluster, Autopilot, Managed, Configuration, CSPR

Asset: container.googleapis.com/Cluster

Details
Prüft, ob für einen Google Kubernetes Engine-Cluster (GKE) der Autopilot-Modus aktiviert ist. Google Kubernetes Engine Autopilot ist ein vollständig verwalteter Betriebsmodus, der den Betriebsaufwand reduziert, indem die Clusterinfrastruktur, einschließlich Knoten und Sicherheitskonfigurationen, verwaltet wird. Mit dieser Regel werden Cluster identifiziert, in denen das Feld „autopilot.enabled“ auf „false“ gesetzt oder nicht definiert ist. Diese Richtlinie dient in erster Linie der Information und kennzeichnet Cluster, die NICHT im Autopilot-Modus ausgeführt werden.
Google Kubernetes Engine-Sicherung aktiviert

Schweregrad:
Medium

Tags: Reliability, Kubernetes, Backup, DisasterRecovery, BCDR

Asset: container.googleapis.com/Cluster

Details
Prüfen Sie, ob Sicherung für GKE im GKE-Cluster aktiviert ist, um die Sicherung und Notfallwiederherstellung von zustandsorientierten Anwendungen zu ermöglichen.
Google Kubernetes Engine-Cluster mit aktivierter einfacher Authentifizierung

Schweregrad:
Hoch

Tags: Google Kubernetes Engine, Kubernetes, Cluster, Authentifizierung, BasicAuth, ClientCertificate, Sicherheit, Konfiguration, CSPR

Asset: container.googleapis.com/Cluster

Details
Prüft, ob für einen Google Kubernetes Engine-Cluster sowohl die Basisauthentifizierung (Nutzername/Passwort) konfiguriert als auch die Ausstellung von Clientzertifikaten aktiviert ist. Wenn mehrere statische Anmeldedatenmethoden gleichzeitig aktiv sind, kann dies die Angriffsfläche und den Verwaltungsaufwand erhöhen. Im Allgemeinen wird empfohlen, sicherere und zentral verwaltete Authentifizierungsmethoden wie IAM oder OIDC zu verwenden. Mit dieser Regel werden Cluster gekennzeichnet, in denen „masterAuth.username“ nicht null/leer ist UND „masterAuth.clientCertificateConfig.issueClientCertificate“ auf „true“ gesetzt ist.
Binärautorisierung für Google Kubernetes Engine

Schweregrad:
Hoch

Tags: Google Kubernetes Engine, Sicherheit, CoNa, MVSP

Asset: container.googleapis.com/Cluster

Details
Achten Sie darauf, dass die Binärautorisierung für Google Kubernetes Engine-Cluster aktiviert ist.
Automatische Reparatur von Google Kubernetes Engine-Clustern aktiviert

Schweregrad:
Medium

Tags: Reliability, Google Kubernetes Engine, Governance, CSPR

Asset: container.googleapis.com/Cluster

Details
Verbessert die Clusterresilienz und reduziert den betrieblichen Aufwand, indem überprüft wird, ob die automatische Reparatur für Google Kubernetes Engine-Standardknotenpools aktiviert ist. So wird eine automatische Wiederherstellung nach Knotenausfällen sichergestellt, um die Anwendungsverfügbarkeit aufrechtzuerhalten.
Automatische Aktualisierung von Google Kubernetes Engine-Clustern aktiviert

Schweregrad:
Medium

Tags: Google Kubernetes Engine, Auto Upgrade, Security, Reliability, CSPR

Asset: container.googleapis.com/Cluster

Details
Erhöht die Clustersicherheit und reduziert den Wartungsaufwand, indem überprüft wird, ob für Google Kubernetes Engine-Standardknotenpools die automatische Aktualisierung aktiviert ist. So wird sichergestellt, dass sie rechtzeitig Sicherheitspatches und Stabilitätskorrekturen erhalten.
Google Kubernetes Engine-Cluster mit aktiviertem privater Google-Zugriff

Schweregrad:
Medium

Tags: Google Kubernetes Engine, privater Google-Zugriff, Subnetz, Sicherheit, CSPR

Asset: container_Cluster_RESOURCE_2

Details
Erhöht die Sicherheit, indem überprüft wird, ob der privater Google-Zugriff im Subnetzwerk des Clusters aktiviert ist. Dadurch können private Google Kubernetes Engine-Knoten Images abrufen und auf Google APIs zugreifen, ohne dass öffentliche IP-Adressen erforderlich sind.
Google Kubernetes Engine-Cluster mit Container-Optimized OS-Images

Schweregrad:
Medium

Tags: Google Kubernetes Engine, COS, Sicherheit, CSPR

Asset: container.googleapis.com/Cluster

Details
Erhöht die Sicherheit und Stabilität von Clustern, indem überprüft wird, ob in allen Google Kubernetes Engine-Knotenpools das Container-Optimized OS (COS) von Google verwendet wird, ein speziell entwickeltes, gehärtetes Betriebssystem.
Google Kubernetes Engine-Cluster (zonal)

Schweregrad:
Hoch

Tags: Google Kubernetes Engine, Cluster, Locations, Resiliency, Security, CSPR, CoNa

Asset: container.googleapis.com/Cluster

Details
Prüft, ob ein Google Kubernetes Engine-Cluster zonal ist. Google Kubernetes Engine-Cluster können in einer einzelnen Zone erstellt werden, in der eine einzelne Instanz der Steuerungsebene/des API-Servers bereitgestellt wird. Alternativ können Cluster in einer Google Cloud-Region erstellt werden, in der drei Instanzen der Steuerungsebene/des API-Servers gleichmäßig auf drei Zonen in dieser Region verteilt werden. Bei regionalen Clustern werden die Worker-Knoten gleichmäßig auf diese drei Zonen verteilt, um die Auswirkungen eines zonalen Ausfalls in Google Cloud zu verringern.
Google Kubernetes Engine-Cluster, die Cloud DNS nicht verwenden

Schweregrad:
Medium

Tags: Google Kubernetes Engine, Kubernetes, Cluster, DNS, CloudDNS, Networking, BestPractice, CSPR

Asset: container.googleapis.com/Cluster

Details
Prüft, ob ein Google Kubernetes Engine-Cluster für die Verwendung von Cloud DNS für die In-Cluster-DNS-Auflösung konfiguriert ist. Die Verwendung von Cloud DNS für Google Kubernetes Engine bietet einen verwalteten, leistungsstarken und skalierbaren DNS-Dienst und ist eine Best Practice für Google Kubernetes Engine. Diese Regel untersucht das Feld „dnsConfig.clusterDns“. Ein Verstoß wird generiert, wenn dieses Feld fehlt, null ist oder einen anderen Wert als CLOUD_DNS hat. Das bedeutet, dass der Cluster möglicherweise das alte kubedns-Add-on verwendet oder nicht für Cloud DNS konfiguriert ist.
Vertrauliche Knoten in Google Kubernetes Engine

Schweregrad:
Medium

Tags: Google Kubernetes Engine, Sicherheit, Compute, CSPR, CoNa

Asset: container.googleapis.com/Cluster

Details
Achten Sie darauf, dass der Google Kubernetes Engine-Cluster für die Verwendung vertraulicher Knoten konfiguriert ist.
Containernativer Load-Balancer für Google Kubernetes Engine deaktiviert

Schweregrad:
Medium

Tags: GKE, Kubernetes, Cluster, LoadBalancing, Networking, Performance, CSPR, CoNa, MVSP

Asset: container.googleapis.com/Cluster

Details
Prüft, ob das native Load-Balancing für Container in einem GKE-Cluster aktiviert ist. Containernatives Load-Balancing ermöglicht es Load-Balancern, Traffic direkt an Pods weiterzuleiten. Dadurch wird die Latenz reduziert und die Netzwerksichtbarkeit verbessert. Ein Verstoß tritt auf, wenn addonsConfig.httpLoadBalancing.disabled auf „true“ gesetzt ist. Dadurch werden der Ingress-Controller und die NEG-Unterstützung deaktiviert.
Google Kubernetes Engine-Dashboard aktiviert

Schweregrad:
Medium

Tags: Google Kubernetes Engine, Kubernetes, Cluster, Addon, KubernetesDashboard, Security, Legacy, CSPR

Asset: container.googleapis.com/Cluster

Details
Prüft, ob das Legacy-Kubernetes-Dashboard-Add-on für einen Google Kubernetes Engine-Cluster aktiviert ist. Das Kubernetes-Dashboard bietet eine webbasierte Benutzeroberfläche zum Verwalten von Clusterressourcen. Die Legacy-Version birgt jedoch potenzielle Sicherheitsrisiken und die Verwendung wird im Allgemeinen zugunsten von gcloud, der Google Cloud Console oder anderen sichereren Verwaltungstools abgeraten. Diese Regel untersucht das Feld „addonsConfig.kubernetesDashboard.disabled“. Eine Richtlinienverletzung wird generiert, wenn „kubernetesDashboard“ vorhanden ist und das Feld „disabled“ NICHT „true“ ist (d.h. es fehlt oder ist explizit „false“), was darauf hinweist, dass das alte Dashboard aktiviert ist.
Google Kubernetes Engine-Datenbankverschlüsselung mit kundenverwalteten Verschlüsselungsschlüsseln (CMEK)

Schweregrad:
Hoch

Tags: Google Kubernetes Engine, Sicherheit, Verschlüsselung, CSPR, CoNa

Asset: container.googleapis.com/Cluster

Details
Sorgen Sie dafür, dass Anwendungs-Secrets für Google Kubernetes Engine-Cluster mit CMEK verschlüsselt werden.
Google Kubernetes Engine-Datenebene V2 deaktiviert

Schweregrad:
Medium

Tags: GKE, Kubernetes, Cluster, Datenebene, Netzwerk, Sicherheit, Leistung, CSPR, CoNa, MVSP

Asset: container.googleapis.com/Cluster

Details
Prüft, ob Dataplane V2 in einem GKE-Cluster aktiviert ist. Dataplane V2 ist eine optimierte Datenebene für GKE, die eBPF für das Netzwerk verwendet und so für eine verbesserte Leistung, Sicherheit und Beobachtbarkeit sorgt. Ein Verstoß tritt auf, wenn „networkConfig.datapathProvider“ nicht auf „ADVANCED_DATAPATH“ festgelegt ist.
Google Kubernetes Engine-Standarddienstkonto-Administrator

Schweregrad:
Hoch

Tags: Google Kubernetes Engine, Standarddienstkonto, Administrator, Sicherheit, CSPR, CoNa, MVSP

Asset: container_Cluster_RESOURCE_IAM_POLICY_1

Details
Dieses Risiko wird dadurch gemindert, dass in Google Kubernetes Engine-Knotenpools nicht das Standarddienstkonto verwendet wird, wenn es Administratorberechtigungen auf Projektebene hat. So wird verhindert, dass ein manipulierter Pod die Kontrolle über alle Projektressourcen erlangt.
Google Kubernetes Engine-Standarddienstkonto-Editor

Schweregrad:
Hoch

Tags: Google Kubernetes Engine, Standarddienstkonto, Editor, Sicherheit, CSPR

Asset: container_Cluster_RESOURCE_IAM_POLICY_1

Details
Erzwingen Sie das Prinzip der geringsten Berechtigung für Google Kubernetes Engine-Knoten, indem Sie Standarddienstkonten mit Bearbeiterrollen nicht zulassen. Dadurch werden Sicherheitslücken kritisch reduziert, um Arbeitslasten zu schützen und die Clusterzuverlässigkeit zu verbessern.
Google Kubernetes Engine-Standarddienstkonto-Inhaber

Schweregrad:
Hoch

Tags: Google Kubernetes Engine, Standarddienstkonto, Inhaber, Sicherheit, CSPR, MVSP

Asset: container_Cluster_RESOURCE_IAM_POLICY_1

Details
Dadurch wird sichergestellt, dass Google Kubernetes Engine-Knoten nicht das Compute Engine-Standarddienstkonto mit der Rolle „Inhaber“ mit hohen Berechtigungen verwenden. So wird das Prinzip der geringsten Berechtigung durchgesetzt, um Sicherheitsrisiken und die potenziellen Auswirkungen eines Knotenkompromisses erheblich zu reduzieren.
Google Kubernetes Engine-Standarddienstkonto mit Berechtigungen

Schweregrad:
Hoch

Tags: Google Kubernetes Engine, Sicherheit, geringste Berechtigung, IAM

Asset: container_Cluster_RESOURCE_IAM_POLICY_1

Details
Achten Sie darauf, dass Google Kubernetes Engine-Knoten-Dienstkonten keine einfachen Rollen mit hohen Berechtigungen haben.
Google Kubernetes Engine-Standardschreibberechtigter für Dienstkonten

Schweregrad:
Hoch

Tags: Google Kubernetes Engine, Standarddienstkonto, Writer, Sicherheit, CSPR

Asset: container_Cluster_RESOURCE_IAM_POLICY_1

Details
Erhöhen Sie die Sicherheit von Google Kubernetes Engine, indem Sie dafür sorgen, dass Standardservicekonten keine umfassenden Schreibberechtigungen haben. So wird das Risiko unbefugter Clusteränderungen erheblich verringert und das Prinzip der geringsten Berechtigung eingehalten.
Google Kubernetes Engine-Standarddienstkonto

Schweregrad:
Hoch

Tags: Google Kubernetes Engine, Standarddienstkonto, Sicherheit, CSPR

Asset: container_Cluster_RESOURCE_IAM_POLICY_1

Details
Prüfen Sie, ob Google Kubernetes Engine-Knotenpools dedizierte Dienstkonten mit minimalen Berechtigungen anstelle des Compute Engine-Standarddienstkontos verwenden, um die Clustersicherheit zu verbessern, indem das Prinzip der geringsten Berechtigung strikt eingehalten wird.
Google Kubernetes Engine-Zugriff auf Google-Gruppen

Schweregrad:
Medium

Tags: Google Kubernetes Engine, Sicherheit, IAM, CSPR, CoNa, MVSP

Asset: container.googleapis.com/Cluster

Details
Achten Sie darauf, dass der RBAC-/Clusterzugriff von Google Kubernetes Engine über Google Groups verwaltet wird.
Google Kubernetes Engine-Infranodevisibility aktiviert

Schweregrad:
Niedrig

Tags: Google Kubernetes Engine, Kubernetes, Cluster, Networking, Observability, IntraNodeVisibility, CSPR

Asset: container.googleapis.com/Cluster

Details
Prüft, ob die knoteninterne Sichtbarkeit für einen Google Kubernetes Engine-Cluster aktiviert ist. Die knoteninterne Sichtbarkeit ermöglicht die Netzwerkbeobachtung des Traffics zwischen Pods auf demselben Knoten. Dies kann bei der Fehlerbehebung und Sicherheitsüberwachung in einem Knoten nützlich sein. Mit dieser Regel wird das Feld „networkConfig.enableIntraNodeVisibility“ untersucht. Ein Verstoß wird generiert, wenn dieses Feld fehlt oder auf „false“ gesetzt ist.
Google Kubernetes Engine-IP-Aliase deaktiviert

Schweregrad:
Medium

Tags: Google Kubernetes Engine, Kubernetes, Cluster, Networking, IPAliases, VPCNative, PodNetworking

Asset: container.googleapis.com/Cluster

Details
Prüft, ob IP-Aliasse (sekundäre IP-Bereiche für Pods) für einen Google Kubernetes Engine-Cluster deaktiviert sind. Mit IP-Aliasen können Pods eigene routingfähige IP-Adressen im VPC-Netzwerk haben. Dies ermöglicht eine bessere Netzwerkintegration und vermeidet NAT für die Pod-zu-Pod-Kommunikation über Knoten hinweg. Die Verwendung von IP-Aliasen ist zwar nicht immer zwingend erforderlich, aber für die meisten Netzwerkszenarien in Google Kubernetes Engine eine Best Practice. Diese Regel untersucht das Feld „ipAllocationPolicy.useIpAliases“. Ein Verstoß wird generiert, wenn dieses Feld fehlt oder auf „false“ gesetzt ist.
Google Kubernetes Engine-Problem: Clientzertifikat aktiviert

Schweregrad:
Niedrig

Tags: Google Kubernetes Engine, Kubernetes, Cluster, Authentifizierung, ClientCertificate, X509, Sicherheit, CSPR

Asset: container.googleapis.com/Cluster

Details
Prüft, ob die Clientzertifikatauthentifizierung für den Master eines Google Kubernetes Engine-Clusters aktiviert ist. Wenn diese Option aktiviert ist, indem masterAuth.clientCertificateConfig.issueClientCertificate auf „true“ gesetzt wird, kann der Cluster Clientzertifikate für die Authentifizierung ausstellen. X.509-Clientzertifikate sind zwar eine gültige Authentifizierungsmethode, die Verwaltung ihres Lebenszyklus (Ausstellung, Sperrung) kann jedoch komplex sein. Organisationen ziehen es möglicherweise vor, sich für eine zentralere Steuerung ausschließlich auf IAM oder OIDC zu verlassen. Diese Regel kennzeichnet Cluster, in denen die Ausstellung von Clientzertifikaten aktiviert ist.
Google Kubernetes Engine-Logging aktiviert

Schweregrad:
Medium

Tags: Google Kubernetes Engine, Kubernetes, Cluster, Logging, Observability, Operations, CSPR, CoNa, MVSP

Asset: container.googleapis.com/Cluster

Details
Prüft, ob Cloud Logging (loggingService) für einen Google Kubernetes Engine-Cluster aktiviert ist. Diese Dienste sind für die Observability unerlässlich. Mit dieser Regel wird ein Cluster gekennzeichnet, wenn „loggingService“ fehlt, leer ist oder auf „none“ (oder andere deaktivierte Status) festgelegt ist. Dies weist darauf hin, dass der Dienst nicht aktiv ist.
Google Kubernetes Engine-Monitoring aktiviert

Schweregrad:
Medium

Tags: Google Kubernetes Engine, Kubernetes, Cluster, Monitoring, Observability, Operations, CSPR

Asset: container.googleapis.com/Cluster

Details
Prüft, ob Cloud Monitoring (monitoringService) für einen Google Kubernetes Engine-Cluster aktiviert ist. Diese Dienste sind für die Observability unerlässlich. Mit dieser Regel wird ein Cluster gekennzeichnet, wenn „monitoringService“ fehlt, leer ist oder auf „none“ (oder andere deaktivierte Status) festgelegt ist. Das bedeutet, dass der Dienst nicht aktiv ist.
Google Kubernetes Engine-Netzwerkrichtlinie aktiviert

Schweregrad:
Hoch

Tags: Google Kubernetes Engine, Kubernetes, Cluster, NetworkPolicy, Security, Microsegmentation, Addon, CSPR, CoNa

Asset: container.googleapis.com/Cluster

Details
Prüft, ob die Erzwingung von Netzwerkrichtlinien für einen Google Kubernetes Engine-Cluster aktiviert ist. Netzwerkrichtlinien bieten eine Mikrosegmentierung für Pods und steuern den Trafficfluss zwischen ihnen basierend auf Labels und Ports. Das Aktivieren von Netzwerkrichtlinien ist eine wichtige Best Practice zur Sicherheit, um Arbeitslasten zu isolieren und die Angriffsfläche in einem Cluster zu verringern. Mit dieser Regel werden die Felder „networkPolicy.provider“ und „addonsConfig.networkPolicyConfig.disabled“ untersucht. Ein Verstoß wird generiert, wenn die Netzwerkrichtlinie nicht konfiguriert ist (Anbieter ist PROVIDER_UNSPECIFIED oder fehlt) ODER wenn das Add-on „networkPolicyConfig“ explizit deaktiviert ist.
Google Kubernetes Engine – keine Wartungsrichtlinie

Schweregrad:
Hoch

Tags: Container, Google Kubernetes Engine, Zuverlässigkeit, Betriebsstabilität, CSPR

Asset: container.googleapis.com/Cluster

Details
Google Kubernetes Engine-Cluster (GKE-Cluster) müssen eine definierte Wartungsrichtlinie haben, damit automatische Clusterupgrades in vorhersehbaren, nicht störenden Zeiträumen erfolgen. Eine definierte Richtlinie mit Wartungsfenstern und -ausschlüssen verhindert unerwartete Unterbrechungen kritischer Arbeitslasten.
Automatische Knotenbereitstellung für Google Kubernetes Engine-Knoten aktiviert

Schweregrad:
Niedrig

Tags: Google Kubernetes Engine, Kubernetes, Cluster, NodeAutoprovisioning, Autoscaling, Management

Asset: container.googleapis.com/Cluster

Details
Prüft, ob die automatische Knotenbereitstellung (Node AutoProvisioning, NAP) für einen Google Kubernetes Engine-Cluster aktiviert ist. NAP verwaltet Knotenpools automatisch basierend auf den Arbeitslastanforderungen. Dazu werden Knotenpools je nach Bedarf erstellt und gelöscht. Das kann die Clusterverwaltung vereinfachen und die Ressourcennutzung optimieren. Diese Regel untersucht das Feld „autoscaling.enableNodeAutoprovisioning“ in der Clusterkonfiguration. Ein Verstoß wird generiert, wenn dieses Feld fehlt oder auf „false“ gesetzt ist. Das bedeutet, dass NAP nicht aktiv ist.
Ausgewogene Richtlinie für den Standort von Google Kubernetes Engine-Knotenpools

Schweregrad:
Hoch

Tags: Zuverlässigkeit, Hochverfügbarkeit, Google Kubernetes Engine

Asset: container.googleapis.com/NodePool

Details
Prüft, ob in Google Kubernetes Engine-Knotenpools die BALANCED-Standortrichtlinie verwendet wird. Dadurch wird eine gleichmäßige Verteilung der Knoten auf die verfügbaren Zonen gewährleistet, um Hochverfügbarkeit und Ausfallsicherheit bei Zonenausfällen zu maximieren.
Google Kubernetes Engine-Knotenlokaler DNS-Cache deaktiviert

Schweregrad:
Medium

Tags: GKE, Kubernetes, Cluster, DNS, Networking, Performance, Scalability, CSPR, CoNa, MVSP

Asset: container.googleapis.com/Cluster

Details
Prüft, ob NodeLocal DNSCache in einem GKE-Cluster aktiviert ist. NodeLocal DNSCache verbessert die Leistung des Cluster-DNS durch Ausführen eines DNS-Caching-Agents als DaemonSet auf Clusterknoten. Dies ist eine grundlegende Best Practice für GKE-Netzwerke in Bezug auf Skalierbarkeit und Zuverlässigkeit. Ein Verstoß tritt auf, wenn addonsConfig.dnsCacheConfig.enabled „false“ ist oder fehlt.
Autoscaling von Google Kubernetes Engine-Knotenpools aktiviert

Schweregrad:
Niedrig

Tags: Google Kubernetes Engine, Kubernetes, Cluster, NodePool, Autoscaling, Performance, CostOptimization

Asset: container.googleapis.com/NodePool

Details
Prüft, ob für einen Knotenpool in einem Google Kubernetes Engine-Cluster das Autoscaling deaktiviert ist. Beim Knotenpool-Autoscaling wird die Anzahl der Knoten automatisch an den Bedarf angepasst. Diese Regel durchläuft das Array „nodePools“ in der Clusterkonfiguration. Ein Verstoß wird generiert, wenn der Cluster mindestens einen Knotenpool enthält, in dem das Feld „autoscaling.enabled“ fehlt oder auf „false“ gesetzt ist.
Google Kubernetes Engine-Knotenpool mit CMEK-Verschlüsselung aktiviert

Schweregrad:
Medium

Tags: Google Kubernetes Engine, Kubernetes, Cluster, NodePool, CMEK, KMS, Encryption, Security, BootDisk

Asset: container.googleapis.com/NodePool

Details
Prüft, ob Knotenpools von Google Kubernetes Engine-Clustern so konfiguriert sind, dass sie kundenverwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEK) für ihre Bootlaufwerke verwenden. Die Verwendung von CMEK ermöglicht eine bessere Kontrolle über die Verschlüsselungsschlüssel, die Knoten-Bootlaufwerke schützen, was die Sicherheit und Compliance verbessert. Diese Regel durchläuft alle nodePools in einem Cluster. Für jeden Knotenpool wird das Feld „config.bootDiskKmsKey“ untersucht. Für den Cluster wird ein Verstoß generiert, wenn ein Knotenpool gefunden wird, in dem „bootDiskKmsKey“ fehlt oder leer ist. Das bedeutet, dass die Bootlaufwerke des Knotenpools nicht mit CMEK verschlüsselt sind.
Google Kubernetes Engine-Kubelet-Port für Nur-Lesezugriff für Knotenpool deaktiviert

Schweregrad:
Medium

Tags: GKE, NodePool, Kubelet, Security, CSPR, CoNa

Asset: container.googleapis.com/NodePool

Details
Prüft, ob der unsichere schreibgeschützte Kubelet-Port für den GKE-Knotenpool aktiviert ist. Wenn Sie diesen Port aktivieren, ist ein nicht authentifizierter Zugriff auf die Kubelet API möglich, was ein Sicherheitsrisiko darstellt. Der Port sollte deaktiviert sein (insecureKubeletReadonlyPortEnabled sollte auf „false“ gesetzt sein).
Google Kubernetes Engine-Knotenpool mit mehreren Zonen

Schweregrad:
Hoch

Tags: Reliability, Kubernetes, HighAvailability, Resiliency

Asset: container.googleapis.com/NodePool

Details
GKE-Knotenpools müssen mehrere Zonen umfassen (mindestens 3 für regionale Cluster empfohlen), um Kapazitätsverluste bei zonalen Ausfällen zu vermeiden.
Google Kubernetes Engine-Knotenpool (eine Zone)

Schweregrad:
Hoch

Tags: Google Kubernetes Engine, Knotenpool, Standorte, Resilienz, Sicherheit, CSPR

Asset: container.googleapis.com/NodePool

Details
Prüft, ob ein Google Kubernetes Engine-Knotenpool nur eine Zone hat. Google Kubernetes Engine-Cluster können in einer einzelnen Zone erstellt werden, in der eine einzelne Instanz der Steuerungsebene/des API-Servers bereitgestellt wird. Alternativ können Cluster in einer Google Cloud-Region erstellt werden, in der drei Instanzen der Steuerungsebene/des API-Servers gleichmäßig auf drei Zonen in dieser Region verteilt werden. Bei regionalen Clustern werden die Worker-Knoten gleichmäßig auf diese drei Zonen verteilt, um die Auswirkungen eines zonalen Ausfalls in Google Cloud zu verringern.
Google Kubernetes Engine-Knotenpool (eine Zone)

Schweregrad:
Medium

Tags: Reliability, GKE, Kubernetes, CoNa

Asset: container.googleapis.com/Cluster

Details
Erkennt GKE-Knotenpools, die in einem regionalen Cluster in einer einzelnen Zone konfiguriert sind. Knotenpools über mehrere Zonen hinweg zu verteilen ist wichtig, um die Hochverfügbarkeit von Arbeitslasten zu gewährleisten und Ausfälle bei einem einzelnen Zonenausfall zu verhindern.
Google Kubernetes Engine-Knotenpool mit zwei Zonen

Schweregrad:
Hoch

Tags: Google Kubernetes Engine, Knotenpool, Standorte, Resilienz, Sicherheit, CSPR

Asset: container.googleapis.com/NodePool

Details
Prüft, ob ein Google Kubernetes Engine-Knotenpool nur zwei Zonen hat. Google Kubernetes Engine-Cluster können in einer einzelnen Zone erstellt werden, in der eine einzelne Instanz der Steuerungsebene/des API-Servers bereitgestellt wird. Alternativ können Cluster in einer Google Cloud-Region erstellt werden, in der drei Instanzen der Steuerungsebene/des API-Servers gleichmäßig auf drei Zonen in dieser Region verteilt werden. Bei regionalen Clustern werden die Worker-Knoten gleichmäßig auf diese drei Zonen verteilt, um die Auswirkungen eines zonalen Ausfalls in Google Cloud zu verringern.
Google Kubernetes Engine: Nur ein Cluster pro Projekt

Schweregrad:
Medium

Tags: Google Kubernetes Engine, Project, Security, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_1

Details
Mit dieser Regel werden Projekte mit mehreren Google Kubernetes Engine-Clustern identifiziert, sodass proaktive Maßnahmen ergriffen werden können, um die Verwaltung zu vereinfachen, die Ressourcennutzung zu optimieren und die Kosten zu senken, die mit unnötiger Clusterkomplexität verbunden sind.
Google Kubernetes Engine-Pod-Benachrichtigungen aktiviert

Schweregrad:
Niedrig

Tags: Google Kubernetes Engine, Kubernetes, Cluster, Benachrichtigungen, Pub/Sub, Monitoring, Operations, CSPR

Asset: container.googleapis.com/Cluster

Details
Prüft, ob Pub/Sub-Benachrichtigungen für Google Kubernetes Engine-Clusterereignisse aktiviert sind. Mit dieser Funktion können Sie Benachrichtigungen zu wichtigen Cluster-Lebenszyklusereignissen (z. B. Upgrades, Änderungen am Knotenpool) über ein Pub/Sub-Thema erhalten, was proaktives Monitoring und Automatisierung ermöglicht. Bei dieser Regel wird das Feld „notificationConfig.pubsub.enabled“ geprüft. Ein Verstoß wird generiert, wenn dieses Feld fehlt oder auf „false“ gesetzt ist.
Google Kubernetes Engine-Pod-PID-Limits

Schweregrad:
Medium

Tags: Google Kubernetes Engine, Kubernetes, NodePool, PodPidsLimit, Security, ResourceManagement, Kubelet, CSPR

Asset: container.googleapis.com/NodePool

Details
Prüft, ob für einen Knotenpool eines Google Kubernetes Engine-Clusters ein Pod-PID-Limit konfiguriert ist. Wenn Sie ein PID-Limit für Pods festlegen, können Sie verhindern, dass Ressourcen erschöpft werden, wenn ein einzelner Pod alle verfügbaren Prozess-IDs auf einem Knoten verbraucht. Mit dieser Regel wird das Feld „config.kubeletConfig.podPidsLimit“ direkt in der NodePool-Ressource untersucht. Ein Verstoß wird generiert, wenn „podPidsLimit“ fehlt, null ist oder keine positive Zahl ist.
Private Steuerungsebene von Google Kubernetes Engine

Schweregrad:
Hoch

Tags: Google Kubernetes Engine, Sicherheit, Netzwerk, DNS-Endpunkt, CSPR, CoNa, MVSP

Asset: container.googleapis.com/Cluster

Details
Achten Sie darauf, dass Google Kubernetes Engine-Cluster externen Traffic zu ihren DNS-Steuerungsebenen-Endpunkten zulassen.
Private Knoten in Google Kubernetes Engine aktiviert

Schweregrad:
Hoch

Tags: Google Kubernetes Engine, Kubernetes, Cluster, PrivateNodes, Security, Networking, VPC, CSPR, CoNa

Asset: container.googleapis.com/Cluster

Details
Prüft, ob private Knoten für einen Google Kubernetes Engine-Cluster aktiviert sind. Wenn Sie private Knoten aktivieren, haben die Knoten im Cluster keine externen IP-Adressen. Dadurch wird die Sicherheit erhöht, da die Knoten nicht direkt mit dem Internet verbunden sind. Die Kommunikation mit der Steuerungsebene und anderen Google-Diensten erfolgt in der Regel über private Verbindungen (z.B. privater Google-Zugriff oder VPC Service Controls). Diese Regel untersucht das Feld „privateClusterConfig.enablePrivateNodes“. Ein Verstoß wird generiert, wenn dieses Feld fehlt oder auf „false“ gesetzt ist.
Öffentlicher Endpunkt von Google Kubernetes Engine

Schweregrad:
Hoch

Tags: Google Kubernetes Engine, Kubernetes, Cluster, Autopilot, Managed, Configuration, CSPR

Asset: container.googleapis.com/Cluster

Details
Prüft, ob ein Google Kubernetes Engine-Cluster öffentlich ist. Achten Sie darauf, dass alle Google Kubernetes Engine-Cluster private Cluster mit dem Flag „enableprivateendpoint“ sind. Dies ist die höchste Stufe des eingeschränkten Zugriffs, bei der der Knoten der Steuerungsebene des Clusters über das öffentliche Internet nicht zugänglich ist.
Regionaler Google Kubernetes Engine-Cluster

Schweregrad:
Hoch

Tags: Google Kubernetes Engine, Zuverlässigkeit, Hochverfügbarkeit, BCDR, CSPR

Asset: container.googleapis.com/Cluster

Details
Konfigurieren Sie Google Kubernetes Engine-Cluster als regionale Cluster, um eine Hochverfügbarkeit zu gewährleisten. Dazu werden die Steuerungsebene und die Knoten über mehrere Zonen hinweg repliziert. Zonale Cluster sind anfällig für Ausfälle in einzelnen Zonen, die sich schwerwiegend auf die Anwendungsverfügbarkeit und Geschäftskontinuität auswirken können.
Google Kubernetes Engine-Release-Version nicht angegeben

Schweregrad:
Hoch

Tags: Google Kubernetes Engine, Cluster, Upgrade, Security, CSPR

Asset: container.googleapis.com/Cluster

Details
Prüft, ob für Google Kubernetes Engine-Cluster eine Release-Version festgelegt ist. Abonnieren Sie eine Release-Version, um Versions-Upgrades für den Google Kubernetes Engine-Cluster zu automatisieren. Release-Versionen reduzieren auch die Komplexität der Versionsverwaltung, je nachdem, wie viele Funktionen und welche Stabilität erforderlich sind.
Google Kubernetes Engine-Sandbox gvisor

Schweregrad:
Medium

Tags: Google Kubernetes Engine, Security, Compute, CoNa, MVSP

Asset: container.googleapis.com/Cluster

Details
Achten Sie darauf, dass Google Kubernetes Engine-Cluster mindestens einen GVISOR-fähigen Knotenpool enthalten.
Google Kubernetes Engine-Knoten mit Shielded Nodes deaktiviert

Schweregrad:
Hoch

Tags: GKE, Sicherheit, CSPR, MVSP

Asset: container.googleapis.com/Cluster

Details
Prüft, ob für GKE-Knotenpools die Konfiguration für Shielded Instances (Secure Boot und Integritätsmonitoring) aktiviert ist.
Vertikale Skalierung in Google Kubernetes Engine aktiviert

Schweregrad:
Niedrig

Tags: Google Kubernetes Engine, Kubernetes, Cluster, VPA, VerticalPodAutoscaling, Autoscaling, Optimization, CSPR

Asset: container.googleapis.com/Cluster

Details
Prüft, ob das Vertikales Pod-Autoscaling (VPA) für einen Google Kubernetes Engine-Cluster aktiviert ist. VPA passt die CPU- und Arbeitsspeicheranfragen für Pods automatisch an, optimiert die Ressourcenzuweisung und kann die Leistung und Kosteneffizienz verbessern. Diese Regel untersucht das Feld „verticalPodAutoscaling.enabled“ in der Clusterkonfiguration. Ein Verstoß wird generiert, wenn dieses Feld fehlt oder auf „false“ gesetzt ist. Das bedeutet, dass VPA nicht aktiv ist.
Workload Identity für Google Kubernetes Engine

Schweregrad:
Hoch

Tags: Google Kubernetes Engine, Sicherheit, IAM, CSPR, CoNa, MVSP

Asset: container.googleapis.com/Cluster

Details
Achten Sie darauf, dass Workload Identity in Google Kubernetes Engine-Clustern aktiviert ist.
Automatisches Scannen von K8s-Containern aktiviert

Schweregrad:
Hoch

Tags: Project, Container, Auto Scanning, Security, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_2

Details
Aktivieren Sie das automatisierte Container-Scanning, um Sicherheitslücken proaktiv zu erkennen. So können Sie die Anwendungssicherheit erhöhen, die betriebliche Zuverlässigkeit verbessern, die Leistungsfähigkeit aufrechterhalten und kostspielige Risiken durch Sicherheitsverletzungen minimieren.
K8s-Container-Sicherheit aktiviert

Schweregrad:
Hoch

Tags: Google Kubernetes Engine, Kubernetes, Cluster, Security, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_2

Details
Prüft, ob Sie das Google Kubernetes Engine Security Posture-Dashboard verwenden.
K8s-On-Demand-Container-Scanning aktiviert

Schweregrad:
Hoch

Tags: Project, Container, On Demand Scanning, Security, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_2

Details
Aktivieren Sie das On-Demand-Scannen von Containern, um Sicherheitslücken in Ihren Container-Images proaktiv zu erkennen. So können Sie Ihre Anwendungen schützen, die Betriebssicherheit gewährleisten und kostspielige Sicherheitsvorfälle verhindern.

Google Cloud Best Practices – IAM (75 Ergebnisse)

Für API-Schlüssel fehlen Einschränkungen

Schweregrad:
Hoch

Tags: IAM, Security, APIKey, CSPR, MVSP

Asset: apikeys.googleapis.com/Key

Details
Prüft, ob für API-Schlüssel Anwendungs- oder IP-Einschränkungen konfiguriert sind, um eine nicht autorisierte Nutzung zu verhindern.
Einfache IAM-Gruppe für Ordner

Schweregrad:
Hoch

Tags: IAM, owner, organization, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Folder

Details
Mit dieser Regel werden Gruppen identifiziert, denen auf Ordnerebene zu umfassende grundlegende Rollen (z. B. „Inhaber“, „Bearbeiter“) zugewiesen sind. So können Kunden das Prinzip der geringsten Berechtigung durchsetzen, wodurch Sicherheitsrisiken durch übermäßige Berechtigungen erheblich reduziert und die Zugriffsverwaltung vereinfacht wird.
IAM-Grundgruppe in Organisation

Schweregrad:
Hoch

Tags: IAM, owner, organization, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Mit dieser Regel werden Gruppen identifiziert, denen auf Organisationsebene die grundlegenden Rollen mit hohen Berechtigungen (z. B. „Inhaber“ oder „Bearbeiter“) zugewiesen sind. Dies ist ein wichtiger Check, um weitverbreitete Sicherheitslücken zu vermeiden und das Prinzip der geringsten Berechtigung für alle Ihre Cloud-Ressourcen einzuhalten.
IAM-Basisgruppe für Projekt

Schweregrad:
Hoch

Tags: IAM, owner, organization, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Details
Sicherheitsrisiken verringern und unbeabsichtigte Projektänderungen verhindern, indem Sie Gruppen mit zu umfassenden einfachen Rollen (z. B. „Owner“ oder „Editor“) identifizieren und so das Prinzip der geringsten Berechtigung für eine verbesserte Betriebsstabilität erzwingen.
Einfaches IAM-Dienstkonto im Ordner

Schweregrad:
Hoch

Tags: IAM, owner, organization, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Folder

Details
Identifiziert Dienstkonten, denen auf Ordnerebene zu permissive einfache Rollen (z. B. „Owner“ oder „Editor“) zugewiesen wurden. Dies ist wichtig, um das Prinzip der geringsten Berechtigung durchzusetzen, die Sicherheit zu erhöhen, die betriebliche Zuverlässigkeit aufrechtzuerhalten und die Kosten zu kontrollieren.
Einfaches IAM-Dienstkonto in der Organisation

Schweregrad:
Hoch

Tags: IAM, owner, organization, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Achten Sie darauf, dass Dienstkonten auf Organisationsebene keine umfassenden einfachen Rollen haben. Dies ist ein wichtiger Schritt, um das Prinzip der geringsten Berechtigung einzuhalten, weitverbreitete Sicherheitslücken zu vermeiden und die betriebliche Zuverlässigkeit aufrechtzuerhalten.
IAM-Standarddienstkonto für Projekt

Schweregrad:
Hoch

Tags: IAM, owner, organization, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Details
Mit dieser Regel werden Dienstkonten identifiziert, denen auf Projektebene zu permissive einfache Rollen (z. B. „Inhaber“ oder „Bearbeiter“) zugewiesen sind. Diese Regel ermöglicht die proaktive Durchsetzung des Prinzips der geringsten Berechtigung, um Sicherheitsrisiken erheblich zu reduzieren und die potenziellen Auswirkungen kompromittierter Anmeldedaten zu begrenzen.
IAM-Basisnutzer für Ordner

Schweregrad:
Hoch

Tags: IAM, owner, organization, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Folder

Details
Es ist wichtig, Nutzer mit zu permissiven grundlegenden Rollen (z. B. „Inhaber“, „Bearbeiter“) auf Ordnerebene zu identifizieren, um das Prinzip der geringsten Berechtigung durchzusetzen. Dies verbessert direkt Ihren Sicherheitsstatus und erhöht die Betriebsstabilität, da unbeabsichtigte Änderungen verhindert werden.
IAM-Basisnutzer in der Organisation

Schweregrad:
Hoch

Tags: IAM, owner, organization, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Es ist wichtig, einzelne Nutzer mit umfassenden grundlegenden Rollen auf Organisationsebene zu identifizieren, um das Risiko eines weitverbreiteten unbefugten Zugriffs oder versehentlicher Änderungen zu minimieren und die Sicherheit, Zuverlässigkeit und Kosteneffizienz Ihrer Cloud-Umgebungen zu gewährleisten.
IAM-Basisnutzer für Projekt

Schweregrad:
Hoch

Tags: IAM, owner, organization, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Details
Wenn Sie das direkte Zuweisen umfassender einfacher Rollen an einzelne Nutzer auf Projektebene kennzeichnen, wird die Sicherheit erhöht und die Zugriffsverwaltung vereinfacht. So wird die Einhaltung des Prinzips der geringsten Berechtigung durch gruppenbasierte Berechtigungen gefördert.
IAM-Hauptkonten für Abrechnungsadministratoren für die Abrechnung

Schweregrad:
Hoch

Tags: IAM, billing account, admin, Security, CSPR, CoNa, MVSP

Asset: cloudbilling.googleapis.com/BillingAccount

Details
Diese Regel erhöht die finanzielle Sicherheit, indem sie Hauptkonten mit umfassenden Abrechnungsadministratorberechtigungen auf Rechnungskontoebene identifiziert. So können Sie unbefugte Ausgaben verhindern und eine solide Kostengovernance sicherstellen.
IAM-Abrechnungsadministratoren in der Organisation

Schweregrad:
Hoch

Tags: IAM, billing account, admin, Security, CSPR, CoNa, MVSP

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Stärken Sie die finanzielle Governance und Sicherheit, indem Sie Hauptnutzer mit direkten Rechnungsadministratorberechtigungen auf Organisationsebene identifizieren. Dies ist entscheidend, um unbefugte, weitverbreitete Rechnungsänderungen zu verhindern und das Prinzip der geringsten Berechtigung durchzusetzen.
IAM-Abrechnungsadministratornutzer für die Abrechnung

Schweregrad:
Hoch

Tags: IAM, billing account, admin, Security, CSPR, CoNa, MVSP

Asset: cloudbilling.googleapis.com/BillingAccount

Details
Es ist wichtig, einzelne Nutzer mit direkten Berechtigungen als Rechnungskontoadministrator zu erkennen, um finanzielle Risiken zu minimieren und Dienstunterbrechungen zu verhindern, indem das Prinzip der geringsten Berechtigung durchgesetzt wird.
IAM-Abrechnungsadministratornutzer in der Organisation

Schweregrad:
Hoch

Tags: IAM, billing account, admin, Security, CSPR, CoNa, MVSP

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Sie können die Sicherheit, Zuverlässigkeit und Kostenkontrolle verbessern, indem Sie umfassende Abrechnungsadministratorberechtigungen für einzelne Nutzerkonten auf Organisationsebene einschränken. So minimieren Sie das Risiko unbefugter Änderungen, Dienstunterbrechungen und finanzieller Auswirkungen.
IAM-Hauptkonten für Kostenverwalter für Abrechnung auf Abrechnungskonto

Schweregrad:
Hoch

Tags: IAM, billing account, owner, organization, Security, CSPR, CoNa

Asset: cloudbilling.googleapis.com/BillingAccount

Details
So wird sichergestellt, dass nur autorisierte Personen Kostendaten von Rechnungskonten aufrufen und exportieren können. Das schützt sensible Finanzinformationen und unterstützt eine strenge Kostengovernance.
IAM-Hauptkonten für Kostenverwalter für die Abrechnung auf Organisationsebene

Schweregrad:
Hoch

Tags: IAM, billing account, owner, organization, Security, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Identifiziert Hauptkonten mit Rollen auf Organisationsebene für die Kostenverwaltung, damit Sie das Prinzip der geringsten Berechtigung erzwingen können, um sensible, umfassende Abrechnungsdaten zu schützen und angemessene Kontrollen für die Kostentransparenz zu gewährleisten.
IAM-Nutzer mit der Rolle „Kostenverwalter für Abrechnung“ für die Abrechnung

Schweregrad:
Hoch

Tags: IAM, billing account, owner, organization, Security, CSPR, CoNa

Asset: cloudbilling.googleapis.com/BillingAccount

Details
Sorgen Sie für eine solide Kostenverwaltung, indem Sie die Rolle „Billing Costs Manager“ für einzelne Nutzer auf Ebene des Abrechnungskontos einschränken. So lassen sich potenzielle Budgetfehlkonfigurationen vermeiden und die Verantwortlichkeit für Finanzvorgänge bleibt klar.
IAM-Nutzer mit der Rolle „Billing Costs Manager“ in der Organisation

Schweregrad:
Hoch

Tags: IAM, billing account, owner, organization, Security, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Erhöht die finanzielle Sicherheit und Kostenkontrolle, indem einzelne Nutzerkonten mit organisationsweiten Berechtigungen für die Verwaltung von Abrechnungskosten identifiziert werden. Dadurch wird das Prinzip der geringsten Berechtigung gefördert und das Risiko verringert.
IAM-Domains für Rechnungskontoersteller in der Organisation

Schweregrad:
Hoch

Tags: IAM, billing account, owner, organization, Security, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Erkennt Domains, denen die Rolle „Rechnungskonto-Ersteller“ auf Organisationsebene zugewiesen ist. Dies ist eine wichtige Prüfung, um die unbefugte Erstellung von Rechnungskonten zu verhindern und eine solide Finanzkontrolle aufrechtzuerhalten.
IAM-Hauptkonten für die Abrechnungserstellung in der Organisation

Schweregrad:
Hoch

Tags: IAM, billing account, owner, organization, Security, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Mit dieser Regel werden Hauptkonten mit Berechtigungen zum Erstellen von Abrechnungskonten auf Organisationsebene identifiziert. Das ist wichtig, um unkontrollierte Cloud-Ausgaben zu verhindern und eine strenge finanzielle Governance bei der Erstellung neuer Abrechnungskonten zu gewährleisten.
IAM-Nutzer mit der Rolle „Rechnungskontoersteller“ in der Organisation

Schweregrad:
Hoch

Tags: IAM, billing account, owner, organization, Security, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Mit dieser Regel werden Nutzer mit Berechtigungen zum Erstellen von Abrechnungen auf Organisationsebene identifiziert, um unkontrollierte Cloud-Ausgaben zu verhindern und eine kritische finanzielle Governance zu erzwingen.
IAM-Hauptkonten für Nutzer mit Abrechnungszugriff für die Abrechnung

Schweregrad:
Hoch

Tags: IAM, billing account, owner, organization, Security, CSPR, CoNa

Asset: cloudbilling.googleapis.com/BillingAccount

Details
Es ist wichtig, die Zuweisung der Rolle „Rechnungskontonutzer“ an die zu weit gefasste Prinzipal-ID auf Rechnungskontoebene zu verhindern, um sensible Finanzdaten zu schützen und Ausgaben zu kontrollieren. So wird sichergestellt, dass nur bestimmte, vorgesehene Nutzer oder Gruppen die Abrechnung verwalten können.
IAM-Prinzipale für Nutzer mit Abrechnungszugriff in der Organisation

Schweregrad:
Hoch

Tags: IAM, billing account, owner, organization, Security, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Sorgt für das Prinzip der geringsten Berechtigung, indem Prinzipale mit der Rolle „Rechnungskontonutzer“ auf Organisationsebene identifiziert werden. Dies ist entscheidend für den Schutz sensibler Finanzdaten und die Stärkung der Kostengovernance.
IAM-Nutzer mit Abrechnungszugriff für die Abrechnung

Schweregrad:
Hoch

Tags: IAM, billing account, owner, organization, Security, CSPR, CoNa

Asset: cloudbilling.googleapis.com/BillingAccount

Details
Identifiziert einzelne Nutzerkonten, denen direkt Nutzer mit Abrechnungszugriff-Nutzerrollen zugewiesen sind, und fördert gruppenbasierte Berechtigungen für erweiterte Sicherheitsfunktionen, eine einfachere Verwaltung und eine zuverlässige Kostenkontrolle.
IAM-Abrechnungsnutzer in der Organisation

Schweregrad:
Hoch

Tags: IAM, billing account, owner, organization, Security, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Diese Regel verbessert die Sicherheit, indem sie Rollen-/billing.user-Zuweisungen auf Organisationsebene identifiziert. So wird ein zu umfassender Zugriff auf vertrauliche Finanzdaten verhindert und das Prinzip der geringsten Berechtigung durchgesetzt.
IAM-Hauptkonten für Abrechnungsbetrachter in der Abrechnung

Schweregrad:
Hoch

Tags: IAM, billing account, owner, organization, Security, CSPR, CoNa

Asset: cloudbilling.googleapis.com/BillingAccount

Details
Diese Regel verbessert die Sicherheit, indem sie Hauptkonten mit direkten Betrachterrollen für Rechnungskonten identifiziert. So wird das Prinzip der geringsten Berechtigung eingehalten und ein unbeabsichtigter umfassender Zugriff auf vertrauliche Abrechnungsinformationen verhindert.
IAM-Hauptkonten mit der Rolle „Abrechnungsbetrachter“ in der Organisation

Schweregrad:
Hoch

Tags: IAM, billing account, owner, organization, Security, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Schützen Sie sensible Finanzdaten und erzwingen Sie das Prinzip der geringsten Berechtigung, indem Sie Principals mit Abrechnungsansicht auf Organisationsebene identifizieren. So minimieren Sie das Risiko einer unbefugten Offenlegung von Informationen.
IAM-Nutzer mit der Rolle „Abrechnungsbetrachter“ für die Abrechnung

Schweregrad:
Hoch

Tags: IAM, billing account, owner, organization, Security, CSPR, CoNa

Asset: cloudbilling.googleapis.com/BillingAccount

Details
Hier werden Nutzer mit direkt zugewiesenen Rollen als Abrechnungsbetrachter auf Rechnungskontoebene ermittelt. So kann das Prinzip der geringsten Berechtigung durchgesetzt werden, um vertrauliche Finanzdaten zu schützen und unbefugte Kosten zu vermeiden.
IAM-Nutzer mit der Rolle „Abrechnungsbetrachter“ für die Organisation

Schweregrad:
Hoch

Tags: IAM, billing account, owner, organization, Security, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Diese Regel verbessert die Datensicherheit von Finanzdaten, indem sie einzelne Nutzer mit organisationsweitem Zugriff auf die Abrechnung identifiziert. Das ist wichtig, um das Prinzip der geringsten Berechtigung durchzusetzen und die Offenlegung sensibler Kosten zu minimieren.
IAM-domainübergreifender Zugriff

Schweregrad:
Hoch

Tags: IAM, Security, CSPR, MVSP

Asset: cloudresourcemanager.googleapis.com/Project

Details
Prüft, ob IAM-Richtlinien Zugriff auf „allUsers“ oder „allAuthenticatedUsers“ gewähren.
IAM-Gruppe kann Projekt auf Ordnerebene erstellen

Schweregrad:
Medium

Tags: IAM, Projektersteller, Ordner, Sicherheit, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Folder

Details
Erkennt, ob Gruppen Projekt-Creator-Rollen auf Ordnerebene haben, um eine proaktive Governance zu ermöglichen, die Ressourcenausweitung zu verhindern, Sicherheitsbaselines zu erzwingen und Kosten zu kontrollieren.
IAM-Gruppe kann Projekt auf Organisationsebene erstellen

Schweregrad:
Medium

Tags: IAM, project creator, organization, Security, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Mit dieser Regel werden Gruppen mit organisationsweiten Funktionen zum Erstellen von Projekten identifiziert. So können Sie eine unkontrollierte Ausweitung von Projekten und die damit verbundenen Kosten verhindern und gleichzeitig die Sicherheit und Governance bei der Bereitstellung von Ressourcen verbessern.
IAM-Organisationsadministrator

Schweregrad:
Hoch

Tags: IAM, billing account, admin, Security, CSPR, CoNa, MVSP

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Wenn Sie Zuweisungen von Organisationsadministrator mit hohen Berechtigungen identifizieren, können Sie Ihre gesamte Cloud-Umgebung schützen, indem Sie den ultimativen Zugriff streng kontrollieren. So lassen sich weitverbreitete Sicherheitslücken und Betriebsunterbrechungen vermeiden.
Redundanz von IAM-Organisationsadministratoren

Schweregrad:
Hoch

Tags: IAM, organization, admin, redundancy, Security, CSPR, CoNa, MVSP

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Erzwingt die Redundanz von Organisationsadministratoren. Vermeiden Sie es, nur einen Organisationsadministrator zu haben, um Sperrszenarien zu verhindern und die administrative Kontinuität zu gewährleisten. Es müssen mindestens zwei Administratoren vorhanden sein.
IAM-Inhabergruppe für Ordner

Schweregrad:
Hoch

Tags: IAM, owner, organization, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Folder

Details
Mit dieser Regel werden Gruppen gekennzeichnet, die Owner-Berechtigungen für Ordner haben. Dies ist eine wichtige Prüfung, um weitverbreitete Sicherheitslücken und versehentliche Betriebsunterbrechungen zu verhindern, indem eine strengere Zugriffssteuerung erzwungen wird.
IAM-Inhabergruppe in der Organisation

Schweregrad:
Hoch

Tags: IAM, owner, organization, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Identifiziert Gruppen mit Inhaberberechtigungen auf Organisationsebene, was entscheidend ist, um katastrophale Sicherheitslücken und Betriebsfehler zu verhindern, die auf indirekten, schwer zu prüfenden Rechteausweitungen durch Änderungen der Gruppenmitgliedschaft zurückzuführen sind.
IAM-Inhabergruppe für das Projekt

Schweregrad:
Hoch

Tags: IAM, owner, organization, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Details
Mit dieser Regel werden Google-Gruppen identifiziert, denen die leistungsstarke Rolle „Inhaber“ auf Projektebene zugewiesen ist. Dies ist entscheidend, um Sicherheitslücken durch übermäßige Berechtigungen zu schließen, Betriebsunterbrechungen zu verhindern und unbeabsichtigte Cloud-Ausgaben zu kontrollieren.
IAM-Inhaber-Dienstkonto im Ordner

Schweregrad:
Hoch

Tags: IAM, owner, organization, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Folder

Details
Diese Regel verbessert die Sicherheit erheblich, da sie Dienstkonten mit sehr permissiven Inhaberrollen auf Ordnerebene identifiziert. Dies ist wichtig, um Risiken durch übermäßige Berechtigungen zu minimieren und das Prinzip der geringsten Berechtigung für eine robuste Ressourcenkontrolle durchzusetzen.
IAM-Inhaberdienstkonto in der Organisation

Schweregrad:
Hoch

Tags: IAM, owner, organization, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Schützen Sie Ihre Organisation vor kritischen Sicherheitsbedrohungen, indem Sie Dienstkonten mit übermäßigen Inhaberberechtigungen auf Organisationsebene erkennen und so eine weitverbreitete unbefugte Kontrolle und Manipulation aller Cloud-Ressourcen verhindern.
IAM-Dienstkonto mit Inhaberrolle für das Projekt

Schweregrad:
Hoch

Tags: IAM, owner, organization, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Details
Mit dieser Regel werden Dienstkonten mit Inhaberrollen auf Projektebene erkannt, was ein erhebliches Sicherheitsrisiko darstellt. Diese Regel trägt dazu bei, den Grundsatz der geringsten Berechtigung durchzusetzen, der entscheidend ist, um die Sicherheit zu erhöhen, die Betriebszuverlässigkeit zu gewährleisten und unkontrollierte Cloud-Ausgaben zu verhindern.
IAM-Eigentümernutzer für Ordner

Schweregrad:
Hoch

Tags: IAM, owner, organization, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Folder

Details
Bei dieser Prüfung werden auf Ordnerebene zugewiesene Inhaberrollen identifiziert. So können Sicherheitsrisiken durch übermäßige Berechtigungen proaktiv gemindert und unbeabsichtigte, potenziell kostspielige oder störende Ressourcenänderungen verhindert werden.
IAM-Inhabernutzer in der Organisation

Schweregrad:
Hoch

Tags: IAM, owner, organization, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Erkennt Nutzer, denen die Inhaberrolle auf Organisationsebene zugewiesen ist. Dies ist eine wichtige Prüfung, um umfassende, unbeabsichtigte Änderungen zu verhindern, die die Sicherheit beeinträchtigen, die Zuverlässigkeit des Dienstes stören, die Leistung beeinträchtigen und zu unkontrollierten Kosten führen könnten.
IAM-Inhabernutzer für das Projekt

Schweregrad:
Hoch

Tags: IAM, owner, organization, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Details
Es werden unbeabsichtigte Kosten vermieden, indem Nutzer mit der Rolle „Inhaber“ identifiziert werden. So werden Risiken durch übermäßige Berechtigungen verringert.
IAM-Projekt für private Gmail-Konten nicht zulässig

Schweregrad:
Hoch

Tags: IAM, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Details
Identifiziert IAM-Bindungen auf Projektebene, die Berechtigungen für private Gmail-Konten (z.B. @gmail.com oder @googlemail.com) gewähren. Best Practices sehen vor, den Zugriff auf Identitäten der Unternehmensdomain einzuschränken, um das Risiko von Datenlecks und kompromittierten Anmeldedaten zu minimieren.
IAM-Projekt öffentlich zugänglich

Schweregrad:
Kritisch

Tags: IAM, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Details
Gibt IAM-Bindungen auf Projektebene an, die Berechtigungen für „allUsers“ oder „allAuthenticatedUsers“ gewähren. Wenn Projekte öffentlich zugänglich sind, kann ohne Authentifizierung auf Projektressourcen und die Projektstruktur zugegriffen werden. Das stellt ein erhebliches Sicherheitsrisiko dar.
IAM-Kontogruppentokenersteller für Dienstkonten im Ordner

Schweregrad:
Medium

Tags: IAM, Dienstkonto, Sicherheit, CSPR

Asset: cloudresourcemanager.googleapis.com/Folder

Details
Die Sicherheit wird verbessert, da die Identitätsübernahme von Dienstkonten auf Gruppenebene auf Ordnerebene verhindert wird. So wird das Risiko von Rechteausweitung und unbefugtem Ressourcenzugriff verringert.
IAM-Kontogruppen-Tokenersteller für Dienstkonten in Organisation

Schweregrad:
Medium

Tags: IAM, Dienstkonto, Sicherheit, CSPR

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Mit dieser Regel werden Gruppen identifiziert, denen Rollen auf Organisationsebene wie „Service Account User“ oder „Token Creator“ zugewiesen sind. So können Sie kritische Sicherheitsrisiken wie Rechteausweitung und umfassende Ressourcenkompromittierung durch die Durchsetzung des Prinzips der geringsten Berechtigung minimieren.
IAM-Tokenersteller für Dienstkonten-Kontogruppen im Projekt

Schweregrad:
Medium

Tags: IAM, Dienstkonto, Sicherheit, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Details
Erhöht die Projektsicherheit, indem Gruppen mit den Rollen „Dienstkontonutzer“ oder „Ersteller von Dienstkonto-Tokens“ identifiziert werden. So können Sie das Risiko, das von zu weit gefassten Identitätswechselberechtigungen ausgeht, proaktiv minimieren und den Zugriff auf Audit-Trails vereinfachen.
IAM-Dienstkonto-Hauptkonto-Tokenersteller für Ordner

Schweregrad:
Medium

Tags: IAM, Dienstkonto, Sicherheit, CSPR

Asset: cloudresourcemanager.googleapis.com/Folder

Details
Dienstkontonutzer und Tokenersteller für Hauptkonten auf Ordnerebene erkennen
IAM-Dienstkonto-Hauptkonto-Tokenersteller für Organisation

Schweregrad:
Medium

Tags: IAM, Dienstkonto, Sicherheit, CSPR

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Mit dieser Regel werden Hauptkonten mit Rollen auf Organisationsebene für Dienstkontonutzer oder Tokenersteller identifiziert. So kann das Prinzip der geringsten Berechtigung proaktiv durchgesetzt werden, um weitverbreitete Systemkompromittierungen zu verhindern und das Sicherheitsrisiko erheblich zu reduzieren.
IAM-Dienstkonto-Hauptkonto-Tokenersteller für Projekt

Schweregrad:
Medium

Tags: IAM, Dienstkonto, Sicherheit, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Details
Mit dieser Regel werden Prinzipale mit Rollen auf Projektebene wie „Dienstkontonutzer“ oder „Ersteller von Dienstkonto-Tokens“ erkannt, die umfassende und risikoreiche Möglichkeiten zur Übernahme der Identität von Dienstkonten bieten. Durch die Erkennung von Rollen können Sie das Prinzip der geringsten Berechtigung durchsetzen und Sicherheitsrisiken drastisch reduzieren.
IAM-Dienstkonto-Principalset-Tokenersteller für Ordner

Schweregrad:
Medium

Tags: IAM, Dienstkonto, Sicherheit, CSPR

Asset: cloudresourcemanager.googleapis.com/Folder

Details
Identifiziert principalSet-Zuweisungen mit den Rollen „Dienstkontonutzer“ oder „Token-Ersteller“ auf Ordnerebene, um übermäßige Berechtigungen zur Identitätsübernahme von Dienstkonten zu verhindern, die Sicherheit zu erhöhen und das Prinzip der geringsten Berechtigung durchzusetzen.
IAM-Dienstkonto-Principalset-Token-Ersteller in der Organisation

Schweregrad:
Medium

Tags: IAM, Dienstkonto, Sicherheit, CSPR

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Reduziert das organisatorische Risiko, indem principalSets mit zu weit gefassten Berechtigungen für den Identitätswechsel von Dienstkonten oder die Token-Erstellung auf Organisationsebene identifiziert werden. So werden potenzielle weitverbreitete Sicherheitslücken und unautorisierter Ressourcenzugriff verhindert.
IAM-Dienstkonto-Principalset-Token-Ersteller für Projekt

Schweregrad:
Medium

Tags: IAM, Dienstkonto, Sicherheit, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Details
Wenn Sie die Rollen „Dienstkontonutzer“/„Ersteller von Dienstkonto-Tokens“ für umfassende „principalSets“ (z. B. Gruppen oder Domains) auf Projektebene einschränken, werden weitverbreitete Risiken in Bezug auf die Rechteausweitung und die unautorisierte Identitätsübertragung verringert und die allgemeine Projektsicherheit verbessert.
IAM-Tokenersteller für Dienstkontonutzer im Ordner

Schweregrad:
Medium

Tags: IAM, Dienstkonto, Sicherheit, CSPR

Asset: cloudresourcemanager.googleapis.com/Folder

Details
Prüfen, ob Nutzer auf Ordnerebene Dienstkontonutzer und Tokenersteller sind
IAM-Dienstkonto-Nutzer-Tokenersteller in der Organisation

Schweregrad:
Medium

Tags: IAM, Dienstkonto, Sicherheit, CSPR

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Auf Organisationsebene prüfen, ob Nutzer Dienstkontonutzer und Tokenersteller sind
IAM-Tokenersteller für Dienstkontonutzer im Projekt

Schweregrad:
Medium

Tags: IAM, Dienstkonto, Sicherheit, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Details
Mit dieser Regel werden Nutzer mit umfangreichen Berechtigungen für die Identitätsübernahme von Dienstkonten oder die Token-Erstellung auf Projektebene identifiziert. So können wichtige Sicherheitslücken wie die Rechteausweitung über kompromittierte Konten proaktiv behoben werden. Dadurch werden wichtige Assets geschützt und potenzielle finanzielle Verluste durch Sicherheitsverletzungen verringert.
IAM-Ordner für Secret-Leser

Schweregrad:
Hoch

Tags: IAM, secret, Security, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Folder

Details
Sie stärkt den Datenschutz und hilft Ihnen, das Prinzip der geringsten Berechtigung durchzusetzen, indem sie zu weit gefasste Berechtigungen auf Ordnerebene identifiziert und korrigiert, die einen umfassenden Zugriff auf Secrets gewähren. So wird das Risiko einer unbefugten Offenlegung minimiert.
IAM-Secret-Leserorganisation

Schweregrad:
Hoch

Tags: IAM, secret, Security, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Mit dieser Regel werden IAM-Rollen auf Organisationsebene identifiziert, die einen umfassenden Zugriff auf Secrets gewähren (z. B. „Inhaber“, „Secret Manager-Administrator“/„-Accessor“). Dies ist entscheidend, um das Prinzip der geringsten Berechtigung durchzusetzen und das Risiko einer weitverbreiteten Offenlegung sensibler Daten zu minimieren.
IAM-Secret-Leser-Projekt

Schweregrad:
Hoch

Tags: IAM, secret, Security, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Project

Details
Mit dieser Regel werden IAM-Bindungen auf Projektebene identifiziert, die zu permissive Rollen (z. B. roles/owner, roles/secretmanager.admin oder roles/secretmanager.secretAccessor) mit umfassendem Zugriff auf alle Secrets gewähren. Mit dieser Regel können Sie das Prinzip der geringsten Berechtigung durchsetzen, um sensible Daten zu schützen und das Risiko kostspieliger Sicherheitsvorfälle zu verringern.
Ablaufdatum von IAM-Dienstkontoschlüsseln liegt mehr als 90 Tage in der Zukunft

Schweregrad:
Medium

Tags: IAM, Dienstkontoschlüssel, Sicherheit, CSPR

Asset: iam.googleapis.com/ServiceAccountKey

Details
Wenn Sie eine Rotation von 90 Tagen für von Nutzern verwaltete Dienstkontoschlüssel erzwingen, wird das Risiko eines längeren unbefugten Zugriffs durch kompromittierte Anmeldedaten erheblich verringert. So schützen Sie Ihre wichtigen Dienste und verhindern kostspielige Sicherheitsvorfälle.
IAM-Dienstkontoschlüssel, der älter als 90 Tage ist

Schweregrad:
Medium

Tags: IAM, Dienstkontoschlüssel, Sicherheit, CSPR

Asset: iam.googleapis.com/ServiceAccountKey

Details
Durch die Identifizierung aktiver, von Nutzern verwalteter Dienstkontoschlüssel, die älter als 90 Tage sind, kann eine proaktive Rotation erfolgen. Dadurch wird die Angriffsfläche erheblich verringert und das Risiko von unbefugtem Zugriff oder kompromittierten Anmeldedaten minimiert.
IAM-Dienstkontoschlüssel, vom Nutzer verwaltet

Schweregrad:
Medium

Tags: IAM, Dienstkontoschlüssel, Sicherheit, CSPR

Asset: iam.googleapis.com/ServiceAccountKey

Details
Von Nutzern verwaltete Dienstkontoschlüssel werden nicht automatisch rotiert, was zu Sicherheitslücken und einem erhöhten Betriebsaufwand führt. Durch die Migration zu von Google verwalteten Schlüsseln wird die Sicherheit erhöht und die Schlüsselverwaltung vereinfacht.
IAM-Dienstkonto ohne Ablaufdatum

Schweregrad:
Medium

Tags: IAM, Dienstkontoschlüssel, Sicherheit, CSPR

Asset: iam.googleapis.com/ServiceAccountKey

Details
Legen Sie Ablaufdaten für von Nutzern verwaltete Dienstkontoschlüssel fest, um ihre aktive Lebensdauer zu begrenzen. Dies ist entscheidend, um Sicherheitsrisiken zu minimieren und Ihre Ressourcen vor unberechtigtem Zugriff zu schützen, wenn ein Schlüssel manipuliert wird.
Ordner „IAM-Dienstkontonutzeradministrator“

Schweregrad:
Hoch

Tags: IAM, Dienstkonto, Administrator, Sicherheit, CSPR, CoNa, MVSP

Asset: cloudresourcemanager.googleapis.com/Folder

Details
Diese Regel erhöht die Sicherheit, indem sie Principals in einem Ordner erkennt, die sowohl Dienstkonten verwenden als auch vollständig verwalten können. Dies ist eine kritische Überberechtigung, die, wenn sie manipuliert wird, das Risiko eines weitverbreiteten unbefugten Zugriffs und einer Ressourcenmanipulation erheblich erhöht.
IAM-Dienstkontonutzeradministratororganisation

Schweregrad:
Hoch

Tags: IAM, Dienstkonto, Administrator, Sicherheit, CSPR, CoNa, MVSP

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Mit dieser Regel werden Prinzipale identifiziert, die sowohl die Rolle „Dienstkontonutzer“ als auch die Rolle „Administrator“ auf Organisationsebene haben. Dies ist eine wichtige Prüfung, um eine erhebliche Rechteausweitung zu verhindern und das Prinzip der geringsten Berechtigung durchzusetzen. So werden Ihre Ressourcen geschützt und die Betriebssicherheit aufrechterhalten.
IAM-Dienstkontonutzeradministratorprojekt

Schweregrad:
Hoch

Tags: IAM, Dienstkonto, Administrator, Sicherheit, CSPR, CoNa, MVSP

Asset: cloudresourcemanager.googleapis.com/Project

Details
Identifiziert Hauptkonten mit redundanten Rollen „Dienstkontonutzer“ und „Administrator“ in einem Projekt, damit Sie das Prinzip der geringsten Berechtigung durchsetzen, IAM vereinfachen und die Sicherheit erhöhen können.
IAM-Dienstkontonutzeradministrator

Schweregrad:
Hoch

Tags: IAM, Dienstkonto, Administrator, Sicherheit, CSPR, CoNa, MVSP

Asset: iam.googleapis.com/ServiceAccount

Details
Mit dieser Regel werden Principals identifiziert, die sowohl die Rolle „Service Account User“ als auch die Rolle „Admin“ auf Organisationsebene haben. Dies ist eine wichtige Prüfung, um das Prinzip der geringsten Berechtigung durchzusetzen, die Angriffsfläche zu verringern und Risiken durch übermäßige Berechtigungen zu minimieren.
IAM-Dienstkonto mit vom Nutzer verwaltetem Schlüssel

Schweregrad:
Medium

Tags: IAM, Dienstkontoschlüssel, Sicherheit, CSPR

Asset: iam_ServiceAccount_RESOURCE_1

Details
Diese Regel identifiziert Dienstkonten, die von Nutzern verwaltete Schlüssel verwenden. Diese müssen manuell rotiert werden und stellen ein erhöhtes Sicherheitsrisiko dar. Mit dieser Regel können Sie die Sicherheitslage verbessern, indem Sie auf von Google verwaltete Schlüssel umstellen oder strenge Kontrollen für den Lebenszyklus von Schlüsseln implementieren.
IAM-Nutzer kann Projekt auf Ordnerebene erstellen

Schweregrad:
Medium

Tags: IAM, Projektersteller, Ordner, Sicherheit, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Folder

Details
Mit dieser Regel werden Nutzer mit direkten Berechtigungen zum Erstellen von Projekten auf Ordnerebene identifiziert. Das ist wichtig, um eine unkontrollierte Ausweitung von Ressourcen zu verhindern, Budgets zu schützen, Sicherheitsrichtlinien zu erzwingen und die betriebliche Stabilität aufrechtzuerhalten.
IAM-Nutzer kann Projekt auf Organisationsebene erstellen

Schweregrad:
Medium

Tags: IAM, Projektersteller, Ordner, Sicherheit, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Wenn Sie prüfen, ob Nutzern Berechtigungen zum Erstellen von Projekten nicht direkt auf Organisationsebene gewährt werden, können Sie das Prinzip der geringsten Berechtigung durchsetzen und eine unkontrollierte Ausweitung von Ressourcen verhindern, um Kostenmanagement, Sicherheit und allgemeine Governance zu verbessern.
PAB-Richtlinien-Platzhalterberechtigungen

Schweregrad:
Medium

Tags: PAB, policy, wildcard, permission, Security

Asset: iam.googleapis.com/PrincipalAccessBoundaryPolicy

Details
Kennzeichnet PAB-Richtlinien (Principal Access Boundary), die Platzhalterberechtigungen („*“) zulassen. Dadurch wird Zugriff auf alle Berechtigungen für alle Dienste gewährt, was den Zweck einer Grenze zunichtemacht.
Ordner mit unzulässigen einfachen Rollen

Schweregrad:
Hoch

Tags: IAM, Sicherheit, geringste Berechtigung, CSPR

Asset: cloudresourcemanager.googleapis.com/Folder

Details
Unzulässige einfache Rollen (Inhaber, Bearbeiter) in IAM-Richtlinien für Ordner kennzeichnen
Einfache Rollen für Organisation nicht zulässig

Schweregrad:
Hoch

Tags: IAM, Sicherheit, geringste Berechtigung, CSPR

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Unzulässige einfache Rollen (Inhaber, Bearbeiter) in IAM-Organisationsrichtlinien kennzeichnen
Einfache Rollen für Projekt nicht zulässig

Schweregrad:
Hoch

Tags: IAM, Sicherheit, geringste Berechtigung, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Details
Unzulässige primitive Rollen (Inhaber, Bearbeiter) in Projekt-IAM-Richtlinien kennzeichnen

Google Cloud Best Practices – Memorystore for Memcache (2 Ergebnisse)

Memorystore-Instanz ha

Schweregrad:
Hoch

Tags: Reliability, High Availability, BCDR

Asset: memcache.googleapis.com/Instance

Details
Prüft, ob Memorystore-Instanzen mit mehreren Knoten konfiguriert sind, um eine hohe Verfügbarkeit zu gewährleisten. Singlenode-Konfigurationen bieten keine Redundanz, was das Risiko von Dienstunterbrechungen bei Fehlern erhöht.
Zonale HA für Memorystore-Instanzen

Schweregrad:
Hoch

Tags: Reliability, High Availability, BCDR, CoNa

Asset: memcache.googleapis.com/Instance

Details
Prüft, ob Memorystore Memcached-Instanzen auf mehrere unterschiedliche Zonen verteilt sind, um eine hohe Verfügbarkeit zu gewährleisten. Wenn Sie sich auf eine einzelne Zone verlassen, entsteht ein Single Point of Failure, der bei zonalen Ausfällen zu Dienstunterbrechungen führen kann.

Google Cloud Best Practices – Memorystore for Redis (8 Ergebnisse)

Persistenz von Memorystore-Instanzen

Schweregrad:
Hoch

Tags: Redis, Memorystore, Zuverlässigkeit, Notfallwiederherstellung, Persistenz

Asset: redis.googleapis.com/Instance

Details
Prüft, ob für Memorystore for Redis-Instanzen der Standardstufe die Persistenz aktiviert ist. Die Persistenz sorgt für die Datenwiederherstellung von der Festplatte. Mit dieser Regel werden Standardinstanzen gekennzeichnet, bei denen „persistenceMode“ deaktiviert ist oder fehlt.
Redis-Authentifizierung aktiviert

Schweregrad:
Hoch

Tags: Redis, Memorystore, Instanz, Sicherheit, Authentifizierung, Zugriffssteuerung

Asset: redis.googleapis.com/Instance

Details
Prüft, ob für Memorystore for Redis-Instanzen Redis AUTH aktiviert ist. Für Redis AUTH müssen sich Clients mit einem Passwort authentifizieren, bevor sie auf die Datenbank zugreifen können. Dies ist eine grundlegende Sicherheitsmaßnahme, um unbefugten Zugriff zu verhindern. Diese Regel kennzeichnet Instanzen, bei denen „authEnabled“ auf „false“ gesetzt ist.
Autorisiertes Redis-Netzwerk festgelegt

Schweregrad:
Medium

Tags: Redis, Memorystore, Instance, Security, Network, AccessControl, VPC, CoNa

Asset: redis.googleapis.com/Instance

Details
Prüft, ob für Memorystore for Redis-Instanzen ein autorisiertes Netzwerk konfiguriert ist. Wenn Sie den Zugriff auf ein bestimmtes VPC-Netzwerk einschränken, verringern Sie die potenzielle Angriffsfläche. Mit dieser Regel wird zwar nicht das spezifische Netzwerk validiert, aber es wird geprüft, ob eine Netzwerkbeschränkung vorhanden ist. Bei einer robusteren Prüfung wird mit einer Liste zulässiger Netzwerke verglichen (mithilfe von Parametern).
Redis-Instanz mit mehreren Zonen

Schweregrad:
Hoch

Tags: Reliability, Cache, HighAvailability, Locations

Asset: redis.googleapis.com/Instance

Details
Prüft, ob sich die primäre Instanz und das Replikat von Memorystore Redis in unterschiedlichen Zonen befinden. Bei STANDARD_HA wird die zonale Ausfallsicherheit entfernt, wenn das Replikat in derselben Zone platziert wird.
Stufe der Redis-Instanz ha

Schweregrad:
Hoch

Tags: Reliability, Cache, HighAvailability, Resiliency

Asset: redis.googleapis.com/Instance

Details
Prüft, ob für die Memorystore for Redis-Instanz die Stufe STANDARD_HA verwendet wird, um Hochverfügbarkeit mit automatischem Failover auf ein Replikat zu gewährleisten.
Redis-Wartungsfenster konfiguriert

Schweregrad:
Hoch

Tags: Redis, Memorystore, Instance, Availability, Reliability, Maintenance

Asset: redis.googleapis.com/Instance

Details
Prüft, ob für Memorystore for Redis-Instanzen ein Wartungsfenster konfiguriert ist. Mit einem definierten Wartungsfenster können Sie steuern, wann potenziell betriebsunterbrechende Wartungsvorgänge stattfinden. Ohne ein definiertes Zeitfenster können Updates jederzeit erfolgen, was sich auf die Verfügbarkeit der Anwendung auswirken kann. Mit dieser Regel werden Instanzen gekennzeichnet, für die keine „maintenancePolicy“ definiert ist.
Redis – keine Basic-Stufe

Schweregrad:
Hoch

Tags: Redis, Memorystore, Instance, Availability, Reliability, HighAvailability, CSPR

Asset: redis.googleapis.com/Instance

Details
Prüft, ob für Memorystore for Redis-Instanzen die Basis-Stufe verwendet wird. Die BASIC-Stufe bietet einen einzelnen Redis-Knoten und keine Replikation oder automatischen Failover. Daher ist sie nicht für Produktionsarbeitslasten geeignet, die Hochverfügbarkeit erfordern. Diese Regel kennzeichnet alle Instanzen, die die BASIC-Stufe verwenden. Ein Upgrade auf STANDARD_HA wird für Produktionsumgebungen dringend empfohlen.
Redis-Standard-HA hat Replikate

Schweregrad:
Medium

Tags: Redis, Memorystore, Instance, Availability, Reliability, HighAvailability, Performance, CSPR

Asset: redis.googleapis.com/Instance

Details
Prüft, ob für Memorystore for Redis-Instanzen die Stufe STANDARD_HA verwendet wird und ob mindestens ein Replikat vorhanden ist. STANDARD_HA bietet zwar Hochverfügbarkeitsfunktionen, aber bei einer Replikatanzahl von null entfallen die Vorteile der Redundanz. Mit dieser Regel werden Instanzen gekennzeichnet, die nicht auf STANDARD_HA basieren und für die keine Replikate konfiguriert sind. Für echte Hochverfügbarkeit wird empfohlen, die Anzahl der Replikate auf mindestens 1 (und idealerweise auf 2 oder mehr, bis zu 5) zu erhöhen.

Google Cloud Best Practices – Memorystore for Redis Cluster (3 Ergebnisse)

Redis-Cluster HA

Schweregrad:
Hoch

Tags: Redis, Cluster, Reliability, HighAvailability, Resiliency

Asset: redis.googleapis.com/Cluster

Details
Prüft, ob Memorystore for Redis-Clusterinstanzen mit Multizonenverfügbarkeit konfiguriert sind. Bereitstellungen in nur einer Zone stellen einen Single Point of Failure dar und sind nicht ausfallsicher gegenüber Zonenausfällen.
Redis-Cluster-Persistenz

Schweregrad:
Hoch

Tags: Redis, Memorystore, Cluster, Zuverlässigkeit, Notfallwiederherstellung, Persistenz,

Asset: redis.googleapis.com/Cluster

Details
Prüft, ob für Memorystore for Redis-Clusterressourcen die Persistenz aktiviert ist. Die Persistenz (RDB oder AOF) ist für die Notfallwiederherstellung im Falle eines vollständigen Clusterausfalls von entscheidender Bedeutung. Mit dieser Regel werden Redis-Cluster gekennzeichnet, bei denen „persistenceConfig.mode“ nicht auf „RDB“ oder „AOF“ festgelegt ist.
Redis-Cluster-Replikat mit mehreren Zonen

Schweregrad:
Hoch

Tags: Reliability, Cache, HighAvailability, Locations

Asset: redis.googleapis.com/Cluster

Details
Prüft, ob die Platzierung von Memorystore Redis Cluster-Replikaten über mehrere Zonen erfolgt und mindestens ein Replikat pro Shard konfiguriert ist.

Google Cloud Best Practices – NetApp Volumes (1 Ergebnis)

NetApp-Volume-Snapshot-Richtlinie aktiviert

Schweregrad:
Hoch

Tags: Reliability, Storage, NetApp, Backup, DataProtection

Asset: netapp.googleapis.com/Volume

Details
Überprüft direkt die Planungskonfigurationen und den Snapshot-Richtlinienstatus für Google Cloud NetApp Volumes, um sicherzustellen, dass die Wiederherstellung zu einem bestimmten Zeitpunkt aktiv ist.

Google Cloud Best Practices – Networking (5 Ergebnisse)

Compute-Standard-DENY-Firewall-Logging

Schweregrad:
Medium

Tags: Networking, Firewall, Security, CSPR, MVSP

Asset: compute.googleapis.com/Firewall

Details
Prüft, ob für Standard-DENY-Firewallregeln das Logging aktiviert ist.
Compute-Firewall-IAP-TCP-Tunnel

Schweregrad:
Hoch

Tags: Networking, Firewall, Security, CSPR, IAP

Asset: compute.googleapis.com/Firewall

Details
Prüft, ob Firewallregeln, die die IAP-TCP-Weiterleitung zulassen, auf den Google IAP-IP-Bereich (35.235.240.0/20) beschränkt sind.
Protokollierung hierarchischer Firewallrichtlinien für Compute konfigurieren

Schweregrad:
Medium

Tags: Networking, Firewall, Security, CSPR

Asset: compute.googleapis.com/FirewallPolicy

Details
Prüft, ob das Logging für hierarchische Firewallrichtlinien aktiviert ist.
Beim Compute-Load-Balancer fehlen Quellbereiche

Schweregrad:
Hoch

Tags: Networking, Firewall, LB, Security, CSPR

Asset: compute.googleapis.com/Firewall

Details
Prüft, ob in Firewallregeln, die Load-Balancern zugeordnet sind, Quell-IP-Bereiche explizit definiert sind.
Compute-Region-Backend-Dienst – CDN

Schweregrad:
Medium

Tags: Networking, Security, CDN, CSPR

Asset: compute.googleapis.com/RegionBackendService

Details
Prüft, ob für regionale Backend-Dienste Cloud CDN aktiviert ist.

Google Cloud Best Practices – Organisationsrichtliniendienst (58 Ergebnisse)

Organisationsrichtlinie „App Engine: Code-Download deaktivieren“

Schweregrad:
Medium

Tags: Organization policy, Appengine, Security, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „appengine.disableCodeDownload“ für das Projekt oder seine übergeordneten Elemente konfiguriert ist, um unautorisierte Code-Downloads zu verhindern und vor potenziellen Sicherheitsrisiken zu schützen.
Organisationsrichtlinie „cloudbuild allowed integrations“

Schweregrad:
Niedrig

Tags: Organization policy, Cloud Build, Security, CSPR, CoNa

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „cloudbuild.allowedIntegrations“ für das Projekt oder eine übergeordnete Ressource konfiguriert ist, um externe Dienste einzuschränken, die Build-Trigger aufrufen können.
Organisationsrichtlinie „cloudfunctions allowed ingress“

Schweregrad:
Medium

Tags: Organisationsrichtlinie, Cloud Functions, Sicherheit, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „cloudfunctions.allowedIngressSettings“ für das Projekt oder ein übergeordnetes Element erzwungen wird, wodurch der eingehende Traffic für Cloud Functions eingeschränkt wird.
Organisationsrichtlinie „compute disable guest attributes access“

Schweregrad:
Hoch

Tags: Organization policy, Compute Engine, Security, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „compute.disableGuestAttributesAccess“ für das Projekt oder ein übergeordnetes Element erzwungen wird, um potenziellen unbefugten Zugriff auf Gastattribute zu verhindern.
Organisationsrichtlinie „compute disable internet endpoint group“

Schweregrad:
Niedrig

Tags: Organization policy, Compute Engine, Security, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „compute.disableInternetNetworkEndpointGroup“ für das Projekt oder seine übergeordneten Elemente erzwungen wird, um potenzielle Sicherheitslücken zu vermeiden.
Organisationsrichtlinie „compute disable nested virtualization“

Schweregrad:
Medium

Tags: Organization policy, Compute Engine, Security, CSPR, CoNa

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „compute.disableNestedVirtualization“ für das Projekt oder ein übergeordnetes Element konfiguriert ist, um die unbefugte Verwendung der verschachtelten Virtualisierung zu verhindern.
Organisationsrichtlinie „compute disable serial port logging“

Schweregrad:
Niedrig

Tags: Organization policy, Compute Engine, Security, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „compute.disableSerialPortLogging“ für das Projekt oder ein übergeordnetes Element erzwungen wird, um potenzielle Sicherheitsrisiken durch unautorisierten Zugriff auf den seriellen Port zu verhindern.
Organisationsrichtlinie „compute“ deaktiviert den Zugriff auf serielle Ports

Schweregrad:
Hoch

Tags: Organization policy, Compute Engine, Security, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „compute.disableSerialPortAccess“ für das Projekt oder seine übergeordneten Elemente erzwungen wird, um unbefugten Zugriff auf serielle Ports zu verhindern.
Organisationsrichtlinie „Compute – OS Login erforderlich“

Schweregrad:
Hoch

Tags: Organization policy, Compute Engine, Security, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „compute.requireOsLogin“ erzwungen wird, um sicherzustellen, dass OS Login für das Projekt oder seine übergeordneten Elemente aktiviert ist. So wird unautorisierter Zugriff auf virtuelle Maschinen verhindert.
Organisationsrichtlinie „Compute – Shielded VM erforderlich“

Schweregrad:
Medium

Tags: Organization policy, Compute Engine, Security, CSPR, CoNa

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „compute.requireShieldedVm“ für das Projekt oder seine übergeordneten Elemente erzwungen wird. So wird sichergestellt, dass nur Shielded VMs erstellt werden, was die Sicherheit erhöht.
Organisationsrichtlinie „compute restrict dedicated interconnect“

Schweregrad:
Niedrig

Tags: Organization policy, Compute Engine, Security, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „compute.restrictDedicatedInterconnectUsage“ für das Projekt oder ein übergeordnetes Element erzwungen wird, um potenzielle Risiken zu vermeiden, die mit einer uneingeschränkten Nutzung von Dedicated Interconnect verbunden sind.
Organisationsrichtlinie „compute restrict load balancer creation“

Schweregrad:
Medium

Tags: Organization policy, Compute Engine, Security, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „compute.restrictLoadBalancerCreationForTypes“ erzwungen wird, um das Erstellen unsicherer Load Balancer für das Projekt oder seine übergeordneten Elemente zu verhindern.
Organisationsrichtlinie „compute restrict protocol forward creation“

Schweregrad:
Hoch

Tags: Organization policy, Compute Engine, Security, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „compute.restrictProtocolForwardingCreationForTypes“ für das Projekt oder eine übergeordnete Ressource konfiguriert ist, um potenzielle Sicherheitslücken zu vermeiden.
Organisationsrichtlinie „compute restrict shared VPC host projects“

Schweregrad:
Medium

Tags: Organization policy, Compute Engine, Security, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „compute.restrictSharedVpcHostProjects“ für das Projekt oder eine übergeordnete Ressource konfiguriert ist, um potenzielle Sicherheitslücken zu vermeiden.
Organisationsrichtlinie „compute restrict shared VPC subnetworks“

Schweregrad:
Niedrig

Tags: Organization policy, Compute Engine, Security, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „compute.restrictSharedVpcSubnetworks“ für das Projekt oder seine übergeordneten Elemente erzwungen wird. So wird sichergestellt, dass nur genehmigte Subnetze verwendet werden, was die Netzwerksicherheit erhöht.
Organisationsrichtlinie „compute restrict VPC peering“

Schweregrad:
Medium

Tags: Organization policy, Compute Engine, Security, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „compute.restrictVpcPeering“ für das Projekt oder seine übergeordneten Elemente erzwungen wird, um potenziell unautorisiertes VPC-Peering zu verhindern.
Organisationsrichtlinie „compute restrict vpn peer ips“

Schweregrad:
Medium

Tags: Organization policy, Compute Engine, Security, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „compute.restrictVpnPeerIPs“ für das Projekt oder ein übergeordnetes Element konfiguriert ist, um unautorisierten VPN-Peer-IP-Zugriff zu verhindern.
Organisationsrichtlinie „compute restrict xpn project lien removal“

Schweregrad:
Medium

Tags: Organization policy, Compute Engine, Security, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „compute.restrictXpnProjectLienRemoval“ für das Projekt oder seine übergeordneten Elemente erzwungen wird, um das unbefugte Entfernen von Projektsperren zu verhindern.
Organisationsrichtlinie „compute skip default network creation“

Schweregrad:
Medium

Tags: Organization policy, Compute Engine, Security, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „compute.skipDefaultNetworkCreation“ für das Projekt oder seine übergeordneten Elemente erzwungen wird, um potenzielle Sicherheitslücken zu vermeiden.
Einschränkungen für die Verwendung von Cloud Storage-Ressourcen für Organisationsrichtlinien

Schweregrad:
Hoch

Tags: Organization policy, Compute Engine, Security, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „compute.storageResourceUseRestrictions“ erzwungen wird, um sicherzustellen, dass Einschränkungen für die Verwendung von Speicherressourcen für das Projekt oder seine übergeordneten Elemente konfiguriert sind. So werden potenzielle Sicherheitslücken vermieden.
Organisationsrichtlinie „Trusted Image-Projekte für Compute“

Schweregrad:
Medium

Tags: Organization policy, Compute Engine, Security, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „compute.trustedImageProjects“ für das Projekt oder ein übergeordnetes Element konfiguriert ist, um die Verwendung nicht vertrauenswürdiger Images zu verhindern.
Organisationsrichtlinie „Compute VM can IP forward“

Schweregrad:
Niedrig

Tags: Organization policy, Compute Engine, Security, CSPR, CoNa

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „compute.vmCanIpForward“ für das Projekt oder seine übergeordneten Elemente konfiguriert ist, damit VMs IP-Traffic weiterleiten können. So wird eine ordnungsgemäße Netzwerkfunktionalität gewährleistet.
Organisationsrichtlinie „compute VM external IP access“

Schweregrad:
Hoch

Tags: Organization policy, Compute Engine, Security, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „compute.vmExternalIpAccess“ für das Projekt oder seine übergeordneten Elemente erzwungen wird, um potenzielle Sicherheitslücken zu vermeiden.
Domains auf der Zulassungsliste für wichtige Kontakte in Organisationsrichtlinien

Schweregrad:
Medium

Tags: Organization policy, Essential Contacts, Security, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „essentialcontacts.allowedContactDomains“ für das Projekt oder eine übergeordnete Organisation erzwungen wird, wodurch die für wichtige Kontakte zulässigen Domains eingeschränkt werden.
Organisationsrichtlinie für zulässige Einstellungen für ausgehenden Traffic des VPC-Connector für Funktionen

Schweregrad:
Hoch

Tags: Organisationsrichtlinie, Cloud Function, Sicherheit, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „cloudfunctions.allowedVpcConnectorEgressSettings“ für das Projekt oder seine übergeordneten Elemente erzwungen wird. Dadurch werden nicht autorisierte Einstellungen für ausgehenden Traffic für Cloud Functions verhindert und die Sicherheit erhöht.
Für Organisationsrichtlinienfunktionen ist ein VPC-Connector erforderlich

Schweregrad:
Hoch

Tags: Organisationsrichtlinie, Cloud Function, Sicherheit, CSPR, CoNa

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „cloudfunctions.requireVPCConnector“ erzwungen wird, um sicherzustellen, dass Cloud Functions VPC-Connectors verwenden, wodurch die Netzwerksicherheit erhöht wird.
Organisationsrichtlinie „Compute Engine disable psc creation“

Schweregrad:
Niedrig

Tags: Organization policy, Compute Engine, PSC, Security, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „compute.disablePrivateServiceConnectCreationForConsumers“ konfiguriert ist, um die unautorisierte Erstellung von Private Service Connect zu verhindern.
Detaillierter Audit-Logging-Modus für Google Cloud-Organisationsrichtlinien

Schweregrad:
Niedrig

Tags: Organization policy, Cloud Logging, Security, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „gcp.detailedAuditLoggingMode“ für das Projekt oder eine übergeordnete Ressource konfiguriert ist, um detaillierte Audit-Logs zu aktivieren. Dies trägt zu einer umfassenden Sicherheitsüberwachung und Compliance bei.
Organisationsrichtlinie „Google Cloud disable cloud logging“

Schweregrad:
Niedrig

Tags: Organization policy, Cloud Logging, Security, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie gcp.disableCloudLogging für das Projekt oder ein übergeordnetes Element konfiguriert ist, um sicherzustellen, dass Cloud Logging ordnungsgemäß erzwungen wird.
Organisationsrichtlinie für Google Cloud-Ressourcenstandorte

Schweregrad:
Medium

Tags: Organization policy, Security, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „gcp.resourceLocations“ für das Projekt oder ein übergeordnetes Element erzwungen wird. So wird sichergestellt, dass Ressourcen an den angegebenen geografischen Standorten erstellt werden und die Compliance-Anforderungen erfüllt werden.
Organisationsrichtlinie „Google Cloud restrict non CMEK services“ (Google Cloud-Dienste ohne CMEK einschränken)

Schweregrad:
Medium

Tags: Organisationsrichtlinie, CMEK, KMS, Sicherheit, Verschlüsselung, CSPR, CoNa

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „gcp.restrictNonCmekServices“ für das Projekt oder seine übergeordneten Elemente erzwungen wird. Diese Richtlinie schränkt die Erstellung von Ressourcen ohne kundenverwaltete Verschlüsselungsschlüssel (CMEK) ein und sorgt dafür, dass ruhende Daten gemäß den Organisationsstandards verschlüsselt werden.
Organisationsrichtlinie „Google Cloud restrict tls version“

Schweregrad:
Niedrig

Tags: Organization policy, Security, TLS, CSPR, CoNa

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „gcp.restrictTLSVersion“ für das Projekt oder ein übergeordnetes Element konfiguriert ist, um die von Google-APIs unterstützten TLS-Versionen einzuschränken.
Organisationsrichtlinie „IAM allow disable service account key creation“

Schweregrad:
Hoch

Tags: Organization policy, IAM, Security, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Reduziert die Angriffsfläche, indem aktive Firewallregeln für eingehenden Traffic identifiziert werden, die ungewöhnliche Netzwerkprotokolle (nicht TCP, UDP oder ICMP) im Internet verfügbar machen. So werden potenzielle Sicherheitslücken durch nicht überwachte Dienste verhindert.
Organisationsrichtlinie „IAM allow service account credential lifetime extension“ (IAM-Zulassung für die Verlängerung der Lebensdauer von Dienstkontoanmeldedaten)

Schweregrad:
Medium

Tags: Organization policy, IAM, Security, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „iam.allowServiceAccountCredentialLifetimeExtension“ für das Projekt oder ein übergeordnetes Element konfiguriert ist. So wird sichergestellt, dass die Lebensdauererweiterungen von Dienstkonto-Anmeldedaten verwaltet werden, um die Sicherheit zu gewährleisten.
IAM-Zulassungsrichtlinien-Mitgliedsdomains für Organisationsrichtlinien

Schweregrad:
Kritisch

Tags: Organization policy, IAM, Security, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „iam.allowedPolicyMemberDomains“ für das Projekt oder seine übergeordneten Elemente erzwungen wird. So wird sichergestellt, dass nur genehmigte Domains als Richtlinienmitglieder hinzugefügt werden können. Dadurch wird die Sicherheit erhöht, da unbefugter Zugriff verhindert wird.
Organisationsrichtlinie „Automatische IAM-Zuweisungen für Standarddienstkonten“

Schweregrad:
Hoch

Tags: Organization policy, IAM, Security, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „iam.automaticIamGrantsForDefaultServiceAccounts“ für das Projekt oder ein übergeordnetes Element erzwungen wird, um sicherzustellen, dass den Standarddienstkonten nicht automatisch IAM-Rollen zugewiesen werden. Dies verbessert die Sicherheit.
Organisationsrichtlinie „IAM disable service account creation“

Schweregrad:
Niedrig

Tags: Organization policy, IAM, Security, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „iam.disableServiceAccountCreation“ erzwungen wird, um das Erstellen von Dienstkonten zu verhindern und so das Risiko von unbefugtem Zugriff und potenziellen Sicherheitslücken zu verringern.
Organisationsrichtlinie „IAM disable service account key upload“

Schweregrad:
Niedrig

Tags: Organization policy, IAM, Security, CSPR, CoNa

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „iam.disableServiceAccountKeyUpload“ für das Projekt oder eine übergeordnete Ressource erzwungen wird, um potenzielle Sicherheitsrisiken zu verhindern, die mit unautorisierten Uploads von Dienstkontoschlüsseln verbunden sind.
Organisationsrichtlinie „IAM disable workload identity cluster“

Schweregrad:
Medium

Tags: Organization policy, IAM, Security, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „iam.disableWorkloadIdentityClusterCreation“ für das Projekt oder ein übergeordnetes Element erzwungen wird. So wird verhindert, dass Workload Identity-Cluster erstellt werden, wenn die Richtlinie nicht konfiguriert ist.
Organisationsrichtlinie für IAM Workload Identity-Poolanbieter

Schweregrad:
Medium

Tags: Organization policy, IAM, Security, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „iam.workloadIdentityPoolProviders“ für das Projekt oder ein übergeordnetes Element erzwungen wird. So wird sichergestellt, dass Workload Identity-Poolanbieter richtig konfiguriert sind, um unautorisierten Zugriff zu verhindern.
Organisationsrichtlinie „Non-Confidential Computing einschränken“

Schweregrad:
Niedrig

Tags: Organization policy, Compute Engine, Security, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „compute.restrictNonConfidentialComputing“ für das Projekt oder seine übergeordneten Elemente konfiguriert ist. Dadurch wird die Verwendung von Ressourcen für nicht vertrauliche Berechnungen verhindert, die zu einer Datenpanne führen könnten.
Organisationsrichtlinie zur Einschränkung der Partner Interconnect-Nutzung

Schweregrad:
Niedrig

Tags: Organization policy, Compute Engine, Security, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „compute.restrictPartnerInterconnectUsage“ für das Projekt oder ein übergeordnetes Element erzwungen wird, um eine potenzielle unautorisierte Nutzung von Partner Interconnect zu verhindern.
Zulässiger eingehender Traffic für die Ausführung von Organisationsrichtlinien

Schweregrad:
Medium

Tags: Organizationsrichtlinie, Cloud Run, Sicherheit, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „run.allowedIngress“ für das Projekt oder eine übergeordnete Ressource erzwungen wird, wodurch der eingehende Traffic zu Cloud Run-Diensten eingeschränkt wird.
Organisationsrichtliniendienstnutzerdienste

Schweregrad:
Niedrig

Tags: Organization policy, Services, Security, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob „serviceuser.services“ für das Projekt oder seine übergeordneten Elemente konfiguriert ist, um potenzielle Sicherheitslücken zu verhindern.
Organisationsrichtlinie „sql restrict authorized networks“

Schweregrad:
Hoch

Tags: Organization policy, Cloud Sql, Security, CSPR, CoNa

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „sql.restrictAuthorizedNetworks“ für das Projekt oder seine übergeordneten Elemente erzwungen wird. Dadurch wird unbefugter Zugriff auf Cloud SQL-Instanzen aus nicht genehmigten Netzwerken verhindert.
Organisationsrichtlinie „sql restrict public IP“

Schweregrad:
Hoch

Tags: Organization policy, Cloud Sql, Security, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „sql.restrictPublicIp“ für das Projekt oder seine übergeordneten Elemente erzwungen wird. Dadurch werden potenzielle Sicherheitslücken verhindert, indem der Zugriff über öffentliche IP-Adressen auf Cloud SQL-Instanzen eingeschränkt wird.
Organisationsrichtlinie „Verhinderung des öffentlichen Zugriffs in Cloud Storage“

Schweregrad:
Hoch

Tags: Organisationsrichtlinie, Cloud Storage, Speicher, Sicherheit, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „storage.publicAccessPrevention“ für das Projekt oder ein übergeordnetes Element erzwungen wird, wodurch der öffentliche Zugriff auf Cloud Storage-Buckets verhindert wird.
Organisationsrichtlinie „Cloud Storage-Aufbewahrungsrichtlinie (Sekunden)“

Schweregrad:
Medium

Tags: Organization policy, Cloud Storage, Security, CSPR, CoNa

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „storage.retentionPolicySeconds“ für das Projekt oder seine übergeordneten Elemente erzwungen wird, um Daten vor versehentlichem oder böswilligem Löschen zu schützen.
Organisationsrichtlinie „Einheitlicher Zugriff auf Bucket-Ebene“ für Cloud Storage

Schweregrad:
Hoch

Tags: Organisationsrichtlinie, Cloud Storage, Speicher, Sicherheit, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Details
Prüft, ob die Organisationsrichtlinie „storage.uniformBucketLevelAccess“ für das Projekt oder ein übergeordnetes Projekt erzwungen wird. So wird eine einheitliche Zugriffssteuerung für alle Objekte in einem Bucket gewährleistet und potenzielle Datenlecks werden verhindert.
Zulässige Kontaktdomains für Organisationsrichtlinien

Schweregrad:
Hoch

Tags: OrgPolicy, Security, Compliance, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Details
Prüft, ob die Organisationsrichtlinie „essentialcontacts.allowedContactDomains“ erzwungen wird.
Zulässige Einstellungen für eingehenden Traffic in Organisationsrichtlinien

Schweregrad:
Hoch

Tags: OrgPolicy, Security, Compliance, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Details
Prüft, ob die Organisationsrichtlinie „cloudfunctions.allowedIngressSettings“ erzwungen wird.
Zulässige Worker-Pools für Organisationsrichtlinien

Schweregrad:
Hoch

Tags: OrgPolicy, Security, Compliance, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Details
Prüft, ob die Organisationsrichtlinie „cloudbuild.allowedWorkerPools“ erzwungen wird.
Audit-Logging-Ausnahme für Organisationsrichtlinie deaktivieren

Schweregrad:
Hoch

Tags: OrgPolicy, Security, Compliance, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Details
Prüft, ob die Organisationsrichtlinie „iam.disableAuditLoggingExemption“ erzwungen wird.
Organisationsrichtlinie „bq omni aws“ deaktivieren

Schweregrad:
Hoch

Tags: OrgPolicy, Security, Compliance, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Details
Prüft, ob die Organisationsrichtlinie „bigquery.disableBQOmniAWS“ erzwungen wird.
Organisationsrichtlinie „bq omni azure deaktivieren“

Schweregrad:
Hoch

Tags: OrgPolicy, Security, Compliance, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Details
Prüft, ob die Organisationsrichtlinie „bigquery.disableBQOmniAzure“ erzwungen wird.
Organisationsrichtlinie „Nicht-FIPS-Maschinentypen deaktivieren“

Schweregrad:
Hoch

Tags: OrgPolicy, Security, Compliance, FIPS, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Details
Prüft, ob die Organisationsrichtlinie „compute.disableNonFIPSMachineTypes“ erzwungen wird. So wird verhindert, dass nicht FIPS-konforme Maschinentypen erstellt werden.
Organisationsrichtlinie „Cloud NAT-Nutzung einschränken“

Schweregrad:
Hoch

Tags: OrgPolicy, Security, Compliance, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Details
Prüft, ob die Organisationsrichtlinie „compute.restrictCloudNATUsage“ erzwungen wird.
Organisationsrichtlinie zur Einschränkung der Dienstnutzung

Schweregrad:
Hoch

Tags: OrgPolicy, Security, Compliance, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Details
Prüft, ob die Organisationsrichtlinie „gcp.restrictServiceUsage“ erzwungen wird.

Google Cloud Best Practices – Resource Manager (3 Ergebnisse)

Wichtige Kontakte

Schweregrad:
Medium

Tags: Wichtige Kontakte, Management, Compliance, CSPR, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_4

Details
Kennzeichnet Google Cloud-Projekte, für die keine gültigen wichtigen Kontakte konfiguriert sind
Projekt ohne Ordner

Schweregrad:
Hoch

Tags: project, resource management, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Details
Identifiziert Projekte, die direkt unter einer Organisation erstellt wurden. Dadurch wird die Richtlinienübernahme auf Ordnerebene umgangen, die für eine konsistente Governance, Sicherheitslage und Kostenverwaltung unerlässlich ist.
Resourcemanager-Hostprojekte

Schweregrad:
Niedrig

Tags: Compute, Project, SharedVPC, HostProject, Networking, Organization, CSPR

Asset: compute.googleapis.com/Project

Details
Prüft, ob ein Google Cloud-Projekt als Hostprojekt für eine gemeinsam genutzte VPC konfiguriert ist. Eine freigegebene VPC ermöglicht einer Organisation, Ressourcen aus mehreren Projekten mit einem gemeinsamen VPC-Netzwerk zu verbinden, das in einem dafür vorgesehenen Hostprojekt gehostet wird. Dies ermöglicht eine zentrale Netzwerkadministration. Mit dieser Regel werden Hostprojekte identifiziert, indem das Feld „xpnProjectStatus“ in den Compute Engine-Metadaten der Projekte geprüft wird. Der Status HOST gibt an, dass es sich um ein Hostprojekt mit gemeinsam genutzter VPC handelt. Diese Richtlinie dient nur zur Information und identifiziert Projekte mit dieser spezifischen Konfiguration.

Google Cloud Best Practices – SecOps (1 Ergebnis)

IAM-Datenzugriffslogs

Schweregrad:
Hoch

Tags: SecOps, Logging, IAM, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Details
Prüft, ob Datenzugriffslogs (ADMIN_READ, DATA_WRITE, DATA_READ) global auf Projektebene aktiviert sind.

Google Cloud Best Practices – Secret Manager (2 Ergebnisse)

Secret Manager-Rotation nach 90 Tagen

Schweregrad:
Medium

Tags: SecretManager, Secret, Rotation, Security, Age, CSPR, CoNa

Asset: secretmanager.googleapis.com/SecretVersion

Details
Prüft, ob ein Secret Manager-Secret aktiviert und seit seiner Erstellung älter als 90 Tage ist. Die regelmäßige Rotation von Secrets ist eine bewährte Sicherheitsmethode, um die Auswirkungen eines potenziellen Missbrauchs zu minimieren. Mit dieser Regel werden zwei Felder untersucht: 1. „state“: Hier wird geprüft, ob sich das Secret im Status „ENABLED“ befindet. 2. createTime: Prüft, ob die Erstellungszeit der Secrets mehr als 90 Tage zurückliegt. Ein Verstoß wird generiert, wenn beide Bedingungen erfüllt sind: Das Secret ist aktiviert und sein „createTime“-Wert gibt an, dass es älter als 90 Tage ist. In der Regel werden time.now_ns() und time.parse_rfc3339_ns() für genaue Zeitvergleiche verwendet.
Secret Manager-Replikation in mehreren Regionen

Schweregrad:
Medium

Tags: Reliability, Security, SecretManager, HighAvailability, BCDR, CSPR, CoNa

Asset: secretmanager.googleapis.com/Secret

Details
Prüft, ob Secret Manager-Secrets mit einer multiregionalen Replikationsrichtlinie konfiguriert sind (entweder automatische Replikation oder nutzerverwaltete Replikation mit mindestens zwei verschiedenen Regionen). Durch die Replikation von Secrets in mehreren Regionen wird Hochverfügbarkeit und Notfallwiederherstellung gewährleistet.

Google Cloud Best Practices – Security Command Center (1 Ergebnis)

Security Command Center ist für die Organisation nicht aktiviert.

Schweregrad:
Hoch

Tags: IAM, scc, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Organization

Details
Wenn Sie Security Command Center (SCC) auf Organisationsebene aktivieren, erhalten Sie einen zentralen Einblick in Sicherheitsergebnisse und den Compliance-Status. So können Sie Risiken proaktiv minimieren und Ihre Google Cloud-Ressourcen schützen.

Google Cloud Best Practices – Sensitive Data Protection (1 Ergebnis)

Google Cloud DLP-Dienst aktiviert

Schweregrad:
Medium

Tags: DLP, Sensitive Data Protection, Security, ServiceUsage, Compliance, CoNa

Asset: serviceusage.googleapis.com/Service

Details
Prüft, ob der Dienst „Sensitive Data Protection“ (DLP) (dlp.googleapis.com) aktiviert ist. Mit Sensitive Data Protection können Sie Ihre sensiblen Daten ermitteln, klassifizieren und schützen.

MySQL: Allgemein (7 Ergebnisse)

Prüfen Sie, ob der Google Cloud-Agent für Compute-Arbeitslasten auf allen Instanzen im Bewertungsbereich korrekt eingerichtet ist.

Schweregrad:
Kritisch

Details
Auf Instanzen im Bewertungsbereich muss der Google Cloud-Agent für Computing-Arbeitslasten konfiguriert sein, damit Workload Manager-Bewertungen ausgeführt werden können. Wenn Sie den Agenten nicht richtig konfiguriert haben, können die Ergebnisse der Auswertung unvollständig oder ungenau sein. Die empfohlene Mindestversion ist 1.2.
Letzte Aktualisierung: 27. August 2025
Automatischen Neustart für VMs aktivieren, auf denen MySQL-Arbeitslasten ausgeführt werden

Schweregrad:
Kritisch

Details
Damit die VM im Fehlerfall automatisch neu gestartet wird, aktivieren Sie die Compute Engine-Richtlinie für den automatischen Neustart für alle VMs, auf denen eine MySQL-Arbeitslast ausgeführt wird.
Letzte Aktualisierung: 27. August 2025
Hyperdisk mit minimalen IOPS und minimalem Durchsatz bereitstellen

Schweregrad:
Hoch

Details
Die standardmäßigen bereitgestellten IOPS- und Durchsatzwerte für kleine Hyperdisks sind möglicherweise zu niedrig, um eine angemessene Leistung zu garantieren. Wir empfehlen,diese Werte auf mindestens 10.000 IOPS und 1 GiB/s Durchsatz zu erhöhen. Ab dem 10. November 2025 wird der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie unter Standardleistung.
Zuletzt aktualisiert: 10. November 2025
VM-Wartungsrichtlinie für MySQL-Arbeitslasten auf MIGRATE festlegen

Schweregrad:
Kritisch

Details
Damit Plattformwartungsereignisse nicht dazu führen, dass eine VM, auf der MySQL-Arbeitslasten ausgeführt werden, beendet oder neu gestartet wird, muss der Parameter onHostMaintenance für die VM auf die empfohlene Option MIGRATE gesetzt werden.
Weitere Informationen finden Sie unter VM-Hostwartungsrichtlinie festlegen.
Letzte Aktualisierung: 27. August 2025
MySQL-Arbeitslasten nicht auf PD Standard- oder Hyperdisk Throughput-Laufwerkstypen ausführen

Schweregrad:
Hoch

Details
Google Cloud empfiehlt, MySQL-Arbeitslasten nicht auf Festplatten vom Typ „Standardspeicher“ und „Hyperdisk-Durchsatz“ auszuführen, da diese auf Festplatten basieren und zu einer Leistungsminderung führen können. Ab dem 10. November 2025 wird der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie unter Persistent Disk-Typen, Hyperdisks und Hyperdisk-Durchsatz.
Zuletzt aktualisiert: 10. November 2025
Sorgen Sie dafür, dass die Replikation an eine Maschine in einer anderen Zone oder Region gesendet wird.

Schweregrad:
Hoch

Details
Um eine angemessene Hochverfügbarkeit zu gewährleisten, empfehlen wir dringend, die Replikation an einen Computer in einer anderen Zone oder Region als dem primären Standort zu senden. Ab dem 10. November 2025 wird der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie unter Well-Architected Framework: Zuverlässigkeit.
Zuletzt aktualisiert: 10. November 2025
Achten Sie darauf, dass „innodb_buffer_pool_size“ den Großteil des Arbeitsspeichers der Maschine belegt.

Schweregrad:
Hoch

Details
Für eine optimale Leistung empfiehlt Google Cloud, dem Parameter „innodb_buffer_pool_size“ mindestens 50% des Arbeitsspeichers der Maschine zuzuweisen. So wird sichergestellt, dass der Pufferpool genügend Arbeitsspeicher zum Speichern von Daten und zur Verbesserung der Leistung hat. Diese Richtlinie gilt nicht für kleinere VMs mit weniger als 4 GB Gesamtspeicher, bei denen eine solche Zuweisung möglicherweise nicht möglich ist. Ab dem 10. November 2025 wird der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Zuletzt aktualisiert: 10. November 2025

OpenShift: Cost Optimization (1 Ergebnis)

Speicherpool für Festplatte prüfen

Schweregrad:
Medium

Tags: Openshift

Asset: Openshift_Cluster

Details
Wenn Sie die Google Cloud Hyperdisk-Speicherklasse mit Ihrem OpenShift-Cluster verwenden, empfehlen wir die Verwendung von Speicherpools. So können Sie Festplattenressourcen effizienter verwalten, die Leistung besser vorhersagen und die Skalierung von Blockspeicher in Ihrer OpenShift-Umgebung vereinfachen.

OpenShift: Betriebliche Effizienz (6 Ergebnisse)

Filestore prüfen

Schweregrad:
Medium

Tags: Openshift

Asset: Openshift_Cluster

Details
Für Workloads mit gemeinsam genutztem Speicher (RWX) wird empfohlen, Google Cloud Filestore zu verwenden, um eine nahtlose Infrastrukturintegration, Leistungszuverlässigkeit und automatische Lebenszyklusverwaltung in Google Cloud zu ermöglichen, wenn die erforderliche Kapazität mehr als 90 GiB beträgt.
GMP-Monitoring prüfen

Schweregrad:
Medium

Tags: Openshift, Observability, Operational Efficiency, GMP, Prometheus

Asset: Openshift_Cluster

Details
Es wird empfohlen, das Erfassen von Anwendungs-Messwerten mit Google Cloud zu konfigurieren.
Cloud Storage für verwaltete Blöcke prüfen

Schweregrad:
Medium

Tags: Openshift

Asset: Openshift_Cluster

Details
Für eine nahtlose Infrastrukturintegration, Leistungszuverlässigkeit und automatisierte Lebenszyklusverwaltung empfehlen wir, Google Cloud-Lösungen für verwalteten Blockspeicher mit Ihrem OpenShift-Cluster zu verwenden.
Prüfen Sie die Sidecar-Injektion für die Observability.

Schweregrad:
Medium

Tags: Openshift, Observability, Operational Efficiency

Asset: Openshift_Cluster

Details
OpenTelemetry Collector im Sidecar-Modus für die Anwendungstelemetrie bereitstellen, um eine bessere Isolierung der Messwerterfassung zwischen Anwendungen zu gewährleisten
Prüfe prod

Schweregrad:
Medium

Tags: Openshift

Asset: Openshift_Cluster

Details
Damit Richtlinien konsistent implementiert, Benachrichtigungen überwacht und Kosten für Ihren OpenShift-Cluster zugewiesen werden können, empfehlen wir, dem Cluster das Label production oder non-production zuzuweisen. Dieses Label gibt an, ob Ihr Cluster in einer Produktions- oder Nicht-Produktionsumgebung ausgeführt wird.
Nutzung der Secret-Verwaltung prüfen

Schweregrad:
Medium

Tags: Openshift

Asset: Openshift_Cluster

Details
Verwenden Sie Secret Manager, um vertrauliche Informationen in OpenShift-Clustern zu verarbeiten, die in Google Cloud ausgeführt werden. Mit diesem Dienst können Sie die Lebenszyklusverwaltung von Secrets zentralisieren und die Sicherheit durch eine auf der Identitäts- und Zugriffsverwaltung (Identity and Access Management, IAM) basierende Zugriffssteuerung verbessern.

OpenShift: Zuverlässigkeit (5 Ergebnisse)

Filestore Regional prüfen

Schweregrad:
Medium

Tags: Openshift

Asset: Openshift_Cluster

Details
Wenn Sie Filestore Zonal verwenden, sollten Sie Filestore Regional in Betracht ziehen, sofern die Kosten dies zulassen. Bei Filestore Regional werden Filestore-Daten zonenübergreifend repliziert, um die Datenverfügbarkeit bei Zonenausfällen zu gewährleisten.
Filestore Zonal prüfen

Schweregrad:
Medium

Tags: Openshift

Asset: Openshift_Cluster

Details
Verwenden Sie Filestore Zonal oder Regional anstelle von Filestore Basic. Filestore Zonal/Regional hat während der Wartung keine Ausfallzeiten (im Gegensatz zu Basic-Stufen) und unterstützt NFSv4, benutzerdefinierte Leistung, Instanzreplikation und Snapshots.
Prüfen Sie, ob die Knoten der HA-Steuerungsebene in mehreren Zonen vorhanden sind.

Schweregrad:
Kritisch

Tags: Openshift

Asset: Openshift_Cluster

Details
Es wird empfohlen, OpenShift-Steuerungsebenenknoten auf mindestens drei verschiedene Zonen in einer Google Cloud-Region zu verteilen, um Hochverfügbarkeit (HA) und Vorgänge auf der Verwaltungsebene auch bei zonalen Ausfällen zu gewährleisten.
HA-Worker-Knoten in mehreren Zonen prüfen

Schweregrad:
Kritisch

Tags: Openshift

Asset: Openshift_Cluster

Details
Es wird empfohlen, OpenShift-Worker-Knoten in mindestens drei verschiedenen Zonen innerhalb einer Region bereitzustellen, um eine robuste Infrastruktur zu schaffen, die zonalen Störungen standhalten kann, ohne die Verfügbarkeit gehosteter Arbeitslasten zu beeinträchtigen.
Letzten Messwert-Zeitstempel prüfen

Schweregrad:
Medium

Tags: Openshift

Asset: Openshift_Cluster

Details
Damit Ihre Auswertungsergebnisse korrekt sind, müssen die Telemetriedaten, die von Ihrem OpenShift-Cluster erfasst werden, aktuell sein. Wenn die erfassten Telemetriedaten 24 Stunden oder älter sind, sind sie veraltet und können von WLM nicht für eine zuverlässige Auswertung verwendet werden. Veraltete Messwerte deuten in der Regel darauf hin, dass der Workload-Agent falsch konfiguriert ist oder keine Verbindung zu Google Cloud herstellen kann.

OpenShift: Sicherheit (6 Ergebnisse)

Block Cloud Storage CMEK prüfen

Schweregrad:
Medium

Tags: Openshift

Asset: Openshift_Cluster

Details
Es wird empfohlen, kundenverwaltete Verschlüsselungsschlüssel (Customer-Managed Encryption Keys, CMEK) für von Google Cloud verwalteten Blockspeicher zu verwenden, um mehr Kontrolle über die Datenverschlüsselung zu haben. CMEK unterstützt den Schlüsselwiderruf, Rotationsrichtlinien und eine verbesserte Prüfbarkeit, um strenge Compliance-Anforderungen zu erfüllen.
eso etcd-Verschlüsselung prüfen

Schweregrad:
Hoch

Tags: Openshift

Asset: Openshift_Cluster

Details
Wenn der External Secrets Operator (ESO) zur Verwendung mit Google Cloud Secret Manager installiert ist, MUSS die etcd-Verschlüsselung aktiviert sein. ESO ruft Secrets aus externen Quellen ab und kann sie mit Kubernetes-Secrets synchronisieren. Wenn etcd nicht verschlüsselt ist, werden diese Secrets als Klartext gespeichert.
Secret Manager-Knoten veröffentlichen

Schweregrad:
Hoch

Tags: Openshift

Asset: Openshift_Cluster

Details
Wenn Sie Secret Manager mit dem CSI-Treiber für Secrets Store verwenden, dürfen Sie die Option ALLOW_NODE_PUBLISH_SECRET im DaemonSet des Secret Manager-Anbieters nicht verwenden. Um ein Durchsickern von Tokens zu verhindern, müssen Sie den Security Token Service verwenden.
Synchronisierung der Klasse des Secret-Anbieters prüfen

Schweregrad:
Medium

Tags: Openshift

Asset: Openshift_Cluster

Details
Wenn Sie Google Cloud Secret Manager mit dem Secrets Store CSI-Treiber verwenden, wird empfohlen, dass SecretProviderClass-Ressourcen keinen „secretObjects“-Block enthalten, damit Secrets nur im tmpfs-Speicher vorhanden sind und den Datenspeicher der Steuerungsebene nicht berühren.
Beobachtbarkeit der WLAN-Authentifizierung prüfen

Schweregrad:
Kritisch

Tags: Openshift, Security

Asset: Openshift_Cluster

Details
Es wird empfohlen, die Identitätsföderation von Arbeitslasten (Workload Identity Federation, WIF) für die OTLP-/Google Cloud-Authentifizierung zu verwenden. Statische JSON-Schlüssel (Dienstkontoschlüssel) sind riskante, langlebige Anmeldedaten. WIF ersetzt diese durch kurzlebige Tokens, die direkt in den Pod projiziert werden.
Workload Identity-Föderation prüfen

Schweregrad:
Kritisch

Tags: Openshift

Asset: Openshift_Cluster

Details
Es wird empfohlen, den OpenShift-Cluster so zu konfigurieren, dass die Workload Identity-Föderation als sichere Methode verwendet wird, um Kubernetes-Dienstkonten Zugriff auf GCP-Ressourcen ohne langlebige Schlüssel zu gewähren.

Redis: Allgemein (7 Ergebnisse)

Prüfen Sie, ob der Google Cloud-Agent für Compute-Arbeitslasten auf allen Instanzen im Bewertungsbereich korrekt eingerichtet ist.

Schweregrad:
Kritisch

Details
Auf Instanzen im Bewertungsbereich muss der Google Cloud-Agent für Computing-Arbeitslasten konfiguriert sein, damit Workload Manager-Bewertungen ausgeführt werden können. Wenn Sie den Agenten nicht richtig konfiguriert haben, können die Ergebnisse der Auswertung unvollständig oder ungenau sein. Die empfohlene Mindestversion ist 1.2.
Letzte Aktualisierung: 27. August 2025
Automatischen Neustart für VMs aktivieren, auf denen Redis-Arbeitslasten ausgeführt werden

Schweregrad:
Kritisch

Details
Damit die VM im Falle eines Fehlers automatisch neu gestartet wird, aktivieren Sie die Compute Engine-Richtlinie für den automatischen Neustart für alle VMs, auf denen eine Redis-Arbeitslast ausgeführt wird.
Letzte Aktualisierung: 27. August 2025
Hyperdisk mit minimalen IOPS und minimalem Durchsatz bereitstellen

Schweregrad:
Hoch

Details
Die standardmäßigen bereitgestellten IOPS- und Durchsatzwerte für kleine Hyperdisks sind möglicherweise zu niedrig, um eine angemessene Leistung zu garantieren. Wir empfehlen,diese Werte auf mindestens 10.000 IOPS und 1 GiB/s Durchsatz zu erhöhen. Ab dem 10. November 2025 wird der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie unter Standardleistung.
Zuletzt aktualisiert: 10. November 2025
VM-Wartungsrichtlinie für Redis-Arbeitslasten auf MIGRATE festlegen

Schweregrad:
Kritisch

Details
Damit Plattformwartungsereignisse nicht dazu führen, dass eine VM, auf der Redis-Arbeitslasten ausgeführt werden, beendet oder neu gestartet wird, muss der Parameter onHostMaintenance für die VM auf die empfohlene Option MIGRATE gesetzt werden.
Weitere Informationen finden Sie unter VM-Hostwartungsrichtlinie festlegen.
Letzte Aktualisierung: 27. August 2025
Redis-Arbeitslasten nicht auf PD Standard- oder Hyperdisk Throughput-Laufwerkstypen ausführen

Schweregrad:
Hoch

Details
Google Cloud empfiehlt, Redis-Arbeitslasten nicht auf den Laufwerkstypen „PD Standard“ und „Hyperdisk Throughput“ auszuführen, da diese auf Festplatten basieren und zu einer Leistungsminderung führen können. Ab dem 10. November 2025 wird der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie unter Persistent Disk-Typen, Hyperdisks und Hyperdisk-Durchsatz.
Zuletzt aktualisiert: 10. November 2025
Sorgen Sie dafür, dass die Replikation an eine Maschine in einer anderen Zone oder Region gesendet wird.

Schweregrad:
Hoch

Details
Um eine angemessene Hochverfügbarkeit zu gewährleisten, empfehlen wir dringend, die Replikation an einen Computer in einer anderen Zone oder Region als dem primären Standort zu senden. Ab dem 10. November 2025 wird der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie unter Well-Architected Framework: Zuverlässigkeit.
Zuletzt aktualisiert: 10. November 2025
Verwenden Sie die Replikation nicht ohne Persistenz.

Schweregrad:
Hoch

Details
Durch die Persistenz wird sichergestellt, dass das System die an die primäre Instanz gesendeten Daten in einen langlebigen Speicher schreibt. In einem replizierten System ist die Auswahl der richtigen Persistenzstrategie entscheidend, um Datenverlust im Falle eines Fehlers zu verhindern. Wenn Sie keine Persistenzoptionen verwenden, empfiehlt Google Cloud, den systemd-Redis-Dienst zu deaktivieren, damit er nicht automatisch neu gestartet wird. So lassen sich potenzielle Probleme mit der Datenintegrität vermeiden. Ab dem 10. November 2025 wird der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Zuletzt aktualisiert: 10. November 2025

SAP: Allgemein (14 Ergebnisse)

VERALTET: Google Cloud-Agent für SAP auf allen VMs installieren, auf denen SAP-Arbeitslasten ausgeführt werden

Schweregrad:
Hoch

Details
Diese Regel ist veraltet. Sie wurde durch die Regel „Prüfen, ob der Google Cloud-Agent für SAP auf allen Instanzen im Bewertungsbereich richtig eingerichtet ist“ ersetzt, die standardmäßig kostenlos bereitgestellt wird. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Letzte Aktualisierung: 27. Oktober 2025
SAP General: Configure OS settings for X4 instances

Schweregrad:
Kritisch

Details
Damit X4-Instanzen für die Unterstützung von SAP-Arbeitslasten optimiert sind, müssen Sie das von Google Cloud-Agent für SAP bereitgestellte Befehlszeilentool ausführen, um zu prüfen, ob die Betriebssystemkonfiguration den Best-Practice-Empfehlungen entspricht. Ab dem 27. Oktober 2025 wird der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Kritisch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie im SAP HANA-Planungsleitfaden unter Aufgaben nach der Bereitstellung.
Letzte Aktualisierung: 27. Oktober 2025
Prüfen Sie, ob der Google Cloud-Agent für SAP auf allen Instanzen im Bewertungsbereich korrekt eingerichtet ist.

Schweregrad:
Kritisch

Details
Auf Instanzen im Bewertungsbereich muss der Agent für SAP für die Workload Manager-Bewertung konfiguriert sein. Wenn der Agent nicht richtig eingerichtet wurde, sind die Bewertungsergebnisse möglicherweise unvollständig oder ungenau. Diese Prüfung ist standardmäßig und kostenlos enthalten.
Weitere Informationen finden Sie im Planungsleitfaden für den Google Cloud-Agent für SAP und dann unter Agent-Version prüfen.
Letzte Aktualisierung: 18. März 2026
SAP allgemein: SAP-Anwendungsserver und SAP Central Services müssen sich in verschiedenen Zonen befinden.

Schweregrad:
Hoch

Details
Um Zonenfehlern vorzubeugen, empfiehlt Google Cloud, dass mindestens eine Instanz, auf der ein SAP-Anwendungsserver gehostet wird, in einer anderen Zone als die SAP Central Services ausgeführt wird. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie im Leitfaden zur Notfallwiederherstellung für SAP HANA.
Letzte Aktualisierung: 27. Oktober 2025
SAP General: Uneingeschränkten Zugriff auf alle Cloud APIs zulassen

Schweregrad:
Medium

Details
Google Cloud empfiehlt, dass für Compute Engine-Instanzen der Cloud API-Zugriffsbereich auf Allow full access to all Cloud APIs festgelegt wird und die IAM-Berechtigungen des Instanzdienstkontos verwendet werden, um den Zugriff auf Google Cloud-Ressourcen zu steuern. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Vorsicht“ zu „Mittel“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie im Installationsleitfaden für den Agent für SAP im Abschnitt Zugriff auf Google Cloud APIs aktivieren.
Letzte Aktualisierung: 27. Oktober 2025
SAP Allgemein: Löschschutz für alle VMs aktivieren, auf denen SAP-Arbeitslasten ausgeführt werden

Schweregrad:
Hoch

Details
Compute-Instanzen, für die die Option deletionProtection aktiviert ist, sind vor versehentlichem Löschen geschützt. Google Cloud empfiehlt, den Löschschutz für alle Instanzen zu aktivieren, die für die Ausführung von SAP-Arbeitslasten wichtig sind. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der Compute Engine-Dokumentation unter Versehentliches Löschen von VMs verhindern.
Letzte Aktualisierung: 27. Oktober 2025
SAP Allgemein: SAP-Anwendungsserverprozesse dürfen nicht auf Compute Engine-Instanzen ausgeführt werden, die als (A)SCS oder ERS dienen.

Schweregrad:
Hoch

Details
Um potenzielle Leistungsprobleme zu vermeiden und sich vor bestimmten Fehlerszenarien in einem von Pacemaker verwalteten Hochverfügbarkeitscluster zu schützen, empfiehlt Google Cloud, die SAP-Anwendungsserverprozesse nicht auf denselben Compute-Instanzen auszuführen, auf denen die SAP Central Services oder der Enqueue Replication Server (ERS) gehostet werden. Das liegt daran, dass Anwendungsserver nicht vom Pacemaker-Cluster verwaltet werden und bei einem Ausfall nicht zu einer neuen VM migriert werden. Ab dem 27. Oktober 2025 wurde die Schwere dieser Bewertungsregel von „Vorsicht“ zu „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie im Abschnitt Verteilte Bereitstellung mit Hochverfügbarkeit in der Referenzarchitektur für SAP in Google Cloud.
Letzte Aktualisierung: 27. Oktober 2025
SAP Allgemein: Automatischen Neustart für SAP-Arbeitslasten aktivieren

Schweregrad:
Kritisch

Details
Damit die VM im Falle eines Fehlers automatisch neu gestartet wird, aktivieren Sie die Compute Engine-Richtlinie für den automatischen Neustart für alle VMs, auf denen eine SAP-Arbeitslast ausgeführt wird.
Weitere Informationen finden Sie unter VM-Hostwartungsrichtlinie festlegen.
Letzte Aktualisierung: 18. April 2025
Allgemein für SAP: Wartungsrichtlinie für VMs für SAP-Arbeitslasten auf MIGRATE festlegen

Schweregrad:
Kritisch

MIGRATE for SAP workloads">Details
Damit Plattformwartungsereignisse nicht dazu führen, dass eine VM, auf der SAP-Arbeitslasten ausgeführt werden, beendet oder neu gestartet wird, muss der Parameter onHostMaintenance für die VM auf die empfohlene Option MIGRATE festgelegt werden. Diese Empfehlung gilt nicht für X4- oder C3-Metal-Instanzen.
Weitere Informationen finden Sie unter VM-Hostwartungsrichtlinie festlegen.
Letzte Aktualisierung: 18. April 2025
Allgemein für SAP: Legen Sie für die Migration von Compute Engine-Instanzen über Maschinenreihen hinweg die CPU-Plattform auf „Automatisch“ fest.

Schweregrad:
Medium

Details
Bei der Migration von Compute Engine-Instanzen über Maschinenserien hinweg empfiehlt Google Cloud, die CPU-Plattform vor der Migration auf „Automatisch“ zu setzen. Das Festlegen einer bestimmten CPU-Plattform ist nur dann ratsam, wenn Sie aus Leistungsgründen oder aus Gründen der Kompatibilität mit erweiterten Befehlssätzen denselben Typ für die Zielmaschine verwenden möchten. Ab dem 27. Oktober 2025 wird die Schwere dieser Bewertungsregel von „Vorsicht“ auf „Mittel“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in den Compute Engine-Anleitungen zu CPU-Plattformen, zum Angeben einer Mindest-CPU-Plattform für VM-Instanzen und zum Entfernen einer Mindest-CPU-Plattform.
Letzte Aktualisierung: 27. Oktober 2025
SAP Allgemein: UEFI-fähige Betriebssystem-Images sind für Server der neueren Generation erforderlich

Schweregrad:
Hoch

Details
Aktivieren Sie den UEFI-Boot für die VM, indem Sie ein benutzerdefiniertes Image mit der Gastbetriebssystemfunktion UEFI_COMPATIBLE erstellen oder ein vorkonfiguriertes UEFI-kompatibles Image auswählen. UEFI-Kompatibilität ist eine Voraussetzung für Maschinentypen der neueren Generation in Google Cloud. Ab dem 27. Oktober 2025 wurde die Schwere dieser Bewertungsregel von „Vorsicht“ zu „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in den Compute Engine-Leitfäden Details zu Betriebssystemen, Speicheroptimierte Maschinenfamilie für Compute Engine und Funktionen des Gastbetriebssystems aktivieren.
Letzte Aktualisierung: 27. Oktober 2025
SAP allgemein: Prüfen, ob der Auslagerungsspeicher den SAP-Empfehlungen entspricht

Schweregrad:
Hoch

Details
Durch die Konfiguration des Auslagerungsspeichers auf Linux-basierten SAP-Systemen wird die Leistung durch eine effizientere Verwaltung des Arbeitsspeichers verbessert. Die SAP-Empfehlungen für den Auslagerungsspeicher basieren auf dem verfügbaren physischen Arbeitsspeicher sowie der Rolle des Systems als Teil der Datenbank- oder Anwendungsebene. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in den SAP-Hinweisen Empfehlung für den Auslagerungsspeicher für Linux und HANA-Dienste verwenden großen SWAP-Speicher.
Letzte Aktualisierung: 27. Oktober 2025
SAP allgemein: SELinux-Konfiguration für Compute Engine-Instanzen prüfen, auf denen SAP-Arbeitslasten ausgeführt werden

Schweregrad:
Kritisch

Details
Linux kann SELinux für erweiterte Sicherheitsfunktionen verwenden, aber es kann zu Konflikten mit SAP-Serverkomponenten kommen. Legen Sie für SAP-Implementierungen SELinux auf den Modus Disabled oder Permissive fest. Wenn Sie SELinux deaktivieren, ist ein Systemneustart erforderlich. Der permissive Modus kann ohne Neustart festgelegt werden. Diese Konfiguration sorgt für Kompatibilität mit SAP-Tools, die nicht SELinux-kompatibel sind.
Weitere Informationen finden Sie unter SAP-Instanz oder Host-Agent-Start schlägt aufgrund von SELinux fehl und SELinux in den permissiven Modus ändern.
Zuletzt aktualisiert: 12. Juni 2025
SAP Allgemein: Aktivieren Sie eine Lösung zur Systemoptimierung auf allen VMs, auf denen SAP-Arbeitslasten ausgeführt werden.

Schweregrad:
Hoch
Details
Unter Linux können Systemoptimierungsdienste dazu beitragen, die Leistung und Stabilität von SAP-Arbeitslasten zu optimieren, indem empfohlene Parameter für das SAP-System festgelegt werden. Google Cloud empfiehlt, den Dienst sapconf oder saptune auf SUSE Linux Enterprise Server oder den Dienst tuned auf Red Hat Enterprise Linux zu aktivieren. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der Anleitung für Ihr Betriebssystem:
- Informationen zu RHEL finden Sie im SAP-Hinweis Red Hat tuned-profiles for SAP.
- Informationen zu SLES finden Sie im SUSE-Leitfaden Systeme mit saptune abstimmen.
Letzte Aktualisierung: 27. Oktober 2025

SAP: HANA (10 Ergebnisse)

SAP HANA: Zertifiziertes Betriebssystem verwenden

Schweregrad:
Kritisch

Details
Wenn Sie Support von SAP und Google Cloud für SAP HANA auf einer Compute Engine-VM erhalten möchten, müssen Sie eine Betriebssystemversion verwenden, die von SAP und Google Cloud für die Verwendung mit SAP HANA zertifiziert ist.
Weitere Informationen finden Sie unter Betriebssystemsupport für SAP HANA in Google Cloud.
Zuletzt aktualisiert: 18. Februar 2026
SAP HANA: Zertifizierten benutzerdefinierten VM-Typ verwenden

Schweregrad:
Kritisch

Details
Wenn Sie Unterstützung von SAP und Google Cloud für SAP HANA auf einer benutzerdefinierten Compute Engine-VM erhalten möchten, müssen Sie einen benutzerdefinierten VM-Typ verwenden, der von SAP und Google Cloud für die Verwendung mit SAP HANA zertifiziert ist.
Weitere Informationen finden Sie unter Zertifizierte benutzerdefinierte Maschinentypen für SAP HANA.
Letzte Aktualisierung: 9. April 2025
SAP HANA: Ordnen Sie die SAP HANA-Daten- und ‑Log-Volumes demselben Typ von SSD-basiertem nichtflüchtigem Speicher zu.

Schweregrad:
Kritisch

Details
Aus Leistungsgründen müssen die SAP HANA-Volumes vom Typ /hana/data und /hana/log demselben Typ von SSD-basiertem nichtflüchtigem Speicher zugeordnet werden. Sie können beide Volumes demselben einzelnen nichtflüchtigen Speicher zuordnen. Wenn für beide Volumes derselbe nichtflüchtige Speichertyp verwendet wird, können Sie jedes Volume einem separaten nichtflüchtigen Speicher zuordnen.
Weitere Informationen finden Sie im Planungsleitfaden für SAP HANA.
Letzte Aktualisierung: 9. April 2025
SAP HANA: Zertifizierten VM-Typ verwenden

Schweregrad:
Kritisch

Details
Wenn Sie Support von SAP und Google Cloud für SAP HANA auf einer Compute Engine-VM erhalten möchten, müssen Sie einen VM-Typ verwenden, der von SAP und Google Cloud für die Verwendung mit SAP HANA zertifiziert ist.
Weitere Informationen finden Sie unter Zertifizierte Compute Engine-VMs für SAP HANA.
Zuletzt aktualisiert: 18. Februar 2026
SAP HANA: SAP-Mindestgrößen für SSD-basierte nichtflüchtige Speicheroptionen

Schweregrad:
Kritisch

Details
Für Blockspeicher benötigt SAP HANA einen Mindestdurchsatz von 400 MB pro Sekunde. Wenn Sie SSD- oder abgestimmte nichtflüchtige Speicher verwenden, verwenden Sie die Mindestgröße für diesen nichtflüchtigen Speichertyp, um den erforderlichen Durchsatz zu erzielen. Wenn Sie extrem nichtflüchtige Speicher verwenden, stellen Sie mindestens 20.000 IOPS bereit.
Weitere Informationen finden Sie im SAP HANA-Planungsleitfaden unter Nichtflüchtiger Speicher.
Letzte Aktualisierung: 18. April 2025
SAP HANA: Sicherungen der SAP HANA-Datenbank prüfen

Schweregrad:
Kritisch

Details
Durch regelmäßiges Erstellen von Sicherungen und Implementieren einer geeigneten Sicherungsstrategie können Sie die SAP HANA-Datenbank in Situationen wie Datenbeschädigung oder ‑verlust aufgrund eines ungeplanten Ausfalls oder Fehlers in der Infrastruktur wiederherstellen. Google Cloud empfiehlt eine Sicherungsstrategie, die mindestens eine vollständige Systemsicherung Ihrer SAP HANA-Datenbank pro Woche und mindestens eine Delta- oder Snapshot-basierte Sicherung des SAP HANA-Daten-Volumes pro Tag umfasst. Tägliche vollständige Systemsicherungen können auch als Ersatz für Delta- oder Snapshot-basierte Sicherungen verwendet werden. Häufigere Sicherungen können erforderlich sein, um bestimmte RPO-Anforderungen zu erfüllen.
Weitere Informationen finden Sie in der Betriebsanleitung für SAP HANA unter Sicherung und Wiederherstellung oder unter Sicherung und Wiederherstellung für SAP HANA auf Bare-Metal-Instanzen.
Letzte Aktualisierung: 18. April 2025
SAP HANA: Achten Sie darauf, dass sich die primären SAP- und DR-Standorte in verschiedenen Regionen befinden.

Schweregrad:
Hoch

Details
Zum Schutz vor regionenweiten Ausfällen und zur Aufrechterhaltung der Geschäftskontinuität müssen der primäre SAP HANA-Knoten und die Notfallwiederherstellungsstandorte in verschiedenen geografischen Regionen bereitgestellt werden. Dieser Ansatz mindert das Risiko von katastrophalen Ereignissen, die sich auf die in einer einzelnen Region bereitgestellten Komponenten auswirken. So werden potenzielle Datenverluste und Ausfallzeiten über das hinaus reduziert, was die Redundanz auf Zonenebene bieten kann. Ab dem 27. Oktober 2025 wird der Schweregrad dieser Bewertungsregel von „Kritisch“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie im Leitfaden zur Notfallwiederherstellung für SAP HANA.
SAP HANA: Schnellen SAP HANA-Neustart aktivieren

Schweregrad:
Hoch

Details
Compute Engine enthält Funktionen, die auf der Memory RAS-Technologie von Intel basieren und die Auswirkungen aller Speicherfehler, die andernfalls zu VM-Abstürzen führen würden, erheblich reduzieren können. In Kombination mit der Funktion „Fast Restart“ von SAP HANA (verfügbar seit HANA 2.0 SP04) können SAP HANA-Systeme sich von solchen Fehlern erholen. Diese Konfiguration wird für alle speicheroptimierten VM-Familien empfohlen. Ab dem 27. Oktober 2025 wird der Schweregrad dieser Bewertungsregel von „Kritisch“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie unter SAP HANA Fast Restart-Option.
Letzte Aktualisierung: 27. Oktober 2025
SAP HANA: Empfohlene Konfigurationseinstellungen für Hyperdisk verwenden

Schweregrad:
Kritisch

Details
Damit die mit SAP HANA verwendeten Hyperdisk-Volumes eine optimale Leistung erzielen, müssen Sie die von Google Cloud empfohlenen Werte für die folgenden SAP HANA-Eigenschaften festlegen: num_completion_queues, num_submit_queues, tables_preloaded_in_parallel und load_table_numa_aware.
Weitere Informationen finden Sie im SAP HANA-Planungsleitfaden unter Hyperdisk-Leistung.
Letzte Aktualisierung: 18. April 2025
SAP HANA: Verwenden Sie für jedes SAP HANA-Dateisystem eine separate Festplatte.

Schweregrad:
Hoch

Details
Für eine optimale Leistung Ihres SAP HANA-Systems empfiehlt Google Cloud, für jedes SAP HANA-Dateisystem ein separates Laufwerk zu verwenden. Die Laufwerke, auf denen die SAP HANA-Daten- und -Log-Volumes gehostet werden, dürfen nicht für andere Funktionen verwendet werden, z. B. als Installationspfad oder Systeminstanzpfad. Diese Empfehlung gilt auch für das SAP HANA-Sicherungsvolume, wenn Sie Ihre Sicherungen auf einem Laufwerk speichern. Es wird auch empfohlen, Dateisysteme auf separaten Festplatten zu hosten, damit Sie Datensnapshots als Sicherungs- und Wiederherstellungsoption verwenden können. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie im Abschnitt Nichtflüchtiger Speicher im Planungsleitfaden für SAP HANA.
Letzte Aktualisierung: 27. Oktober 2025

SAP: HANA Insights (18 Ergebnisse)

SAP HANA-Wartung: Prüfen Sie, ob der Parameter log_disk_usage_reclaim_threshold richtig konfiguriert ist.

Schweregrad:
Hoch

Parameter „log_disk_usage_reclaim_threshold“">Details
Wenn die Festplattennutzung des Dateisystems der Logpartition („usedDiskSpace“ in Prozent von „totalDiskSpace“) über dem angegebenen Schwellenwert liegt, löst der Logger automatisch eine interne „Log-Freigabe“ aus (0 = deaktiviert). Standardmäßig werden alle kostenlosen Log-Segmente vom Logger zur Wiederverwendung im Cache gespeichert. Segmente werden nur entfernt, wenn eine Rückforderung explizit über „ALTER SYSTEM RECLAIM LOG“ ausgelöst wird oder wenn auf Logger-Ebene ein „DiskFull“-/„LogFull“-Ereignis auftritt. Mit diesem Schwellenwertparameter kann die Rückforderung intern ausgelöst werden, bevor eine Situation vom Typ „DiskFull“ / „LogFull“ eintritt. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der SAP HANA-Konfigurationsparameterreferenz unter log_disk_usage_reclaim_threshold.
Letzte Aktualisierung: 27. Oktober 2025
SAP HANA-Wartung: Regelmäßige Bereinigung des Sicherungskatalogs ist erforderlich, um die Sicherungsleistung zu verbessern.

Schweregrad:
Hoch

Details
Der Sicherungskatalog kann im Laufe der Zeit sehr groß werden, insbesondere wenn er nicht regelmäßig bereinigt wird. Dies kann zu Leistungsproblemen führen und es erschweren, die benötigten Sicherungen zu finden. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der SAP-Wissensdatenbank unter SAP HANA multiple issue caused by large Log Backups due to large Backup Catalog size.
Letzte Aktualisierung: 27. Oktober 2025
SAP HANA – Hochverfügbarkeit und Notfallwiederherstellung: Daten- und Logkomprimierung aktivieren

Schweregrad:
Hoch

Details
Die Daten- und Logkomprimierung kann für die anfängliche Übertragung der vollständigen Daten, die nachfolgende Übertragung der Deltadaten sowie für die kontinuierliche Übertragung von Logs verwendet werden. Die Daten- und Logkomprimierung kann konfiguriert werden, um die Menge des Traffics zwischen Systemen zu reduzieren, insbesondere über lange Distanzen (z. B. bei Verwendung des ASYNC-Replikationsmodus). Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie im Leitfaden zur SAP HANA-Systemreplikation unter Daten- und Protokollkomprimierung.
Letzte Aktualisierung: 27. Oktober 2025
SAP HANA – Hochverfügbarkeit und Notfallwiederherstellung: Verwenden Sie den empfohlenen Wert für den Parameter datashipping_parallel_channels .

Schweregrad:
Hoch

Parameter „datashipping_parallel_channels“">Details
Der SAP HANA-Parameter datashipping_parallel_channels definiert die Anzahl der Netzwerkkanäle, die für den vollständigen oder Delta-Datentransport verwendet werden. Der Standardwert ist 4. Das bedeutet, dass vier Netzwerkkanäle zum Übertragen von Daten verwendet werden. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie im Administratorhandbuch für SAP HANA unter datashipping_parallel_channels.
Letzte Aktualisierung: 27. Oktober 2025
SAP HANA-Leistung: Prüfen Sie, ob die Parameter für die automatische Speicherbereinigung richtig konfiguriert sind.

Schweregrad:
Hoch

Details
In Datenbanken mit einem Zuweisungslimit von mehr als 235 GB müssen die Parameter gc_unused_memory_threshold_rel und gc_unused_memory_threshold_abs konfiguriert werden. Diese Parameter tragen dazu bei, das Risiko von Problemen (z.B. aufgrund von MemoryReclaim-Wartezeiten) zu verringern, wenn die automatische Speicherbereinigung reaktiv erfolgt. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der SAP-Wissensdatenbank unter SAP HANA Garbage Collection.
Letzte Aktualisierung: 27. Oktober 2025
SAP HANA-Leistung: Aktivieren Sie den Parameter load_table_numa_aware

Schweregrad:
Hoch

Parameter „load_table_numa_aware“">Details
Um die Leistung von NUMA-basierten SAP HANA-Systemen zu verbessern, aktivieren Sie den Parameter load_table_numa_aware. Wenn dieser Parameter aktiviert ist, optimiert SAP HANA die Datenplatzierung über NUMA-Knoten hinweg während des Ladens von Tabellen. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der SAP-Wissensdatenbank unter SAP HANA Non-Uniform Memory Access (NUMA).
Letzte Aktualisierung: 27. Oktober 2025
SAP HANA-Wartung: Status der HANA-Lizenz prüfen

Schweregrad:
Hoch

Details
Für den Betrieb auf einem HANA-System ist ein permanenter Lizenzschlüssel erforderlich. Wenn ein dauerhafter Lizenzschlüssel abläuft, wird automatisch ein (zweiter) temporärer Lizenzschlüssel generiert, der 28 Tage lang gültig ist. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der SAP-Wissensdatenbank unter License Keys for SAP HANA Database.
Letzte Aktualisierung: 27. Oktober 2025
SAP HANA-Wartung: Logmodus prüfen

Schweregrad:
Kritisch

Details
Wenn log_mode auf „normal“ gesetzt ist, erstellt HANA reguläre Logsicherungen, die eine Wiederherstellung zu einem bestimmten Zeitpunkt ermöglichen (Wiederherstellung bis zum Moment vor einem Fehler). Wenn log_mode auf „overwrite“ gesetzt ist, werden keine Logsicherungen erstellt. Sie können die Datenbank nur auf die letzte Datensicherung zurücksetzen. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Kritisch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie im Administratorhandbuch für SAP HANA im Abschnitt Log Modes (Protokollierungsmodi).
Letzte Aktualisierung: 27. Oktober 2025
SAP HANA – Hochverfügbarkeit und Notfallwiederherstellung: Legen Sie logshipping_async_buffer_size auf dem primären Standort fest.

Schweregrad:
Hoch

logshipping_async_buffer_size auf der primären Website">Details
Wenn die Systemreplikation während einer vollständigen Datenübertragung unterbrochen wird, muss die Replikation von vorn beginnen. Um das Risiko von Pufferüberläufen zu verringern, kann der Parameter logshipping_async_buffer_size auf der primären Website auf den Wert 1 GB angepasst werden. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der SAP-Wissensdatenbank unter SAP HANA-Systemreplikation.
Letzte Aktualisierung: 27. Oktober 2025
SAP HANA – Hochverfügbarkeit und Notfallwiederherstellung: Verwenden Sie den empfohlenen Wert für den Parameter logshipping_max_retention_size .

Schweregrad:
Medium

Parameter „logshipping_max_retention_size“">Details
Im Kontext der Logreplay-Betriebsmodi definiert der SAP HANA-Parameter logshipping_max_retention_size die maximale Anzahl von Redo-Logs, die auf der primären Website für die Synchronisierung mit der sekundären Website aufbewahrt werden (Standard: 1 TB). Wenn das zugrunde liegende Dateisystem nicht groß genug ist, um die konfigurierte Aufbewahrungsgröße aufzunehmen, kann es im schlimmsten Fall passieren, dass das Dateisystem voll ist und die primäre Website zum Stillstand kommt.
Weitere Informationen finden Sie in der SAP-Wissensdatenbank unter SAP HANA-Systemreplikation.
Zuletzt aktualisiert: 17. April 2025
SAP HANA-Leistung: Prüfen Sie, ob der Parameter max_cpuload_for_parallel_merge richtig konfiguriert ist.

Schweregrad:
Hoch

Parameter „max_cpuload_for_parallel_merge“">Details
Standardmäßig können mehrere automatische Zusammenführungen (bis zu num_merge_threads) verschiedener Tabellen oder Partitionen bis zu einem CPU-Auslastungslimit von 45 % ausgeführt werden. Sobald dieses Limit überschritten wird, wird jeweils nur eine automatische Zusammenführung ausgeführt. Im schlimmsten Fall kann dies zu einem erhöhten Rückstand bei automatischen Zusammenführungen führen, obwohl noch genügend Systemressourcen für die Verarbeitung paralleler automatischer Zusammenführungen verfügbar wären. In diesem Fall können Sie diesen Parameter auf einen Wert erhöhen, der sowohl höher als die übliche CPU-Auslastung als auch niedriger als ein kritischer Grenzwert ist, der es ermöglichen würde, dass durch automatische Zusammenführungen Ressourcenengpässe entstehen. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der SAP-Wissensdatenbank unter SAP HANA Delta Merges.
Letzte Aktualisierung: 27. Oktober 2025
SAP HANA-Scale-out: Prüfen Sie, ob alle Hosts in einer Scale-out-Umgebung eine konsistente Betriebssystem- und Kernelversion haben.

Schweregrad:
Kritisch

Details
In einer SAP HANA-Umgebung mit horizontaler Skalierung ist es für optimale Leistung und Stabilität entscheidend, dass Betriebssystem und Kernel auf allen Knoten des Systems konsistent sind. Ab dem 27. Oktober 2025 wird der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Kritisch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der SAP-Wissensdatenbank unter SAP HANA: Supported Operating Systems.
Letzte Aktualisierung: 27. Oktober 2025
SAP HANA-Leistung: Prüfen Sie, ob der Parameter parallel_merge_threads richtig konfiguriert ist.

Schweregrad:
Hoch

Parameter „parallel_merge_threads“">Details
Wenn parallel_merge_threads auf einen bestimmten Wert festgelegt ist, wird dieser Wert für die Parallelität verwendet, während token_per_table die Anzahl der verbrauchten Tokens definiert. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der SAP-Wissensdatenbank unter SAP HANA Delta Merges.
Letzte Aktualisierung: 27. Oktober 2025
SAP HANA-Wartung: Prüfen Sie, ob der Parameter automatic_reorg_threshold richtig konfiguriert ist.

Schweregrad:
Medium

Parameter „automatic_reorg_threshold“">Details
Der Parameter automatic_reorg_threshold gibt an, wann die automatische Reorganisation von Rowstore-Tabellen ausgelöst wird. Wenn der Wert auf 30(Standard) festgelegt ist, wird die automatische Neuorganisation nicht so oft ausgelöst, wie es möglich wäre.
Weitere Informationen finden Sie in der SAP-Wissensdatenbank unter Incorrect SAP HANA Alert 71: 'Row store fragmentation'.
Letzte Aktualisierung: 21. April 2025
SAP HANA-Leistung: Standard- und Worker-Stack-Größenparameter prüfen

Schweregrad:
Medium

Details
Die Thread-Stack-Parameter default_stack_size_kb und worker_stack_size_kb bestimmen, auf welche Daten ein neu erstellter Thread zugreifen kann.
Weitere Informationen finden Sie in der SAP Knowledge Base unter Indexserver Crash Due to STACK OVERFLOW in Evaluator::ExpressionParser.
Zuletzt aktualisiert: 22. April 2025
SAP HANA-Wartung: Zeitpunkt der letzten Tabellenkonsistenzprüfung prüfen

Schweregrad:
Hoch

Details
Regelmäßige Konsistenzprüfungen sind erforderlich, um verborgene Beschädigungen so früh wie möglich zu erkennen. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der SAP-Wissensdatenbank unter SAP HANA Consistency Checks and Corruptions.
Letzte Aktualisierung: 27. Oktober 2025
SAP HANA-Leistung: Prüfen Sie, ob der Parameter tables_preloaded_in_parallel in X4-VMs richtig konfiguriert ist.

Schweregrad:
Medium

tables_preloaded_in_parallel parameter in X4 VMs">Details
Mit dem Parameter tables_preloaded_in_parallel können Sie die Anzahl der Tabellen steuern, die parallel geladen werden, nachdem Sie Ihr SAP HANA-System gestartet haben. So können Sie die Leistung flexibel optimieren. Wir empfehlen einen Mindestwert von 32.
Weitere Informationen finden Sie in der SAP-Wissensdatenbank unter SAP HANA Loads and Unloads.
Zuletzt aktualisiert: 22. April 2025
SAP HANA-System mit horizontaler Skalierung: Prüfen Sie, ob alle Hosts in einer Umgebung mit horizontaler Skalierung eine einheitliche Zeitzone haben.

Schweregrad:
Kritisch

Details
In einer SAP HANA-Umgebung mit horizontaler Skalierung ist es wichtig, dass die Zeitzonen konsistent sind, um die Systemstabilität zu gewährleisten. Ab dem 27. Oktober 2025 wird der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Kritisch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der SAP-Wissensdatenbank unter Check HANA DB for DST switch.
Letzte Aktualisierung: 27. Oktober 2025

SAP: HANA Security Best Practices (19 Ergebnisse)

SAP HANA-Sicherheit: Verschlüsselung für Daten- und Logsicherungen aktivieren

Schweregrad:
Hoch

Details
Durch die Verschlüsselung von Sicherungen werden diese vor unbefugtem Zugriff geschützt. Die Sicherungsdaten werden verschlüsselt, bevor sie an den Sicherungsspeicherort übertragen werden. Das bedeutet, dass ein unbefugter Nutzer, der Zugriff auf die Sicherungsdaten erhält, diese ohne den Entschlüsselungsschlüssel nicht lesen kann. Dies gilt sowohl für dateibasierte Sicherungen als auch für Sicherungen, die mit Sicherungstools von Drittanbietern erstellt wurden. Google Cloud empfiehlt, die Sicherungsverschlüsselung im SAP HANA-System zu aktivieren. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der Erklärung zur Verschlüsselung von Systemsicherungen im SAP HANA-Referenzhandbuch.
Letzte Aktualisierung: 27. Oktober 2025
SAP HANA-Sicherheit: Schutz vor Nutzern mit DEVELOPMENT-Berechtigungen in einer Produktionsumgebung

Schweregrad:
Hoch

ENTWICKLUNG-Berechtigungen in einer Produktionsumgebung">Details
Mindestens ein Nutzer oder eine Rolle hat die Berechtigung DEVELOPMENT in der Produktionsdatenbank. Google Cloud empfiehlt, dass Sie keine Nutzer mit diesem Recht haben. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie im Abschnitt DEVELOPMENT-Berechtigung in den SAP HANA-Sicherheitschecklisten und ‑empfehlungen.
Letzte Aktualisierung: 27. Oktober 2025
SAP HANA-Sicherheit: Nutzer müssen ihr anfängliches Passwort ändern

Schweregrad:
Medium

Details
Der Parameter force_first_password_change in SAP HANA gibt an, ob Nutzer ihr Passwort nach der Erstellung ändern müssen. Google Cloud empfiehlt, den Parameter force_first_password_change zu aktivieren.
Weitere Informationen finden Sie im SAP HANA One-Sicherheitsleitfaden unter Konfigurationsoptionen für die Passwortrichtlinie.
Zuletzt aktualisiert: 23. April 2025
SAP HANA-Sicherheit: Schutz vor Nutzern mit SAP_INTERNAL_HANA_SUPPORT-Berechtigungen in der Produktionsumgebung

Schweregrad:
Hoch

SAP_INTERNAL_HANA_SUPPORT privileges in production environment">Details
Mindestens ein Konto hat die Rolle SAP_INTERNAL_HANA_SUPPORT. Google Cloud empfiehlt, dass Sie keine Nutzer mit diesem Recht haben. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie unter SAP_INTERNAL_HANA_SUPPORT-Rolle in SAP HANA-Sicherheitschecklisten und ‑empfehlungen.
Letzte Aktualisierung: 27. Oktober 2025
SAP HANA-Sicherheit: Prüfen Sie, ob der Parameter last_used_passwords richtig konfiguriert ist.

Schweregrad:
Medium

Parameter „last_used_passwords“">Details
Die Wiederverwendung von Passwörtern ist eine häufige Sicherheitslücke. Der Parameter last_used_passwords in SAP HANA verhindert, dass Nutzer ihre letzten Passwörter wiederverwenden. Der Parameter gibt die Anzahl der vorherigen Passwörter an, die ein Nutzer beim Ändern seines aktuellen Passworts nicht verwenden darf. Google Cloud empfiehlt, last_used_passwords auf einen Wert von 5 oder höher festzulegen.
Weitere Informationen finden Sie im SAP HANA One-Sicherheitsleitfaden unter Konfigurationsoptionen für die Passwortrichtlinie.
Zuletzt aktualisiert: 23. April 2025
SAP HANA-Sicherheit: Verschlüsselung von Logvolumen aktivieren

Schweregrad:
Hoch

Details
Die Verschlüsselung schützt SAP HANA-Logs vor unbefugtem Zugriff. Eine Möglichkeit dazu ist die Verschlüsselung der Logs auf Betriebssystemebene. SAP HANA unterstützt auch die Verschlüsselung in der Persistenzebene, was für zusätzliche Sicherheit sorgen kann. Google Cloud empfiehlt, Log-Volumes zu verschlüsseln. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in den SAP HANA-Sicherheitschecklisten und ‑empfehlungen unter Empfehlungen für die Datenverschlüsselung.
Letzte Aktualisierung: 27. Oktober 2025
SAP HANA-Sicherheit: Prüfen Sie, ob der Parameter maximum_invalid_connect_attempts richtig konfiguriert ist.

Schweregrad:
Medium

Parameter „maximum_invalid_connect_attempts“">Details
Der Parameter maximum_invalid_connect_attempts in SAP HANA gibt die maximale Anzahl fehlgeschlagener Anmeldeversuche an, die möglich sind. Der Nutzer wird gesperrt, sobald diese Anzahl erreicht ist. Google Cloud empfiehlt, maximum_invalid_connect_attempts auf einen Wert von 6 oder höher festzulegen.
Weitere Informationen finden Sie im SAP HANA One-Sicherheitsleitfaden unter Konfigurationsoptionen für die Passwortrichtlinie.
Zuletzt aktualisiert: 23. April 2025
SAP HANA-Sicherheit: Prüfen Sie, ob der Parameter maximum_password_lifetime richtig konfiguriert ist.

Schweregrad:
Medium

Parameter „maximum_password_lifetime“">Details
Der Parameter maximum_password_lifetime in SAP HANA gibt die Anzahl der Tage an, nach denen das Passwort eines Nutzers abläuft. Mit dem Parameter werden Sicherheitsmaßnahmen erzwungen, um das Nutzerpasswort regelmäßig zu ändern. Google Cloud empfiehlt, maximum_password_lifetime auf einen Wert von 182 oder niedriger festzulegen.
Weitere Informationen finden Sie im SAP HANA One-Sicherheitsleitfaden unter Konfigurationsoptionen für die Passwortrichtlinie.
Zuletzt aktualisiert: 23. April 2025
SAP HANA-Sicherheit: Prüfen Sie, ob der Parameter maximum_unused_initial_password_lifetime richtig konfiguriert ist.

Schweregrad:
Medium

Parameter „maximum_unused_initial_password_lifetime“">Details
Das ursprüngliche Passwort ist nur für einen vorübergehenden Zweck vorgesehen. Der Parameter maximum_unused_initial_password_lifetime in SAP HANA gibt die Anzahl der Tage an, für die das anfängliche Passwort oder ein von einem Nutzeradministrator für einen Nutzer festgelegtes Passwort gültig ist. Google Cloud empfiehlt, maximum_unused_initial_password_lifetime auf einen Wert von 7 oder niedriger festzulegen.
Weitere Informationen finden Sie im SAP HANA One-Sicherheitsleitfaden unter Konfigurationsoptionen für die Passwortrichtlinie.
Zuletzt aktualisiert: 23. April 2025
SAP HANA-Sicherheit: Prüfen Sie, ob der Parameter maximum_unused_productive_password_lifetime richtig konfiguriert ist.

Schweregrad:
Medium

Parameter „maximum_unused_productive_password_lifetime“">Details
Der Parameter maximum_unused_productive_password_lifetime in SAP HANA gibt die Anzahl der Tage an, nach denen ein Passwort abläuft, wenn sich der Nutzer nicht angemeldet hat. So wird das Risiko verringert, dass Konten aufgrund längerer Passwortinaktivität kompromittiert werden. Google Cloud empfiehlt, maximum_unused_productive_password_lifetime auf einen Wert von 365 oder niedriger festzulegen.
Weitere Informationen finden Sie im SAP HANA One-Sicherheitsleitfaden unter Konfigurationsoptionen für die Passwortrichtlinie.
Zuletzt aktualisiert: 23. April 2025
SAP HANA-Sicherheit: Prüfen Sie, ob der Parameter minimal_password_length richtig konfiguriert ist.

Schweregrad:
Medium

Parameter „minimal_password_length“">Details
Der Parameter minimal_password_length in SAP HANA gibt die Mindestanzahl an Zeichen an, die ein Passwort enthalten muss. Der Parameter minimal_password_length ist wichtig, um die Sicherheit von SAP HANA zu erhöhen. Ein Passwort mit weniger als 8 Zeichen kann leichter erraten oder geknackt werden. Dadurch könnte ein unbefugter Nutzer auf Ihr System zugreifen. Um die Sicherheit Ihres SAP HANA-Systems zu verbessern, empfiehlt Google Cloud, den Wert des Parameters minimal_password_length auf 8 oder höher zu erhöhen.
Weitere Informationen finden Sie im SAP HANA One-Sicherheitsleitfaden unter Konfigurationsoptionen für die Passwortrichtlinie.
Zuletzt aktualisiert: 23. April 2025
SAP HANA-Sicherheit: Prüfen Sie, ob der Parameter minimum_password_lifetime richtig konfiguriert ist.

Schweregrad:
Medium

Parameter „minimum_password_lifetime“">Details
Der Parameter minimum_password_lifetime in SAP HANA gibt die Mindestanzahl an Tagen an, die vergehen müssen, bevor ein Nutzer sein Passwort ändern kann. Mit diesem Parameter lassen sich Richtlinien für das Ablaufen von Passwörtern durchsetzen und die Systemsicherheit verbessern, da Nutzer daran gehindert werden, ihre Passwörter häufig zu ändern.
Weitere Informationen finden Sie im SAP HANA One-Sicherheitsleitfaden unter Konfigurationsoptionen für die Passwortrichtlinie.
Zuletzt aktualisiert: 25. April 2025
SAP HANA-Sicherheit: Prüfen Sie, ob der Parameter password_expire_warning_time richtig konfiguriert ist.

Schweregrad:
Medium

Parameter „password_expire_warning_time“">Details
Der Parameter password_expire_warning_time in SAP HANA gibt die Anzahl der Tage vor dem Ablauf eines Passworts an, an denen der Nutzer eine Benachrichtigung erhält. Es ist wichtig, Nutzer über die Ablaufzeiten von Passwörtern zu informieren, damit sie ihre Passwörter ändern, bevor sie ablaufen. Der Standardwert für die Vorlaufzeit der Warnung zum Ablauf des Passworts beträgt 14 Tage.
Weitere Informationen finden Sie im SAP HANA One-Sicherheitsleitfaden unter Konfigurationsoptionen für die Passwortrichtlinie.
Zuletzt aktualisiert: 25. April 2025
SAP HANA-Sicherheit: Prüfen Sie, ob der Parameter password_layout richtig konfiguriert ist.

Schweregrad:
Medium

Parameter „password_layout“">Details
Der Parameter password_layout in SAP HANA gibt die Zeichentypen an, die das Passwort enthalten muss. Es ist mindestens ein Zeichen jedes ausgewählten Zeichentyps erforderlich.
Weitere Informationen finden Sie im SAP HANA One-Sicherheitsleitfaden unter Konfigurationsoptionen für die Passwortrichtlinie.
Zuletzt aktualisiert: 25. April 2025
SAP HANA-Sicherheit: Prüfen Sie, ob der Parameter password_lock_time richtig konfiguriert ist.

Schweregrad:
Medium

Parameter „password_lock_time“">Details
Der Parameter password_lock_time in SAP HANA gibt die Anzahl der Minuten an, für die ein Nutzer nach der maximalen Anzahl fehlgeschlagener Anmeldeversuche gesperrt wird. Google Cloud empfiehlt, password_lock_time auf einen Wert von 1440 oder höher festzulegen.
Weitere Informationen finden Sie im SAP HANA One-Sicherheitsleitfaden unter Konfigurationsoptionen für die Passwortrichtlinie.
Zuletzt aktualisiert: 25. April 2025
SAP HANA-Sicherheit: Verschlüsselung des persistenten (Daten-)Volumes aktivieren

Schweregrad:
Hoch

Details
Es wird empfohlen, SAP HANA-Daten vor unbefugtem Zugriff zu schützen. Eine Möglichkeit dazu ist, die Daten auf Betriebssystemebene zu verschlüsseln. SAP HANA unterstützt auch die Verschlüsselung in der Persistenzebene, was für zusätzliche Sicherheit sorgen kann. Wir empfehlen, Datenvolumes zu verschlüsseln. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in den SAP HANA-Sicherheitschecklisten und ‑empfehlungen unter Empfehlungen für die Datenverschlüsselung.
Letzte Aktualisierung: 27. Oktober 2025
SAP HANA-Sicherheit: HANA-Versionen, die von CVE-2019-0357 betroffen sind

Schweregrad:
Kritisch

Details
CVE-2019-0357 ist eine Sicherheitslücke, die es Datenbanknutzern mit Administratorberechtigungen ermöglicht, Betriebssystembefehle als Root in bestimmten SAP HANA-Versionen auszuführen.
Weitere Informationen finden Sie im SAP-Sicherheitshinweis für CVE-2019-0357.
Zuletzt aktualisiert: 25. April 2025
SAP HANA-Sicherheit: Schutz vor Nutzern mit Debugging-Berechtigungen in der Produktionsumgebung

Schweregrad:
Hoch

Details
Mindestens ein Nutzer hat die Berechtigung DEBUG oder ATTACH DEBUGGER im System. Google Cloud empfiehlt, dass Sie keine Nutzer mit diesem Recht haben. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in den SAP HANA-Sicherheitschecklisten und ‑empfehlungen unter Empfehlungen für Datenbanknutzer.
Letzte Aktualisierung: 27. Oktober 2025
SAP HANA-Sicherheit: Absender in der Systemreplikationskonfiguration einschränken

Schweregrad:
Hoch

Details
Die Systemreplikation wird mit allowed_sender konfiguriert, wenn die Listen-Schnittstelle global ist. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in den SAP HANA-Sicherheitschecklisten und ‑empfehlungen unter Empfehlungen für Netzwerkkonfigurationen.
Letzte Aktualisierung: 27. Oktober 2025

SAP: Hochverfügbarkeit (33 Ergebnisse)

Corosync: Verwenden Sie den empfohlenen Wert für den Parameter consensus:

Schweregrad:
Hoch

consensus parameter">Details
In einem Linux Pacemaker-Hochverfügbarkeitscluster für SAP auf Google Cloudist der Standardwert des Parameters consensus auf das 1, 2-fache des Werts des Parameters token festgelegt. Es wird empfohlen, diesen Wert nicht zu ändern. Wenn Sie den Standardwert ändern, muss er mindestens 1,2-mal so hoch sein wie der token-Wert. Ab dem 27. Oktober 2025 wurde die Schwere dieser Bewertungsregel von „Vorsicht“ zu „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie im Leitfaden zur Planung der Hochverfügbarkeit für SAP HANA unter Corosync-Konfigurationsparameterwerte.
Letzte Aktualisierung: 27. Oktober 2025
Corosync: Verwenden Sie den empfohlenen Wert für den Parameter join:

Schweregrad:
Hoch

join parameter">Details
Legen Sie in einem Linux Pacemaker-Hochverfügbarkeitscluster für SAP in Google Cloud den Corosync-Parameter join auf den Wert 60 fest, um den Best Practices von Google Cloud zu entsprechen. Ab dem 27. Oktober 2025 wurde die Schwere dieser Bewertungsregel von „Vorsicht“ zu „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie im Leitfaden zur Planung der Hochverfügbarkeit für SAP HANA unter Corosync-Konfigurationsparameterwerte.
Letzte Aktualisierung: 27. Oktober 2025
Corosync: Verwenden Sie den empfohlenen Wert für den Parameter max_messages:

Schweregrad:
Medium

Parameter „max_messages“">Details
Um in einem Linux Pacemaker-Hochverfügbarkeitscluster für SAP in Google Cloud eine Nachrichtenflut zwischen Clusterknoten während der Tokenverarbeitung zu vermeiden, legen Sie den Corosync-Parameter max_messages auf den Wert 20 fest. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Vorsicht“ zu „Mittel“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie im Leitfaden zur Planung der Hochverfügbarkeit für SAP HANA unter Corosync-Konfigurationsparameterwerte.
Letzte Aktualisierung: 27. Oktober 2025
Corosync: Verwenden Sie den empfohlenen Wert für den Parameter token_retransmits_before_loss_const:

Schweregrad:
Kritisch

token_retransmits_before_loss_const parameter">Details
Legen Sie in einem Linux-Pacemaker-Hochverfügbarkeitscluster für SAP in Google Cloud den Corosync-Parameter token_retransmits_before_loss_const auf einen Wert von 10 oder höher fest, um den Best Practices von Google Cloud zu entsprechen.
Weitere Informationen finden Sie im Leitfaden zur Planung der Hochverfügbarkeit für SAP HANA unter Corosync-Konfigurationsparameterwerte.
Letzte Aktualisierung: 14. April 2025
Corosync: Verwenden Sie den empfohlenen Wert für den Parameter token:

Schweregrad:
Kritisch

token parameter">Details
Legen Sie in einem Linux Pacemaker-Hochverfügbarkeitscluster für SAP in Google Cloud den Wert des Corosync-Parameters token auf den empfohlenen Zeitlimitwert von 20000 fest, um der Google Cloud-Best Practice für die Fehlererkennung zu entsprechen.
Weitere Informationen finden Sie im Leitfaden zur Planung der Hochverfügbarkeit für SAP HANA unter Corosync-Konfigurationsparameterwerte.
Letzte Aktualisierung: 14. April 2025
Corosync: Verwenden Sie den empfohlenen Wert für den Parameter transport:

Schweregrad:
Kritisch
Transportparameter">Details
Legen Sie in einem Linux Pacemaker-Hochverfügbarkeitscluster für SAP in Google Cloud den Wert des Corosync-Protokolls transport entsprechend Ihrem Betriebssystem fest. Bei Red Hat-Systemen ab Version 8 sollte der Parameter auf knet festgelegt werden. Bei anderen unterstützten Betriebssystemen wird der Wert udpu erwartet.
Weitere Informationen finden Sie in der Anleitung für Ihr Betriebssystem:
- Informationen zu RHEL finden Sie im Konfigurationsleitfaden für Hochverfügbarkeitscluster für SAP HANA unter RHEL.
- Informationen zu SLES finden Sie im Konfigurationsleitfaden für Hochverfügbarkeitscluster für SAP HANA unter SLES.
Letzte Aktualisierung: 14. April 2025
Pacemaker: pcmk_delay_max für die Clusterressource des Fencing-Geräts festlegen

Schweregrad:
Kritisch

pcmk_delay_max on the fencing device cluster resource">Details
Um Fencing-Wettlaufsituationen in Linux Pacemaker-Hochverfügbarkeitsclustern für SAP zu vermeiden, muss der Parameter pcmk_delay_max in der Definition der Fencing-Ressource mit dem Wert 30 oder höher angegeben werden.
Weitere Informationen finden Sie unter Sonderoptionen für das Eingrenzen von Ressourcen.
Letzte Aktualisierung: 14. April 2025
Pacemaker: Empfohlenen Zeitlimitwert für SAPHana-Vorgänge verwenden

Schweregrad:
Kritisch
SAPHana operations">Details
Die Definition der SAPHana-Ressource in einem Linux-Pacemaker-HA-Cluster enthält einen Zeitüberschreitungswert für die Vorgänge stop, start, promote und demote. Für Linux Pacemaker-HA-Cluster für SAP in Google Cloud empfehlen wir einen Wert von mindestens 3600 für jeden Vorgang.
Weitere Informationen finden Sie in der Anleitung für Ihr Betriebssystem:
- Informationen zu RHEL finden Sie im Konfigurationsleitfaden für Hochverfügbarkeitscluster für SAP HANA unter RHEL.
- Informationen zu SLES finden Sie im Konfigurationsleitfaden für Hochverfügbarkeitscluster für SAP HANA unter SLES.
Letzte Aktualisierung: 14. April 2025
Pacemaker: Prüfen, ob eine Alias-IP-Implementierung verwendet wird

Schweregrad:
Kritisch

Details
In einem Linux-Pacemaker-Hochverfügbarkeitscluster für SAP in Google Cloud wird die Verwendung von Alias-IP-Adressen, die zwischen Compute Engine-Instanzen verschoben werden, als Failover-Mechanismus nicht empfohlen, da dies die Hochverfügbarkeitsanforderungen nicht erfüllt. In bestimmten Fehlerszenarien, beispielsweise bei einem zonalen Ausfallereignis, können Sie möglicherweise keine Alias-IP-Adresse aus einer Compute-Instanz entfernen. Daher können Sie die Alias-IP-Adresse möglicherweise nicht auf eine andere Compute-Instanz verschieben, wodurch ein Failover unmöglich wird.
Weitere Informationen finden Sie im Leitfaden zur Planung der Hochverfügbarkeit für SAP HANA im Abschnitt VIP-Implementierungen für Alias-IP-Adressen.
Letzte Aktualisierung: 14. April 2025
Pacemaker: Sicherstellen, dass alle Clusterressourcen fehlerfrei sind

Schweregrad:
Kritisch

Details
Um Hochverfügbarkeit für Ihr SAP-System zu gewährleisten und es vor unvorhergesehenen Hostereignissen zu schützen, müssen sich alle Ressourcen im von Pacemaker verwalteten Cluster im Status „Gestartet“ befinden.
Weitere Informationen finden Sie im Leitfaden zur Fehlerbehebung bei Hochverfügbarkeitskonfigurationen für SAP unter Ressourcen-Agent wurde beendet.
Zuletzt aktualisiert: 12. Juni 2025
Pacemaker: Verwenden Sie die empfohlenen Einstellungen für „Cluster Op Default timeout“.

Schweregrad:
Hoch
Details
In einem Pacemaker-Cluster legt der Parameter timeout in op_defaults einen globalen Standard dafür fest, wie lange Vorgänge dauern dürfen, bevor sie als fehlgeschlagen gelten. Wenn für eine einzelne Ressource ein bestimmtes Zeitlimit konfiguriert ist, wird das globale Standardzeitlimit überschrieben. Google Cloud empfiehlt, ein Standardzeitlimit von 600 festzulegen. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der Anleitung für Ihr Betriebssystem:
- Informationen zu RHEL finden Sie unter Standardeinstellungen für den Cluster festlegen.
- Informationen zu SLES finden Sie unter Cluster-Bootstrap und mehr.
Letzte Aktualisierung: 27. Oktober 2025
Pacemaker: Verwenden Sie die empfohlenen Clustereigenschaften für die ASCS-Ressource .

Schweregrad:
Kritisch
Details
In einem Linux Pacemaker-Hochverfügbarkeitscluster für SAP in Google Cloud sind meta_attributes Konfigurationsparameter, die das Verhalten einer Ressource innerhalb des Clusters beeinflussen. Für die ASCS-Ressource empfehlen SUSE und Red Hat, resource-stickiness auf den Wert 5000 zu setzen. Legen Sie für ENSA1 außerdem migration-threshold auf den Wert 1 und failure-timeout auf den Wert 60 fest. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Kritisch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der Anleitung für Ihr Betriebssystem:
- Informationen zu RHEL finden Sie unter Ressource zum Verwalten der (A)SCS-Instanz erstellen.
- Informationen zu SLES – ENSA1 finden Sie unter Ressourcen für den ASCS konfigurieren.
- Informationen zu SLES – ENSA2 finden Sie unter Ressourcen für ASCS konfigurieren.
Letzte Aktualisierung: 27. Oktober 2025
Pacemaker: Verwenden Sie die empfohlene ERS-Ressourceneinstellung für ENSA1 .

Schweregrad:
Kritisch
Details
In einem SAP Central Services-Cluster mit hoher Verfügbarkeit (ABAP oder Java) ist die Einstellung IS_ERS=true für die ERS-Ressource für eine Enqueue Replication Server-Konfiguration (ENSA1) obligatorisch, da sie verwendet wird, um den Knoten zu identifizieren, auf dem der ERS-Dienst aktiv ist. Bei einer ENSA2-Konfiguration ist diese Einstellung optional, wird aber empfohlen.
Weitere Informationen finden Sie in folgenden Leitfäden:
- Informationen zu RHEL finden Sie unter Ressource zum Verwalten der ERS-Instanz erstellen oder in der Red Hat-Wissensdatenbank.
- Informationen zu SLES finden Sie unter Clusterressourcen konfigurieren.
- Informationen zum SAP NetWeaver Enqueue Replication 1 High Availability Cluster – SAP NetWeaver 7.40 und 7.50 finden Sie unter Ressourcen für den ERS konfigurieren.
- Informationen zum SAP S/4 HANA-Hochverfügbarkeitscluster mit Enqueue Replication 2 finden Sie unter Ressourcen für die ERS-Instanz konfigurieren.
Letzte Aktualisierung: 15. April 2025
Pacemaker: Verwenden Sie die empfohlenen Standardressourcen für den SAP CS-Cluster.

Schweregrad:
Hoch
Details
In einem Linux Pacemaker-Hochverfügbarkeitscluster werden mit dem rsc_defaults-Primitiv Standard-meta_attributes für alle Ressourcen festgelegt, um das Ressourcenverhalten und Failover-Richtlinien zu verwalten. SUSE und Red Hat empfehlen, resource-stickiness auf den Wert 1 zu setzen, was eine geringe Präferenz dafür angibt, dass Ressourcen auf ihrem aktuellen Knoten verbleiben, und migration-threshold auf den Wert 3, was bis zu drei Fehler auf einem Knoten zulässt, bevor eine Ressource auf einen anderen Knoten verschoben wird. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der Anleitung für Ihr Betriebssystem:
- Informationen zu RHEL 9 finden Sie unter Allgemeine Clustereigenschaften konfigurieren.
- Informationen zu RHEL 8 finden Sie unter Allgemeine Clustereigenschaften konfigurieren.
- Informationen zu SLES finden Sie unter Clusterbasis konfigurieren.
Letzte Aktualisierung: 27. Oktober 2025
Pacemaker: Verwenden Sie die empfohlene Konfiguration für die automatische Wiederherstellung und Überwachung von NetWeaver HA SAPInstance.

Schweregrad:
Kritisch
Details
Das SAPInstance-Primitive in Pacemaker verwaltet SAP-Anwendungsinstanzen und sorgt für das korrekte Starten, Stoppen und Überwachen. Um die Stabilität von SAP-Instanzen zu verbessern, empfiehlt Google Cloud, das Instanzattribut für AUTOMATIC_RECOVER=false festzulegen. Außerdem wird empfohlen, für den Vorgang monitor den Wert timeout auf 60 und den Intervallwert auf 11 für SLES und 20 für RHEL festzulegen. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Kritisch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der Anleitung für Ihr Betriebssystem:
- Informationen zu RHEL finden Sie unter Ressource zum Verwalten der (A)SCS-Instanz erstellen.
- Informationen zu SLES finden Sie unter Ressourcen für ASCS konfigurieren.
Letzte Aktualisierung: 27. Oktober 2025
Hochverfügbarkeit: Prüfen Sie den für SAP Central Services-Hosts konfigurierten virtuellen Hostnamen.

Schweregrad:
Kritisch
Details
Um eine hohe Verfügbarkeit von SAP Central Services zu gewährleisten, müssen die Werte für die Parameter serverhost und replicatorhost in der Datei DEFAULT.PFL mit der Pacemaker-Clusterkonfiguration übereinstimmen. Diese Konfiguration sorgt für einen kontinuierlichen Betrieb, auch wenn einer der Hosts ausfällt, da der Cluster automatisch ein Failover auf den anderen Host ausführen kann. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Kritisch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in den Profilparametern für die installierte ENSA-Version:
- Informationen zu ENSA1 finden Sie unter Profilparameter für die Enqueue-Clients.
- Informationen zu ENSA2 finden Sie unter Profilparameter von Enqueue Replicator 2.
Letzte Aktualisierung: 27. Oktober 2025
Pacemaker: Von Legacy-Fence-Agent gcpstonith migrieren

Schweregrad:
Hoch
gcpstonith fence agent">Details
Das gcpstonith-Modul wurde eingestellt. Migrieren Sie zum mit dem Betriebssystem gebündelten fence_gce-Fencing-Agent, um optimale Zuverlässigkeit und Funktionalität mit Ihrem Pacemaker-Cluster in Google Cloud zu erzielen. fence_gce ist in unterstützten Linux-Distributionen mit der HA-Erweiterung (High Availability) oder dem HA-Add-on enthalten. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in folgenden Leitfäden:
- Informationen zum Einrichten von Fencing für einen HA-Cluster unter RHEL finden Sie unter Fencing einrichten.
- Informationen zum Einrichten von Fencing für einen HA-Cluster unter SLES finden Sie unter Fencing einrichten.
- Informationen zur Migration von gcpstonith zu fence_gce finden Sie unter Fence-Agent gcpstonith ist veraltet.
Letzte Aktualisierung: 27. Oktober 2025
Pacemaker: Legen Sie den Parameter migration-threshold des Hochverfügbarkeitsclusters auf den empfohlenen Wert für SAP HANA fest.

Schweregrad:
Hoch
Parameter „migration-threshold“ auf den empfohlenen Wert für SAP HANA festlegen">Details
Wenn die SAP HANA-Ressource im Falle eines Fehlers in einem Linux Pacemaker-Hochverfügbarkeitscluster auf einen neuen Clusterknoten migriert werden soll, muss in der SAP HANA-Ressourcendefinition der Parameter migration-threshold mit dem empfohlenen Wert 5000 angegeben werden. Dieser Parameter bestimmt die Anzahl der Fehler, bevor ein Failover erfolgt und der Clusterknoten als nicht geeignet für das Hosting der SAP HANA-Ressource markiert wird. Ab dem 27. Oktober 2025 wurde die Schwere dieser Bewertungsregel von „Vorsicht“ zu „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der Anleitung für Ihr Betriebssystem:
- Informationen zu RHEL finden Sie im Konfigurationsleitfaden für Hochverfügbarkeitscluster für SAP HANA unter RHEL.
- Informationen zu SLES finden Sie im Konfigurationsleitfaden für Hochverfügbarkeitscluster für SAP HANA unter SLES.
Letzte Aktualisierung: 27. Oktober 2025
Pacemaker: Empfohlene Monitoreinstellungen für Systemdiagnose und ILB verwenden

Schweregrad:
Hoch
Details
In einer Pacemaker-Konfiguration auf Google Cloud Platform arbeiten die Systemdiagnose-Primitive und die Internal Load Balancer-Primitive (ILB) zusammen, um eine Hochverfügbarkeit zu erreichen. Die Systemdiagnose überwacht den Status der Instanz, indem sie an einem bestimmten Port auf eingehende Anfragen wartet, während der interne Lastenausgleich Traffic weiterleitet. Die empfohlenen Monitoring-Einstellungen für die Systemdiagnose sind ein interval von 10 Sekunden und ein timeout von 20 Sekunden. Die empfohlenen Monitoringeinstellungen für den internen Lastenausgleich sind ein interval von 3600 Sekunden und ein timeout von 60 Sekunden. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der Anleitung für Ihr Betriebssystem:
- Informationen zu RHEL finden Sie unter Virtuelle IP-Adressressource erstellen.
- Informationen zu SLES finden Sie unter Lokale Cluster-IP-Ressource für die VIP-Adresse erstellen.
Letzte Aktualisierung: 27. Oktober 2025
Pacemaker: Einschränkungen für die bevorzugten Ressourcenstandorte aktualisieren

Schweregrad:
Kritisch
Details
Ein Linux-Pacemaker-HA-Cluster enthält eine Einschränkung für die Standortpräferenz, die für eine oder mehrere Ressourcen festgelegt wurde. Bei Linux Pacemaker-Hochverfügbarkeitsclustern für SAP in Google Cloud können Standortbeschränkungen ein korrektes Failover von Clusterressourcen im Fehlerfall verhindern. Diese Einschränkungen treten häufig auf, wenn eine Ressource manuell zwischen Knoten im Cluster verschoben wird.
Weitere Informationen finden Sie in der Anleitung für Ihr Betriebssystem:
- Informationen zu RHEL finden Sie unter Clusterressourcen verwalten.
- Informationen zu SLES finden Sie unter Manuelle Ressourcenmigration.
Zuletzt aktualisiert: 16. April 2025
Pacemaker: Wartungsmodus deaktivieren

Schweregrad:
Kritisch
Details
Damit ein Linux-Hochverfügbarkeitscluster mit Pacemaker seine Anwendungsressourcen überwachen und verwalten kann, dürfen sich die Clusterknoten, auf denen diese Ressourcen gehostet werden, nicht im Wartungsmodus befinden.
Weitere Informationen finden Sie in der Anleitung für Ihr Betriebssystem:
- Informationen zu RHEL finden Sie unter Clusterwartung durchführen.
- Informationen zu SLES finden Sie unter Wartungsmodus in einem Hochverfügbarkeitscluster aktivieren und deaktivieren.
Zuletzt aktualisiert: 16. April 2025
Pacemaker: Verwenden Sie den empfohlenen Wert für den Parameter resource-stickiness für SAP HANA.

Schweregrad:
Hoch
Parameter für die Ressourcenbindung für SAP HANA">Details
Legen Sie in einem Linux Pacemaker-Hochverfügbarkeitscluster für SAP HANA den Parameter resource-stickiness auf den empfohlenen Wert 1000 fest. Dieser Parameter definiert, wie stark eine Ressource bevorzugt auf ihrem aktuellen Knoten verbleiben soll. Der Wert von 1000 ist hoch genug, um unnötige Migrationen der Ressource zu einem anderen Knoten zu minimieren. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der Anleitung für Ihr Betriebssystem:
- Informationen zu RHEL finden Sie unter Allgemeine HA-Clustereigenschaften konfigurieren.
- Informationen zu SLES finden Sie unter Clusterattribute und ‑ressourcen konfigurieren.
Letzte Aktualisierung: 27. Oktober 2025
Pacemaker: Verwenden Sie die empfohlenen Werte für die primären und sekundären SAP HANA-Ressourcen.

Schweregrad:
Hoch
Details
In einem Linux Pacemaker-Hochverfügbarkeitscluster für SAP HANA in Google Cloud bestimmen die Meta-Attribute innerhalb der SAP HANA-msl-Ressource (als „Primary“ oder „Secondary“ klassifiziert), wie diese Ressource im Cluster verwaltet wird. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der Anleitung für Ihr Betriebssystem:
- Informationen zu RHEL finden Sie unter Promotable SAPHana resource erstellen.
- Informationen zu SLES finden Sie unter SAPHana-Ressource erstellen.
Letzte Aktualisierung: 27. Oktober 2025
Pacemaker: Empfohlene SAP HANA-Failover-Einstellungen verwenden

Schweregrad:
Kritisch
Details
In einem Linux Pacemaker-Hochverfügbarkeitscluster für SAP HANA in Google Cloud enthält die SAPHana-Ressource die Konfiguration zur Steuerung der Verfügbarkeit und des Datenschutzes der SAP HANA-Systemreplikation, die vom HA-Cluster verwaltet wird. Google Cloud empfiehlt, die Werte für die Instanzattribute so festzulegen: AUTOMATED_REGISTER=true, DUPLICATE_PRIMARY_TIMEOUT=7200 und PREFER_SITE_TAKEOVER=true. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Kritisch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der Anleitung für Ihr Betriebssystem:
- Informationen zu RHEL finden Sie unter Promotable SAPHana resource erstellen.
- Informationen zu SLES finden Sie unter SAPHana-Ressource erstellen.
Letzte Aktualisierung: 27. Oktober 2025
Pacemaker: Verwenden Sie die empfohlenen Werte für den SAP HANA-Ressourcenmonitorvorgang

Schweregrad:
Hoch
Details
Die SAPHana-Ressource verwaltet die Instanzen, die Teil des replizierten SAP HANA-Paars sind. Bei einem Fehler in der primären SAP HANA-Replikationsinstanz kann der SAPHana-Ressourcen-Agent eine Übernahme der SAP HANA-Systemreplikation auslösen, je nachdem, wie die Parameter des Ressourcen-Agents festgelegt wurden. Die interval- und timeout-Werte für den Monitorvorgang sollten auf die empfohlenen Werte des Betriebssystemanbieters festgelegt werden. Für Red Hat sollte der primäre Monitor eine interval von 59 und eine timeout von 700 haben, während der sekundäre Monitor eine interval von 61 und eine timeout von 700 haben sollte. Bei SUSE sollte der primäre Monitor eine interval von 60 und eine timeout von 700 haben, während der sekundäre Monitor eine interval von 61 und eine timeout von 700 haben sollte. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der Anleitung für Ihr Betriebssystem:
- Informationen zu RHEL finden Sie unter Promotable SAPHana resource erstellen.
- Informationen zu SLES finden Sie unter SAPHana-Ressource erstellen.
Letzte Aktualisierung: 27. Oktober 2025
Pacemaker: Aktualisieren Sie den SUSE HA-Cluster und die SAP HANA-HA/DR-Anbieter-Hooks, um SAPHanaSR-angi zu verwenden.

Schweregrad:
Hoch
Details
Um langfristigen Support und Stabilität für Ihren SLES-basierten HA-Cluster mit SAP HANA zu gewährleisten, empfiehlt Google Cloud dringend, das Ressourcen-Agent-Paket SAPHanaSR-angi unter SLES für SAP 15 SP6 oder höher zu verwenden. Unter SLES for SAP 16 ersetzt SAPHanaSR-angi die Pakete SAPHana und SAPHanaSR-ScaleOut.
Weitere Informationen finden Sie in folgenden Leitfäden:
- Upgrade auf SAPHanaSR-angi in einem HA-Cluster mit vertikaler Skalierung
- SUSE-Artikel zu Was ist SAPHanaSR-angi? und Upgrade auf SAPHanaSR-angi.
Zuletzt aktualisiert: 12. März 2026
Pacemaker: Verwenden Sie die empfohlenen Einstellungen für die Stonith-Clustereigenschaft .

Schweregrad:
Kritisch
Details
Um die Integrität und Hochverfügbarkeit des Clusters zu gewährleisten, sollte die Pacemaker-Konfiguration STONITH aktivieren, um das Node-Fencing zu aktivieren, und ein angemessenes Zeitlimit festlegen, um den rechtzeitigen Abschluss von STONITH-Vorgängen zu gewährleisten. Diese Einstellungen sind wichtig, um fehlerhafte Knoten zu isolieren und zu verhindern, dass sie den Betrieb des Clusters stören. Für optimale Ergebnisse sollten Sie stonith-enabled=true und stonith-timeout auf den Wert 300 festlegen. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Kritisch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der Anleitung für Ihr Betriebssystem:
- Informationen zu RHEL finden Sie unter Standardeinstellungen für den Cluster festlegen.
- Informationen zu SLES finden Sie unter Allgemeine Clusterattribute konfigurieren.
Letzte Aktualisierung: 27. Oktober 2025
Pacemaker: Verwenden Sie die empfohlenen Werte für die SAP HANA-Topologieklonressource.

Schweregrad:
Hoch
Details
In einem Linux Pacemaker-Hochverfügbarkeitscluster für SAP HANA in Google Cloud bestimmen die Meta-Attribute in der SAP HANA-Topologie-Klonressource, wie diese Ressource im Cluster verwaltet wird. Die empfohlenen Einstellungen für eine SAP HANA-Topologieressource sind ein clone_node_max-Wert von 1 und ein interleave-Wert von true. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der Anleitung für Ihr Betriebssystem:
- Informationen zu RHEL finden Sie unter Geklonte SAPHanaTopology-Ressource erstellen.
- Informationen zu SLES finden Sie unter SAPHanaTopology erstellen.
Letzte Aktualisierung: 27. Oktober 2025
Pacemaker: Empfohlene Werte für die Einstellung des SAP HANA-Topologiemonitors verwenden

Schweregrad:
Kritisch
Details
Ein Linux-Pacemaker-HA-Cluster enthält eine SAPHanaTopology-Ressource mit einem Monitorvorgang, der einen interval-Wert und einen timeout-Wert hat. Für Linux Pacemaker-HA-Cluster für SAP in Google Cloud empfehlen wir für interval einen Wert zwischen 10 und 60 Sekunden und für timeout einen Wert von 600 Sekunden.
Weitere Informationen finden Sie in der Anleitung für Ihr Betriebssystem:
- Informationen zu RHEL finden Sie unter SAPHanaTopology-Ressource erstellen.
- Informationen zu SLES finden Sie unter Einfache SAPHanaTopology-Ressource erstellen.
Zuletzt aktualisiert: 16. April 2025
Pacemaker: Verwenden Sie die empfohlenen Zeitüberschreitungswerte für den Start-/Stoppvorgang der SAP HANA-Topologie.

Schweregrad:
Hoch
Details
Der Parameter timeout definiert die maximale Zeit, die für den Abschluss eines Vorgangs (z. B. Starten oder Beenden einer Ressource) zulässig ist. Wenn der Vorgang nicht innerhalb dieses Zeitraums abgeschlossen wird, gilt er als fehlgeschlagen. Die empfohlenen Einstellungen für eine SAP HANA-Topologieressource sind ein start-Zeitüberschreitungswert von 600 und ein stop-Zeitüberschreitungswert von 300. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie in der Anleitung für Ihr Betriebssystem:
- Informationen zu RHEL finden Sie unter SAPHanaTopology-Ressource erstellen.
- Informationen zu SLES finden Sie unter SAPHanaTopology.
Letzte Aktualisierung: 27. Oktober 2025
Hohe Verfügbarkeit: ENSA2-Parameter für Enqueue Replicator verwenden

Schweregrad:
Hoch

Details
In Systemen, in denen die SAP NetWeaver-Version ENSA2 unterstützt, die DEFAULT.PFL-Datei aber weiterhin ENSA1-Parameter enthält, kann diese Diskrepanz zu Problemen mit der Enqueue-Server-Funktionalität und dem Clusterverhalten führen. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie im SAP Help Portal unter Profilparameter von Enqueue Replicator 2.
Letzte Aktualisierung: 27. Oktober 2025
Hochverfügbarkeit: Mehrzonenkonfiguration für SAP HANA sicherstellen

Schweregrad:
Hoch

Details
Um die Ausfallsicherheit einer SAP HANA-Hochverfügbarkeitskonfiguration zu gewährleisten, müssen sich die primären und sekundären Knoten in verschiedenen Zonen in derselben Region befinden. Ab dem 27. Oktober 2025 wurde der Schweregrad dieser Bewertungsregel von „Mittel“ auf „Hoch“ aktualisiert. Diese Änderung gilt auch für bestehende Auswertungen, die diese Regel enthalten.
Weitere Informationen finden Sie im Planungsleitfaden für SAP HANA.
Letzte Aktualisierung: 27. Oktober 2025
Hochverfügbarkeit: Systemreplikations-Hook für SAP HANA festlegen

Schweregrad:
Kritisch
Details
In einer SAP HANA-Hochverfügbarkeitskonfiguration überwachen die HA/DR-Hooks die Replikation und einzelne Dienste wie indexserver, die vom Betriebssystemanbieter bereitgestellt werden. Diese Konfigurationen wirken sich darauf aus, ob SAP HANA dem Cluster rechtzeitig meldet, wenn die sekundäre Instanz nicht mehr synchron ist oder SAP HANA-Dienste abstürzen.
Weitere Informationen finden Sie in der Anleitung für Ihr Betriebssystem:
- Informationen zu RHEL finden Sie unter Provider-Hook für SAP HANA HA/DR aktivieren.
- Informationen zu SLES finden Sie unter SAP HANA-HA/DR-Anbieter-Hook aktivieren.
Zuletzt aktualisiert: 17. März 2026

SAP: NetWeaver (3 Ergebnisse)

SAP NetWeaver: Zertifizierten benutzerdefinierten VM-Typ verwenden

Schweregrad:
Kritisch

Details
Wenn Sie Support von SAP und Google Cloud für SAP NetWeaver auf einer benutzerdefinierten Compute Engine-VM erhalten möchten, müssen Sie einen benutzerdefinierten VM-Typ verwenden, der von SAP und Google Cloud für die Verwendung mit SAP NetWeaver zertifiziert ist.
Weitere Informationen finden Sie im Planungsleitfaden für SAP NetWeaver unter Zertifizierte Maschinen.
Letzte Aktualisierung: 9. April 2025
SAP NetWeaver: Zertifiziertes Betriebssystem verwenden

Schweregrad:
Kritisch

Details
Wenn Sie Support von SAP und Google Cloud für SAP NetWeaver auf einer Compute Engine-VM erhalten möchten, müssen Sie eine Betriebssystemversion verwenden, die von SAP und Google Cloud für die Verwendung mit SAP NetWeaver zertifiziert ist.
Weitere Informationen finden Sie unter Betriebssystemunterstützung für SAP NetWeaver in Google Cloud.
Zuletzt aktualisiert: 18. Februar 2026
SAP NetWeaver: Zertifizierten VM-Typ verwenden

Schweregrad:
Kritisch

Details
Wenn Sie Support von SAP und Google Cloud für SAP NetWeaver auf einer Compute Engine-VM erhalten möchten, müssen Sie einen VM-Typ und eine CPU-Plattform verwenden, die von SAP und Google Cloud für die Verwendung mit SAP NetWeaver zertifiziert sind.
Weitere Informationen finden Sie im Planungsleitfaden für SAP NetWeaver unter Maschinentypen.
Letzte Aktualisierung: 3. März 2026

SQL Server: Kostenoptimierung (2 Ergebnisse)

SQL: 4‑Core-Konsolidierung

Schweregrad:
Medium

Details
Sie können möglicherweise Lizenzkosten für SQL Server pro Kern sparen, indem Sie VMs mit weniger als 4 Kernen konsolidieren. Weitere Informationen finden Sie in Ihrer Lizenzvereinbarung.
SQL Server-Lizenzierung.
Letzte Aktualisierung: 18. März 2024
SQL: Gleichzeitiges Multi-Threading (SMT) deaktivieren

Schweregrad:
Medium

Details
Durch das Deaktivieren von SMT wird die Anzahl der vCPUs für jeden Kern um die Hälfte reduziert, wodurch sich Ihre Lizenzkosten verringern lassen. Weitere Informationen finden Sie in Ihrer Lizenzvereinbarung.
Eine Best Practice für die meisten SQL Server-Arbeitslasten ist es, die Anzahl der Threads pro Kern auf 1 zu setzen und dann die VM-Größe entsprechend den Anforderungen der Arbeitslast anzupassen. Die Anzahl der Kerne lässt sich auch mit benutzerdefinierten sichtbaren Kernen steuern. Weitere Informationen erhalten Sie von Ihrem Technical Account Manager.
Anzahl der Threads pro Kern festlegen
Zuletzt aktualisiert: 7. Februar 2024

SQL Server: Failover-Cluster (2 Ergebnisse)

SQL: Failoverclustering aktivieren

Schweregrad:
Kritisch

Details
Um das Failoverclustering im Compute Engine-Agent zu aktivieren, müssen Sie den VM-Metadaten das Flag enable-wsfc=true hinzufügen.
Failoverclustering in Compute Engine aktivieren.
Letzte Aktualisierung: 11. Januar 2024
SQL: Netzwerk-Tags vorhanden

Schweregrad:
Niedrig

Details
Damit Clients eine Verbindung zu SQL Server herstellen können, müssen Sie die Kommunikation zwischen den WSFC-Knoten zulassen. Damit der Load Balancer Systemdiagnosen durchführen kann, werden Firewallregeln auf VMs mit diesen Netzwerk-Tags angewendet.
Failover-Clusterinstanz konfigurieren
Letzte Aktualisierung: 6. Oktober 2025

SQL Server: Leistung (10 Ergebnisse)

SQL: Pufferpoolerweiterung aktivieren

Schweregrad:
Medium

Details
Mit der Pufferpoolerweiterung können Sie nicht modifizierte Seiten per Push auf eine lokale SSD verschieben, anstatt sie zu verwerfen. Dies funktioniert nach demselben Prinzip wie bei virtuellem Arbeitsspeicher, nämlich durch Auslagerung. Dabei greifen Sie auf die nicht modifizierten Seiten auf der lokalen SSD zu, was schneller als das Abrufen der Daten auf dem normalen Laufwerk ist.
Aktivieren der Buffer Pool Extension in Best Practices für SQL Server-VMs.
Letzte Aktualisierung: 11. Januar 2024
SQL: Sekundäre Laufwerke formatieren

Schweregrad:
Medium

Details
Durch die Formatierung eines Laufwerks mit einer 64 KB-Zuordnungseinheit kann SQL Server Erweiterungen effizienter lesen und schreiben, was die E/A-Leistung des Laufwerks erhöht.
Letzte Aktualisierung: 11. Januar 2024
SQL: Indexfragmentierung vermeiden

Schweregrad:
Medium

Details
Wenn ein oder mehrere Indexe zu mindestens 95%fragmentiert sind, empfehlen Sie, Defrag-Jobs zu planen.
Letzte Aktualisierung: 11. Januar 2024
SQL: Daten- und Logdateien auf ein neues Laufwerk verschieben

Schweregrad:
Medium

Details
Standardmäßig ist beim vorkonfigurierten Image für SQL Server alles auf dem nichtflüchtigen Bootspeicher installiert, der als Laufwerk "C:\" bereitgestellt wird. Erwägen Sie, einen sekundären nichtflüchtiger SSD-Speicher anzuhängen und die Log- und Datendateien auf das neue Laufwerk zu verschieben.
Daten- und Protokolldateien auf separaten Laufwerken platzieren in der SQL Server-Dokumentation.
Letzte Aktualisierung: 11. Januar 2024
SQL: Set the power profile to High-Performance

Schweregrad:
Medium

Details
Wenn Sie SQL Server für eine optimale Leistung in Google Cloud konfigurieren möchten, empfehlen wir, das Energieprofil auf „Hohe Leistung“ anstelle von „Ausgewogen“ festzulegen.
Energieprofil einrichten
Letzte Aktualisierung: 11. Januar 2024
SQL: „max degree of parallelism“ an die Anzahl der CPUs auf dem Server anpassen

Schweregrad:
Medium

Details
Es empfiehlt sich, die Anzahl der Server-CPUs als Standardeinstellung für „max degree of parallelism“ zu verwenden. In der Praxis erweist sich 8 als guter Standardwert.
Parallele Abfrageverarbeitung in Best Practices für SQL Server-VMs.
Letzte Aktualisierung: 11. Januar 2024
SQL: Komprimierte Tabellen verwenden

Schweregrad:
Medium

Details
Durch das Komprimieren von Tabellen kann die Systemleistung erhöht werden.
Verwenden komprimierter Tabellen in Best Practices für SQL Server-VMs.
Letzte Aktualisierung: 11. Januar 2024
SQL: Lokale SSDs für tempDB verwenden

Schweregrad:
Niedrig

Details
Erstellen Sie neue SQL Server-Instanzen mit einer oder mehreren lokalen SSDs für das Speichern der tempdb- und Windows-Auslagerungsdateien.
Letzte Aktualisierung: 6. Oktober 2025
SQL: Logdatei auf einen festen Betrag festlegen und regelmäßige Sicherungen planen

Schweregrad:
Medium

Details
Es kann sich anbieten, die automatische Vergrößerung zu deaktivieren und die Logdatei auf eine feste Größe zu setzen.
Letzte Aktualisierung: 11. Januar 2024
SQL: Virtuelle Logdateien optimieren

Schweregrad:
Niedrig

Details
Überwachen Sie die Vergrößerung der virtuellen Logdateien und ergreifen Sie Maßnahmen zum Schutz vor einer Fragmentierung der Logdateien.
Virtuelle Logdateien optimieren in „Best Practices für SQL Server-VMs“.
Letzte Aktualisierung: 6. Oktober 2025

SQL Server: Stabilität (3 Ergebnisse)

SQL: Regelmäßig Sicherung durchführen

Schweregrad:
Medium

Details
Achten Sie bei der Durchführung regelmäßiger Datenbanksicherungen darauf, nicht zu viele persistente Festplatten-IOPS zu verbrauchen. Verwenden Sie die lokale SSD, um die Sicherungen durchzuführen, und übertragen Sie diese dann mittels Push in einen Cloud Storage-Bucket.
Sichern in „Best Practices für SQL Server-VMs“
Letzte Aktualisierung: 11. Januar 2024
SQL: Google Cloud Backup and Disaster Recovery-Agent nicht erkannt

Schweregrad:
Medium

Details
Nutzen Sie die Sicherungs- und Notfallwiederherstellungslösungen von Google für einen optimalen Schutz.
Backup- und DR-Dienst.
Letzte Aktualisierung: 25. Juni 2024
SQL: „max server memory“-Einstellung an den verfügbaren physischen Arbeitsspeicher der Instanz anpassen

Schweregrad:
Medium

Details
Die Einstellung „max server memory“ entspricht dem verfügbaren physischen Arbeitsspeicher der Instanz.
Letzte Aktualisierung: 11. Januar 2024

Google Cloud – Referenz zu Best Practices Mit Sammlungen den Überblick behalten Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.

Schweregradebenen

Unterstützte Best Practices

Anzahl der Regeln nach Best Practices

Google Cloud Best Practices – API-Schlüssel (4 Ergebnisse)

API-Schlüssel ohne Einschränkung link

API-Schlüssel ohne Dienstbeschränkung link

API-Schlüssel älter als 90 Tage link

API-Schlüssel link

Google Cloud Best Practices – Access Transparency (1 Ergebnis)

Access Transparency für Organisation aktiviert link

Google Cloud Best Practices – AlloyDB for PostgreSQL (4 Ergebnisse)

Automatische Sicherungen für Alloy-Cluster nicht aktiviert link

Kontinuierliche Sicherungen für AlloyDB-Cluster nicht aktiviert link

Wartungsrichtlinie für Alloy-Cluster link

Öffentliche IP-Adresse der Alloy-Instanz link

Google Cloud Best Practices – Apigee X (1 Ergebnis)

Apigee-Instanzen mit mehreren Regionen link

Google Cloud Best Practices – Artifact Registry (1 Ergebnis)

Artifact Registry (multiregional) link

Google Cloud Best Practices – BigQuery (10 Ergebnisse)

CMEK für BigQuery-Dataset deaktiviert link

BigQuery-Dataset enthält keine Labels link

BigQuery-Dataset ohne Ressourcentags link

BigQuery-Dataset mit mehreren Regionen link

BigQuery-Dataset öffentlich link

CMEK für BigQuery-Tabelle link

Ablauf von BigQuery-Tabelle link

BigQuery-Tabelle ohne Labels link

BigQuery-Tabelle ohne Ressourcentags link

BigQuery-Tabellenpartition link

Google Cloud Best Practices – Cloud Bigtable (3 Ergebnisse)

Bigtable-Clusterredundanz link

Bigtable-Instanzreplikation aktiviert link

Bigtable-Profil mit Multi-Cluster-Routing link

Google Cloud Best Practices – Cloud Build (1 Ergebnis)

Cloudbuild-Poolredundanz link

Google Cloud Best Practices – Cloud DNS (3 Ergebnisse)

DNS-Richtlinienprotokollierung link

DNS-Zone public dnssec link

Öffentliches Logging von DNS-Zonen link

Google Cloud Best Practices – Cloud Functions (3 Ergebnisse)

Cloud Functions-Ingress – GCLB link

Mindestanzahl von Funktionsinstanzen link

Multiregionale Funktionen für Projekte link

Google Cloud Best Practices – Cloud Key Management Service (14 Ergebnisse)

Cloud KMS-Schutzniveau für kryptografische Schlüssel – HSM link

Cloud KMS-Kryptoschlüssel-Schutzniveau „Software“ link

Symmetrische Rotation von Cloud KMS-Kryptoschlüsseln link

Cloud KMS-EKM-Verbindung – redundante Resolver link

Cloud KMS-Schlüsselordner öffentlich zugänglich link

Cloud KMS-Schlüsselorganisation öffentlich zugänglich link

Cloud KMS-Schlüsselprojekt öffentlich zugänglich link

Cloud KMS-Schlüssel öffentlich zugänglich link

Cloud KMS-Schlüsselzweck „symmetric“ link

Cloud KMS-Schlüsselbund öffentlich zugänglich link

Cloud KMS-Schlüsselrotation deaktiviert link

Cloud KMS-Schlüsselrotation aktiviert (1 Jahr) link

Cloud KMS-Schlüsselbund mit mehreren Regionen link

Cloud KMS-Inhaberrolle link

Google Cloud-Best Practices – Cloud Load Balancing (4 Ergebnisse)

Compute-Weiterleitungsregel-Netzwerkebene link

Zonenverteilung für regionalen Backend-Dienst berechnen link

Verteilung des globalen Backends link

Systemdiagnose für Zielpool aktiviert link

Google Cloud Best Practices – Cloud Logging (3 Ergebnisse)

Logsenke link

Multiregionales Logging-Bucket link

Logging-Senke nicht auf Ordner- oder Organisationsebene aggregiert link

Google Cloud Best Practices – Cloud Pub/Sub (7 Ergebnisse)

Subexponentieller Backoff für Pub/Sub link

Pub/Sub-Abo-Dead-Letter-Thema konfiguriert link

Pub/Sub-Abo-Deadletter link

Wiederholungsrichtlinie für Pub/Sub-Abo konfiguriert link

Nachrichtenspeicherung für Pub/Sub-Themen link

Pub/Sub-Themennachricht Cloud Storage-Richtlinie link

Schema des Pub/Sub-Themas link

Google Cloud Best Practices – Cloud Router (6 Ergebnisse)

Compute-Router bietet alle Subnetze an link

Compute-Router mit aktiviertem BFD link

Google Cloud – Referenz zu Best Practices

API-Schlüssel ohne Einschränkung

API-Schlüssel ohne Dienstbeschränkung

API-Schlüssel älter als 90 Tage

API-Schlüssel

Access Transparency für Organisation aktiviert

Automatische Sicherungen für Alloy-Cluster nicht aktiviert

Kontinuierliche Sicherungen für AlloyDB-Cluster nicht aktiviert

Wartungsrichtlinie für Alloy-Cluster

Öffentliche IP-Adresse der Alloy-Instanz

Apigee-Instanzen mit mehreren Regionen

Artifact Registry (multiregional)

CMEK für BigQuery-Dataset deaktiviert

BigQuery-Dataset enthält keine Labels

BigQuery-Dataset ohne Ressourcentags

BigQuery-Dataset mit mehreren Regionen

BigQuery-Dataset öffentlich

CMEK für BigQuery-Tabelle

Ablauf von BigQuery-Tabelle

BigQuery-Tabelle ohne Labels

BigQuery-Tabelle ohne Ressourcentags

BigQuery-Tabellenpartition

Bigtable-Clusterredundanz

Bigtable-Instanzreplikation aktiviert

Bigtable-Profil mit Multi-Cluster-Routing

Cloudbuild-Poolredundanz

DNS-Richtlinienprotokollierung

DNS-Zone public dnssec

Öffentliches Logging von DNS-Zonen

Cloud Functions-Ingress – GCLB

Mindestanzahl von Funktionsinstanzen

Multiregionale Funktionen für Projekte

Cloud KMS-Schutzniveau für kryptografische Schlüssel – HSM

Cloud KMS-Kryptoschlüssel-Schutzniveau „Software“

Symmetrische Rotation von Cloud KMS-Kryptoschlüsseln

Cloud KMS-EKM-Verbindung – redundante Resolver

Cloud KMS-Schlüsselordner öffentlich zugänglich

Cloud KMS-Schlüsselorganisation öffentlich zugänglich

Cloud KMS-Schlüsselprojekt öffentlich zugänglich

Cloud KMS-Schlüssel öffentlich zugänglich

Cloud KMS-Schlüsselzweck „symmetric“

Cloud KMS-Schlüsselbund öffentlich zugänglich

Cloud KMS-Schlüsselrotation deaktiviert

Cloud KMS-Schlüsselrotation aktiviert (1 Jahr)

Cloud KMS-Schlüsselbund mit mehreren Regionen

Cloud KMS-Inhaberrolle

Compute-Weiterleitungsregel-Netzwerkebene

Zonenverteilung für regionalen Backend-Dienst berechnen

Verteilung des globalen Backends

Systemdiagnose für Zielpool aktiviert

Logsenke

Multiregionales Logging-Bucket

Logging-Senke nicht auf Ordner- oder Organisationsebene aggregiert

Subexponentieller Backoff für Pub/Sub

Pub/Sub-Abo-Dead-Letter-Thema konfiguriert

Pub/Sub-Abo-Deadletter

Wiederholungsrichtlinie für Pub/Sub-Abo konfiguriert

Nachrichtenspeicherung für Pub/Sub-Themen

Pub/Sub-Themennachricht Cloud Storage-Richtlinie

Schema des Pub/Sub-Themas

Compute-Router bietet alle Subnetze an

Compute-Router mit aktiviertem BFD

Compute-Router-BGP-Keepalive

Compute-Router-BGP-Peer-Redundanz

Multiregionale Router für Projekte

Redundanz regionaler Router für Projekte

Eingehenden Traffic über globalen Load-Balancer weiterleiten

Mindestanzahl von Instanzen des Dienstes ausführen

Cloud Run-Dienst ohne ausgehenden VPC-Traffic

Cloudsql-Sicherung in mehreren Regionen

Cloud SQL-Instanz-CA-Zertifikat ungültig

Löschschutz für Cloud SQL-Instanzen

Wartungsfenster für Cloud SQL-Instanzen

Cloud SQL-Instanz – PITR deaktiviert

CloudSQL-Instanz Cloud Storage-Autoresize

Cloudsql mysql local infile enabled

Cloudsql mysql skip show database

Cloudsql mysql slow query log disabled

Cloudsql no auto backup

Cloud SQL-Passwortrichtlinie nicht aktiviert