Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Riferimento alle best practice di Google Cloud

Workload Manager controlla lo stato delle risorse in base alle best practice aggiornate e ti aiuta a migliorare la qualità, l'affidabilità e le prestazioni dei carichi di lavoro in esecuzione su Google Cloud.

Questo documento elenca le best practice supportate da Workload Manager per la valutazione dei carichi di lavoro in esecuzione su Google Cloud. Per scoprire di più su Workload Manager, consulta la panoramica del prodotto.

Livelli di gravità

Quando esegui una valutazione, Gestore workload valuta le risorse confrontando il loro stato attuale con le best practice. Se una risorsa non è conforme a una best practice selezionata, Workload Manager le assegna un livello di gravità che indica il grado di non conformità della risorsa. La console Google Cloud contrassegna ogni risorsa non conforme con un'icona. La tabella seguente spiega queste icone, i relativi livelli di gravità, l'impatto che l'impostazione attuale della risorsa potrebbe avere sul tuo workload e i suggerimenti per modificare la risorsa in modo da rispettare le best practice.

Livello di gravità	Impatti	Suggerimento
Critico	Affidabilità del sistema, interruzioni non pianificate, configurazione non supportata	Risolvi il problema il prima possibile per evitare un impatto sulla disponibilità del sistema e sull'integrità dei dati a causa di un elevato rischio di interruzione non pianificata.
Alta	Prestazioni ridotte, stabilità del sistema	Risolvi il problema durante il prossimo periodo di manutenzione pianificato.
Media	Prestazioni non ottimali, supporto	Risolvi il problema appena possibile.
Bassa	Comportamento informativo e non essenziale	Sebbene non sia necessaria alcuna risoluzione, la revisione di questa best practice può fornire informazioni utili.

Best practice supportate

Workload Manager supporta la valutazione dei seguenti tipi di workload per garantire che rispettino le best practice: Google Cloud

Google Cloud (Generale): best practice per i servizi Google Cloud principali.
MySQL: best practice per i deployment di database MySQL.
- Generali
Redis: best practice per i deployment Redis.
- Generali
SAP: best practice per i sistemi SAP.
SQL Server: best practice per i deployment di database SQL Server.
OpenShift: best practice per i cluster Red Hat OpenShift.

Le sezioni seguenti elencano le best practice supportate per i carichi di lavoro eseguiti su Google Cloud.

Sono disponibili un totale di 627 regole delle best practice.

Conteggio delle regole per best practice

Categoria	Conteggio regole
Chiavi API	4
Access Transparency	1
AlloyDB per PostgreSQL	4
Apigee X	1
Artifact Registry	1
BigQuery	10
Cloud Bigtable	3
Cloud Build	1
Cloud DNS	3
Cloud Functions	3
Cloud Key Management Service	14
Cloud Load Balancing	4
Cloud Logging	3
Cloud Pub/Sub	7
Router Cloud	6
Cloud Run	3
Cloud SQL	35
Cloud Spanner	6
Cloud Storage	20
Cloud VPN	4
Composer	1
Compute Engine	95
Dataproc	2
Filestore	5
Firestore	1
Gemini Enterprise Agent Platform	18
Gemini Enterprise Agent Platform Workbench	11
Google Kubernetes Engine	55
IAM	75
Memorystore for Memcache	2
Memorystore for Redis	8
Memorystore for Redis Cluster	3
NetApp Volumes	1
Networking	5
Servizio Policy dell'organizzazione	58
Resource Manager	3
SecOps	1
Secret Manager	2
Security Command Center	1
Sensitive Data Protection	1
MySQL: generale	7
OpenShift: ottimizzazione dei costi	1
OpenShift: efficienza operativa	6
OpenShift: affidabilità	5
OpenShift: sicurezza	6
Redis: generale	7
SAP: General	14
SAP: HANA	10
SAP: HANA Insights	18
SAP: HANA Security Best Practices	19
SAP: disponibilità elevata	33
SAP: NetWeaver	3
SQL Server: ottimizzazione dei costi	2
SQL Server: cluster di failover	2
SQL Server: prestazioni	10
SQL Server: stabilità	3
Totale	627

Le best practice sono taggate per aiutarti a identificare le aree di interesse:

Le regole di affidabilità, sicurezza e FinOps sono mappate ai pilastri del Google Cloud Well-Architected Framework.
CSPR: Cloud Security Posture Review.
MVSP: Minimal Viable Security Posture.

Seleziona una o più categorie di regole per filtrare l'elenco seguente.

Best practice di Google Cloud - Chiavi API (4 risultati)

Chiave API senza limitazioni

Gravità:
Media

Tag: IAM, chiave API, sicurezza, CSPR, CoNa

Asset: apikeys.googleapis.com/Key

Dettagli
Verifica che a tutte le chiavi API siano state applicate restrizioni, impedendo un uso improprio che potrebbe portare a violazioni della sicurezza, accesso non autorizzato ai dati e costi imprevisti.
Chiave API senza limitazioni del servizio

Gravità:
Media

Tag: IAM, chiave API, sicurezza, CSPR, CoNa

Asset: apikeys.googleapis.com/Key

Dettagli
Garantisce che le chiavi API siano limitate a servizi specifici, impedendo potenziali usi impropri che potrebbero comportare l'attivazione non autorizzata di API, vulnerabilità della sicurezza e costi imprevisti.
Chiave API più vecchia di 90 giorni

Gravità:
Bassa

Tag: IAM, chiave API, sicurezza, CSPR

Asset: apikeys.googleapis.com/Key

Dettagli
Applica un criterio di rotazione di 90 giorni per le chiavi API per ridurre al minimo il rischio per la sicurezza derivante da credenziali perse, divulgate o compromesse.
Chiavi API

Gravità:
Media

Tag: IAM, chiave API, sicurezza, CSPR

Asset: apikeys.googleapis.com/Key

Dettagli
Segnala l'esistenza di qualsiasi chiave API per incoraggiare l'utilizzo di metodi di autenticazione più sicuri, come i service account, riducendo così il rischio associato a credenziali statiche di lunga durata.

Best practice di Google Cloud - Access Transparency (1 risultato)

Access Transparency per l'organizzazione attivato

Gravità:
Media

Tag: Access Transparency, serviceusage, Security, Compliance

Asset: serviceusage.googleapis.com/Service

Dettagli
Verifica se il servizio Access Transparency è abilitato. Access Transparency ti fornisce log delle azioni intraprese dal personale di Google quando accede ai tuoi contenuti.

Best practice di Google Cloud - AlloyDB per PostgreSQL (4 risultati)

Backup automatici del cluster Alloy non abilitati

Gravità:
Media

Tag: AlloyDB, Backup, Reliability, Cost, BCDR, DataProtection, CSPR

Asset: alloydb.googleapis.com/Cluster

Dettagli
Verifica che i cluster AlloyDB abbiano abilitato una policy di backup automatica, garantendo che i dati critici siano protetti dalla perdita e possano essere recuperati rapidamente per mantenere la continuità aziendale e l'affidabilità del servizio.
Backup continui del cluster Alloy non abilitati

Gravità:
Media

Tag: AlloyDB, Backup, BCDR, DataProtection, Reliability, Cost, CSPR

Asset: alloydb.googleapis.com/Cluster

Dettagli
Verifica che i cluster AlloyDB abbiano il backup continuo abilitato, fornendo un recupero point-in-time (PITR) cruciale per proteggere dalla perdita di dati e garantire la continuità operativa.
Policy di manutenzione del cluster Alloy

Gravità:
Alta

Tag: Reliability, Operations, BCDR, CSPR

Asset: alloydb.googleapis.com/Cluster

Dettagli
Verifica che i cluster AlloyDB abbiano una policy di aggiornamento della manutenzione definita. La definizione di un criterio di manutenzione consente alle organizzazioni di pianificare gli aggiornamenti durante le ore non di punta per ridurre al minimo le interruzioni. L'assenza di questo criterio implica una tempistica predefinita che potrebbe coincidere con periodi operativi critici.
IP pubblico dell'istanza Alloy

Gravità:
Alta

Tag: AlloyDB, Security, Network, CSPR

Asset: alloydb.googleapis.com/Instance

Dettagli
Controlla se le istanze AlloyDB hanno l'IP pubblico abilitato. Gli IP pubblici espongono l'istanza a internet, aumentando la superficie di attacco. Ti consigliamo di utilizzare invece gli IP privati.

Best practice di Google Cloud - Apigee X (1 risultato)

Istanze multiregionali Apigee

Gravità:
Alta

Tag: Reliability, API, Apigee, HighAvailability, BCDR, CoNa

Asset: apigee_Organization_RESOURCE_INSTANCE

Dettagli
Verifica che un'organizzazione Apigee X abbia istanze Apigee di cui è stato eseguito il deployment in almeno due regioni diverse. Il deployment multiregionale di Apigee garantisce la ridondanza del gateway API, bassa latenza e protezione dalle interruzioni a livello di regione.

Best practice di Google Cloud - Artifact Registry (1 risultato)

Artifact Registry multiregionale

Gravità:
Alta

Tag: affidabilità, disponibilità, BCDR

Asset: artifactregistry.googleapis.com/Repository

Dettagli
Verifica che i repository Artifact Registry siano configurati per utilizzare una località multiregionale (ad es. Stati Uniti, Europa, Asia). L'utilizzo di località multiregionali garantisce la replica degli artefatti in più regioni geografiche, migliorando significativamente la disponibilità e la resilienza alle interruzioni regionali.

Best practice di Google Cloud - BigQuery (10 risultati)

CMEK set di dati BigQuery disabilitata

Gravità:
Media

Tag: BigQuery, set di dati, crittografia, CMEK, sicurezza, CSPR

Asset: bigquery.googleapis.com/Dataset

Dettagli
Controlla se i set di dati BigQuery sono criptati utilizzando le chiavi di crittografia gestite dal cliente (CMEK) di Cloud KMS. Anche se BigQuery cripta i dati at-rest per impostazione predefinita con chiavi gestite da Google, CMEK offre un controllo più granulare sulla gestione delle chiavi, inclusi rotazione, controllo dell'accesso e audit logging. Questa regola esamina il campo defaultEncryptionConfiguration all'interno della configurazione dei set di dati. Viene attivata una violazione se questo campo non è presente o se esiste ma non ha una proprietà kmsKeyName. L'assenza di defaultEncryptionConfiguration o kmsKeyName indica che il set di dati non utilizza CMEK per la crittografia, il che potrebbe influire sulla conformità e sulla postura di sicurezza.
Set di dati BigQuery con etichette mancanti

Gravità:
Bassa

Tag: BigQuery, set di dati, etichette, organizzazione, FinOps, gestione, CSPR

Asset: bigquery.googleapis.com/Dataset

Dettagli
Verifica se a un set di dati BigQuery sono state applicate etichette. Le etichette sono coppie chiave/valore definite dall'utente che aiutano a organizzare e gestire le risorse in Google Cloud. Vengono utilizzati per il filtraggio, il raggruppamento e i report sui costi. Questa regola verifica la presenza del campo delle etichette nel set di dati. Viene attivata una violazione se il campo delle etichette è mancante o vuoto.
Set di dati BigQuery con tag risorsa mancanti

Gravità:
Bassa

Tag: BigQuery, Dataset, Tag, Organizzazione, Gestione, AccessControl, FinOps, CSPR, CoNa, MVSP

Asset: bigquery.googleapis.com/Dataset

Dettagli
Verifica se a un set di dati BigQuery sono stati applicati tag risorsa. I tag delle risorse sono coppie chiave-valore gestite tramite Resource Manager. Vengono utilizzati per scopi organizzativi più ampi, tra cui l'integrazione con altri servizi Google Cloud e sistemi esterni (ad es. per controllo dell'accesso dell'accesso tramite i binding dei tag). Questa regola verifica la presenza del campo resourceTags. Viene generata una violazione se il campo dei tag non è presente o è vuoto.
Multiregione del set di dati BigQuery

Gravità:
Alta

Tag: Reliability, BigQuery, MultiRegion, HighAvailability, BCDR

Asset: bigquery.googleapis.com/Dataset

Dettagli
Verifica che i set di dati BigQuery siano configurati con una località multiregionale (ad esempio "US" o "EU") per garantire un'elevata resilienza e ridondanza dei dati nelle regioni. I set di dati regionali (configurazioni con un trattino) non soddisfano questo standard.
Set di dati BigQuery pubblico

Gravità:
Alta

Tag: BigQuery, Set di dati, Sicurezza, Privacy, Costo, Affidabilità, CSPR

Asset: bigquery.googleapis.com/Dataset

Dettagli
Verifica che i set di dati BigQuery non siano esposti pubblicamente. I set di dati esposti pubblicamente possono portare a una perdita involontaria di dati e a potenziali violazioni della privacy. BigQuery offre controlli di accesso granulari tramite i ruoli IAM e i set di dati devono essere limitati solo agli utenti e ai service account autorizzati. Questa regola verifica la presenza di allUsers o allAuthenticatedUsers nell'elenco di controllo dell'accesso ai set di dati, che concede l'accesso pubblico. L'assenza di queste voci indica che il set di dati non è accessibile pubblicamente.
CMEK tabella BigQuery

Gravità:
Media

Tag: BigQuery, Table, Encryption, CMEK, KMS, Security, Compliance, CSPR

Asset: bigquery.googleapis.com/Table

Dettagli
Controlla se le tabelle BigQuery sono criptate utilizzando le chiavi di crittografia gestite dal cliente (CMEK) in Cloud KMS. Per impostazione predefinita, BigQuery cripta i dati at-rest utilizzando le chiavi gestite da Google. CMEK offre un controllo più granulare sulle chiavi di crittografia, consentendo alle organizzazioni di gestire rotazione della chiave, l'accesso e l'audit. Questa regola esamina il campo encryptionConfiguration all'interno della configurazione delle tabelle. Se questo campo non è presente o se esiste ma non contiene un valore kmsKeyName, indica che la tabella non utilizza CMEK per la crittografia.
Scadenza della tabella BigQuery

Gravità:
Bassa

Tag: BigQuery, Table, Expiration, DataLifecycle, CostOptimization, DataGovernance, CSPR

Asset: bigquery.googleapis.com/Table

Dettagli
Verifica se una tabella BigQuery ha impostato un periodo di scadenza. L'impostazione di un tempo di scadenza per le tabelle è una best practice per la gestione del ciclo di vita dei dati e il controllo dei costi di archiviazione, soprattutto per le tabelle temporanee o di staging. Questa regola esamina il campo expirationTime all'interno della configurazione delle tabelle. Se expirationTime è null (o mancante, che viene trattato allo stesso modo in Rego), indica che la tabella non ha un tempo di scadenza impostato e viene generata una violazione. Un tempo di scadenza esplicito è una buona pratica per la governance dei dati.
Tabella BigQuery con etichette mancanti

Gravità:
Bassa

Tag: BigQuery, tabella, etichette, organizzazione, FinOps, gestione, CSPR

Asset: bigquery.googleapis.com/Table

Dettagli
Verifica se a una tabella BigQuery sono state applicate etichette. Le etichette sono coppie chiave/valore definite dall'utente che aiutano a organizzare e gestire le risorse in Google Cloud. Vengono utilizzati per il filtraggio, il raggruppamento e i report sui costi. Questa regola verifica la presenza del campo delle etichette nella tabella. Viene attivata una violazione se il campo delle etichette è mancante o vuoto.
Tag risorsa mancanti nella tabella BigQuery

Gravità:
Bassa

Tag: BigQuery, Table, Tags, Organization, Management, AccessControl, FinOps, CSPR, CoNa, MVSP

Asset: bigquery.googleapis.com/Table

Dettagli
Verifica se a una tabella BigQuery sono stati applicati tag risorsa. I tag delle risorse sono coppie chiave-valore gestite tramite Resource Manager. Vengono utilizzati per scopi organizzativi più ampi, tra cui l'integrazione con altri servizi Google Cloud e sistemi esterni (ad es. per controllo dell'accesso dell'accesso tramite i binding dei tag). Questa regola verifica la presenza del campo resourceTags. Viene generata una violazione se il campo resourceTags è mancante o vuoto.
Partizione della tabella BigQuery

Gravità:
Bassa

Tag: BigQuery, Table, Partition, Expiration, DataLifecycle, CostOptimization, TimePartitioning, CSPR

Asset: bigquery.googleapis.com/Table

Dettagli
Verifica se una tabella BigQuery partizionata in base al tempo ha impostato un tempo di scadenza della partizione. La scadenza delle partizioni elimina automaticamente le partizioni più vecchie della durata specificata. Ciò è fondamentale per gestire i costi di archiviazione e il ciclo di vita dei dati, soprattutto per i set di dati di serie temporali di grandi dimensioni. Questa regola esamina il campo timePartitioning e, in particolare, il campo expirationMs all'interno di timePartitioning. Se timePartitioning non è presente o se manca expirationMs o se non è un numero intero positivo, significa che la scadenza della partizione non è configurata correttamente e viene generata una violazione.

Best practice di Google Cloud - Cloud Bigtable (3 risultati)

Ridondanza del cluster Bigtable

Gravità:
Alta

Tag: Reliability, Database, Bigtable, HighAvailability, BCDR

Asset: bigtableadmin_Instance_RESOURCE_CLUSTER

Dettagli
Verifica che le istanze Bigtable abbiano cluster di cui è stato eseguito il deployment in tre o più regioni diverse. La ridondanza dei cluster multiregionali garantisce una disponibilità del 99, 999%, un robusto ripristino di emergenza e un accesso a bassa latenza per le applicazioni distribuite a livello globale.
Replica dell'istanza Bigtable abilitata

Gravità:
Alta

Tag: Reliability, Database, Bigtable, Replication, HighAvailability

Asset: bigtableadmin_Instance_RESOURCE_CLUSTER

Dettagli
Verifica che la replica sia abilitata per le istanze Bigtable assicurandosi che i cluster siano implementati in almeno 2 zone o regioni diverse. La replica è fondamentale per l'alta affidabilità, il failover e il ripristino di emergenza.
Routing multi-cluster del profilo Bigtable

Gravità:
Alta

Tag: Reliability, HighAvailability, BCDR, Bigtable

Asset: bigtableadmin.googleapis.com/AppProfile

Dettagli
Verifica che i profili app Bigtable utilizzino multi_cluster_routing_use_any per attivare il failover automatico e garantire l'alta affidabilità. L'utilizzo del routing a un cluster singolo crea un unico punto di errore, con il rischio di interruzioni del servizio se il cluster specifico non è più disponibile.

Best practice di Google Cloud - Cloud Build (1 risultato)

Ridondanza del pool Cloudbuild

Gravità:
Media

Tag: Reliability, Security, CloudBuild, HighAvailability, BCDR

Asset: cloudresourcemanager_Project_RESOURCE_WORKERPOOL

Dettagli
Verifica che i pool di worker privati di Cloud Build siano distribuiti in almeno due regioni diverse. Il deployment di pool di worker privati in più regioni garantisce che i flussi di lavoro CI/CD possano eseguire il failover se un servizio di build regionale subisce un'interruzione.

Best practice di Google Cloud - Cloud DNS (3 risultati)

Logging delle policy DNS

Gravità:
Media

Tag: DNS, Policy, Logging, Security, Auditing, VPC, CSPR, CoNa, MVSP

Asset: dns.googleapis.com/Policy

Dettagli
Controlla se il logging è abilitato per una policy Cloud DNS. Le policy DNS definiscono regole per il comportamento di risoluzione DNS, spesso utilizzate per l'inoltro in uscita o le ricerche DNS private. L'attivazione della registrazione registra le query elaborate dalla policy, il che è essenziale per l'audit della sicurezza e la risoluzione dei problemi di risoluzione DNS all'interno delle reti VPC. Questa regola esamina il campo enableLogging all'interno della configurazione del criterio DNS. Viene generata una violazione se enableLogging non è presente o se è impostato su false.
DNS zone public dnssec

Gravità:
Alta

Tag: DNS, DNSSEC, Security, ManagedZone, Public, CSPR, CoNa

Asset: dns.googleapis.com/ManagedZone

Dettagli
Verifica se DNSSEC (Domain Name System Security Extensions) è abilitato per una zona gestita pubblica in Cloud DNS. DNSSEC aggiunge un livello di sicurezza firmando digitalmente i record DNS, impedendo attacchi di tipo DNS spoofing e cache poisoning. Questa regola esamina il campo dnssecConfig all'interno della configurazione delle zone gestite. Se dnssecConfig non è presente o se il suo stato è off o non è presente, significa che DNSSEC non è attivato. Viene generata una violazione se DNSSEC non è abilitato per le zone pubbliche. Questa regola filtra in modo da interessare solo le zone gestite in cui la visibilità è impostata su pubblica.
Logging pubblico della zona DNS

Gravità:
Media

Tag: DNS, ManagedZone, Logging, Security, Auditing, Public, CSPR, CoNa, MVSP

Asset: dns.googleapis.com/ManagedZone

Dettagli
Controlla se il logging è abilitato per una zona gestita pubblica Cloud DNS. L'attivazione del logging DNS registra le query ricevute dai server dei nomi delle zone, il che è essenziale per l'audit di sicurezza, la risoluzione dei problemi e la conformità. Questa regola esamina il campo loggingConfig all'interno della configurazione delle zone gestite. Viene generata una violazione se la visibilità delle zone è pubblica e manca loggingConfig oppure loggingConfig.enableLogging è mancante o false.

Best practice di Google Cloud - Cloud Functions (3 risultati)

Cloudfunctions ingress gclb

Gravità:
Alta

Tag: Reliability, Security, Network, HighAvailability

Asset: cloudfunctions.googleapis.com/Function

Dettagli
Verifica che Cloud Functions abbiano impostazioni di traffico in entrata configurate su ALLOW_INTERNAL_AND_GCLB. Questa impostazione limita l'accesso al traffico interno e a Cloud Load Balancing di Google Cloud, un requisito per l'implementazione dell'alta disponibilità multiregionale utilizzando i bilanciatori del carico esterni globali, impedendo al contempo l'accesso pubblico diretto.
Numero minimo di istanze di funzione

Gravità:
Media

Tag: affidabilità, prestazioni, serverless

Asset: cloudfunctions.googleapis.com/Function

Dettagli
Assicura che Cloud Functions abbia l'impostazione minInstances configurata su un valore maggiore di 0. Questa configurazione impedisce gli avvii a freddo, garantendo prestazioni coerenti e una latenza ridotta durante i picchi di traffico mantenendo le istanze in uso e pronte.
Funzioni multiregionali del progetto

Gravità:
Alta

Tag: Reliability, Serverless, CloudFunctions, HighAvailability, BCDR

Asset: cloudresourcemanager_Project_RESOURCE_FUNCTION

Dettagli
Verifica che un progetto abbia Cloud Functions di cui è stato eseguito il deployment in almeno due regioni diverse. Il deployment di Cloud Function multiregionale garantisce la ridondanza delle applicazioni serverless e il failover senza interruzioni in caso di interruzione del servizio a livello di regione.

Best practice di Google Cloud - Cloud Key Management Service (14 risultati)

Livello di protezione della chiave di crittografia Cloud KMS hsm

Gravità:
Media

Tag: KMS, CryptoKey, Security, HSM, ProtectionLevel, Encryption, CSPR, CoNa

Asset: cloudkms.googleapis.com/CryptoKey

Dettagli
Controlla se il livello di protezione di una CryptoKey Cloud KMS è impostato su HSM. protectionLevel determina dove vengono eseguite le operazioni crittografiche. HSM significa che si verificano all'interno di un modulo di sicurezza hardware. L'HSM offre un livello di sicurezza più elevato. Questa regola controlla il campo versionTemplate.protectionLevel. Viene generata una violazione se protectionLevel è HSM. Sebbene il livello di protezione SOFTWARE sia accettabile per alcuni casi d'uso, in genere è consigliato l'HSM per requisiti di sicurezza più elevati.
Software di livello di protezione della chiave di crittografia Cloud KMS

Gravità:
Media

Tag: KMS, CryptoKey, Security, HSM, ProtectionLevel, Encryption, CSPR, CoNa

Asset: cloudkms.googleapis.com/CryptoKey

Dettagli
Controlla se il livello di protezione di una CryptoKey Cloud KMS è impostato su SOFTWARE. protectionLevel determina dove vengono eseguite le operazioni crittografiche. SOFTWARE indica che le operazioni vengono eseguite nel software, mentre HSM indica che vengono eseguite all'interno di un modulo di sicurezza hardware. L'HSM offre un livello di sicurezza più elevato. Questa regola controlla il campo versionTemplate.protectionLevel. Viene generata una violazione se protectionLevel è SOFTWARE. Sebbene il livello di protezione SOFTWARE sia accettabile per alcuni casi d'uso, in genere è consigliato l'HSM per requisiti di sicurezza più elevati.
Rotazione simmetrica della chiave di crittografia Cloud KMS

Gravità:
Alta

Tag: KMS, CryptoKey, rotazione, sicurezza, crittografia, simmetrica, KeyRotation, CSPR, CoNa

Asset: cloudkms.googleapis.com/CryptoKey

Dettagli
Controlla se una chiave di crittografia Cloud KMS con l'algoritmo GOOGLE_SYMMETRIC_ENCRYPTION e lo stato ENABLED ha la rotazione delle chiavi configurata. La rotazione della chiave regolare è una best practice di sicurezza fondamentale. Questa regola verifica quanto segue: 1. state La chiave state è ENABLED. 2. Scopo Lo scopo delle chiavi è ENCRYPT_DECRYPT. 3. versionTemplate.algorithm L'algoritmo è GOOGLE_SYMMETRIC_ENCRYPTION. 4. rotationPeriod o nextRotationTime Se manca uno di questi campi, significa che la rotazione non è configurata e viene generata una violazione. L'assenza di rotazione aumenta notevolmente il rischio se una chiave viene compromessa.
Cloud KMS ekm connection redundant resolvers

Gravità:
Alta

Tag: Reliability, Security, KMS, ExternalKey, HighAvailability

Asset: cloudkms.googleapis.com/EkmConnection

Dettagli
Garantisce che le connessioni External Key Manager (EKM) dispongano di resolver di servizi ridondanti per evitare errori nelle operazioni di crittografia durante le interruzioni degli endpoint.
Cartella della chiave Cloud KMS esposta pubblicamente

Gravità:
Alta

Tag: IAM, Compute Engine, immagine, sicurezza, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Folder

Dettagli
Rileva le chiavi KMS esposte pubblicamente all'interno di una cartella per impedire l'accesso e la decriptografia non autorizzati dei dati sensibili, salvaguardando così le tue risorse informative critiche e mitigando i rischi di violazione.
Organizzazione della chiave Cloud KMS esposta pubblicamente

Gravità:
Alta

Tag: IAM, Compute Engine, immagine, sicurezza, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Assicurati che le chiavi di crittografia KMS della tua organizzazione non siano esposte pubblicamente tramite i criteri IAM, proteggendo i dati sensibili da accessi non autorizzati e prevenendo costose violazioni dei dati.
Progetto chiave Cloud KMS esposto pubblicamente

Gravità:
Alta

Tag: IAM, Compute Engine, immagine, sicurezza, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Proteggi i dati critici e mantieni la conformità impedendo l'esposizione pubblica delle chiavi KMS, che limita le operazioni di crittografia alle sole identità autorizzate e mitiga i rischi di accesso non autorizzato e violazioni dei dati.
Chiave Cloud KMS esposta pubblicamente

Gravità:
Alta

Tag: IAM, Compute Engine, immagine, sicurezza, CSPR, CoNa

Asset: cloudkms.googleapis.com/CryptoKey

Dettagli
Questa regola identifica le chiavi KMS esposte pubblicamente, impedendo la decriptografia non autorizzata dei dati per proteggere le informazioni sensibili, garantire l'integrità dei dati ed evitare violazioni costose.
Cloud KMS key purpose symmetric

Gravità:
Bassa

Tag: KMS, CryptoKey, Security, Encryption, CSPR, CoNa

Asset: cloudkms.googleapis.com/CryptoKey

Dettagli
Controlla se lo scopo di Cloud KMS CryptoKey è impostato su ENCRYPT_DECRYPT. Sebbene KMS supporti altri scopi come la firma o la decriptazione asimmetrica, questa regola applica le chiavi di crittografia simmetrica come base di riferimento. Se sono necessarie chiavi asimmetriche per carichi di lavoro specifici, questa regola potrebbe generare falsi positivi e deve essere definita di conseguenza.
Raccolta di chiavi Cloud KMS esposta pubblicamente

Gravità:
Alta

Tag: IAM, Compute Engine, immagine, sicurezza, CSPR, CoNa

Asset: cloudkms.googleapis.com/KeyRing

Dettagli
Impedisci l'accesso non autorizzato a dati sensibili criptati assicurandoti che i criteri IAM del portachiavi KMS non concedano autorizzazioni pubbliche, salvaguardando così la riservatezza e l'integrità dei dati.
Rotazione della chiave Cloud KMS disabilitata

Gravità:
Media

Tag: KMS, KeyRotation, Security, Cryptography, Compliance, Reliability, CSPR, CoNa

Asset: cloudkms.googleapis.com/CryptoKey

Dettagli
Controlla se per le chiavi di Google Cloud Key Management Service (KMS) è attivata la rotazione automatica delle chiavi. La rotazione regolare delle chiavi è una best practice di sicurezza fondamentale per limitare il potenziale impatto di una chiave compromessa. Se una chiave viene compromessa, la rotazione limita il tempo in cui un malintenzionato può utilizzarla. Questa regola segnala le chiavi KMS per le quali la rotazione non è attivata. In genere, i periodi di rotazione più brevi sono preferibili per una maggiore sicurezza.
Rotazione della chiave Cloud KMS abilitata per 1 anno

Gravità:
Media

Tag: KMS, KeyRotation, Security, Cryptography, Compliance, Reliability, CSPR, CoNa

Asset: cloudkms.googleapis.com/CryptoKey

Dettagli
Controlla se per le chiavi di Google Cloud Key Management Service (KMS) è attivata la rotazione automatica delle chiavi e se il periodo di rotazione rientra in un limite accettabile (non superiore a 365 giorni). La rotazione regolare delle chiavi è una best practice di sicurezza fondamentale per limitare il potenziale impatto di una chiave compromessa. Se una chiave viene compromessa, la rotazione limita il tempo in cui un malintenzionato può utilizzarla. Questa regola segnala le chiavi KMS per le quali la rotazione non è attivata o il periodo di rotazione supera i 365 giorni. In genere, i periodi di rotazione più brevi sono preferibili per una maggiore sicurezza.
Keyring multiregionale Cloud KMS

Gravità:
Alta

Tag: affidabilità, BCDR, disponibilità, resilienza

Asset: cloudkms.googleapis.com/KeyRing

Dettagli
Verifica che i keyring Cloud KMS siano configurati per la disponibilità multiregionale o globale per massimizzare la resilienza contro le interruzioni regionali. Le chiavi archiviate in singole regioni non vengono replicate in più aree geografiche, creando un unico punto di errore durante gli incidenti regionali.
Ruolo Proprietario Cloud KMS

Gravità:
Media

Tag: KMS, Security, CSPR

Asset: cloudkms_CryptoKey_RESOURCE_IAM_POLICY_1

Dettagli
La limitazione del ruolo Proprietario altamente permissivo nei progetti KMS protegge le chiavi di crittografia da azioni accidentali o dannose, migliorando la sicurezza dei dati e la stabilità operativa.

Best practice di Google Cloud - Cloud Load Balancing (4 risultati)

Livello di rete della regola di forwarding Compute

Gravità:
Alta

Tag: Reliability, Network, LoadBalancing, NetworkTier, Performance

Asset: compute.googleapis.com/ForwardingRule

Dettagli
Verifica che le regole di forwarding (utilizzate dai bilanciatori del carico) siano configurate per utilizzare il livello di rete Premium. Il routing del livello Premium invia il traffico sul backbone della rete globale ad alta velocità di Google anziché sulla rete internet pubblica, garantendo la massima affidabilità, bassa latenza e garanzie SLA.
Calcola la distribuzione delle zone del servizio di backend regionale

Gravità:
Alta

Tag: Reliability, Network, LoadBalancing, HighAvailability

Asset: compute.googleapis.com/RegionBackendService

Dettagli
Verifica che i servizi di backend regionali (utilizzati dai bilanciatori del carico interni) abbiano backend distribuiti in almeno due zone diverse all'interno della regione. La distribuzione del backend multizona garantisce alta affidabilità e funzionalità di failover durante le interruzioni a livello di zona.
Distribuzione del backend globale

Gravità:
Alta

Tag: Reliability, Network, LoadBalancing, HighAvailability, BCDR

Asset: compute_BackendService_RESOURCE_RELATIONSHIP

Dettagli
Verifica che i backend del bilanciamento del carico globale siano distribuiti in almeno 2 regioni e 2 zone. La distribuzione del backend multiregionale e multizona garantisce alta affidabilità, tolleranza di errore e failover senza interruzioni in caso di interruzione a livello di regione o zona.
Controllo di integrità del pool di destinazione abilitato

Gravità:
Alta

Tag: Reliability, Network, LoadBalancing, HighAvailability

Asset: compute.googleapis.com/TargetPool

Dettagli
Assicurati che i pool di destinazione (bilanciatori del carico di rete) abbiano i controlli di integrità abilitati per impedire l'instradamento del traffico ai backend VM non integri.

Best practice di Google Cloud - Cloud Logging (3 risultati)

Sink di log

Gravità:
Media

Tag: Logging, Security, Compliance, CSPR, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_5

Dettagli
Segnala i progetti Google Cloud per i quali non sono configurati sink di log validi a livello di cartella, organizzazione o progetto.
Multi-regione del bucket di logging

Gravità:
Media

Tag: Reliability, Security, Logging, HighAvailability, BCDR

Asset: logging.googleapis.com/LogBucket

Dettagli
Verifica che i bucket Cloud Logging siano configurati in località multiregionali o globali (ad es. "global", "us", "eu") per garantire alta affidabilità e resilienza contro le interruzioni regionali. I bucket di log a livello di regione sono soggetti a perdita di dati se la regione subisce un'interruzione.
Sink di logging non aggregato a livello di cartella o organizzazione

Gravità:
Media

Tag: logging, Security, CSPR

Asset: logging.googleapis.com/LogSink

Dettagli
Identifica i sink di log a livello di cartella o organizzazione che non sono configurati come aggregati. I sink aggregati sono essenziali a livello di cartella/organizzazione per centralizzare i log di tutti i progetti e le risorse secondarie per le operazioni e i controlli di sicurezza.

Best practice di Google Cloud - Cloud Pub/Sub (7 risultati)

Backoff subesponenziale di Pub/Sub

Gravità:
Alta

Tag: Pub/Sub, Sottoscrizione, Affidabilità, Resilienza, CSPR

Asset: pubsub.googleapis.com/Subscription

Dettagli
Verifica che gli abbonamenti Pub/Sub siano configurati con un criterio di ripetizione di backoff esponenziale controllando la presenza delle impostazioni retryPolicy, minimumBackoff e maximumBackoff. L'implementazione del backoff esponenziale è fondamentale per la stabilità del sistema, in quanto impedisce che gli errori degli abbonati causino tempeste di tentativi immediati e non coordinati che possono sovraccaricare il sistema di messaggistica durante interruzioni temporanee.
Argomento messaggi non recapitabili della sottoscrizione Pub/Sub configurato

Gravità:
Media

Tag: affidabilità, messaggistica, ripristino di emergenza, resilienza

Asset: pubsub.googleapis.com/Subscription

Dettagli
Assicurati che le sottoscrizioni Pub/Sub abbiano un argomento messaggi non recapitabili configurato per isolare i messaggi non elaborabili e impedire il blocco dello stream.
Pub/Sub subscription deadletter

Gravità:
Media

Tag: Pub/Sub, Subscription, DeadLetter, Reliability, Messaging, ErrorHandling, CSPR

Asset: pubsub.googleapis.com/Subscription

Dettagli
Controlla se una sottoscrizione Pub/Sub ha configurato un argomento messaggi non recapitabili. Un argomento messaggi non recapitabili (DLT) è essenziale per gestire gli errori di recapito dei messaggi. Quando un messaggio non può essere consegnato a un abbonato dopo diversi tentativi, può essere inviato a una coda di messaggi non recapitabili, evitando la perdita di messaggi e consentendo l'analisi dei problemi di consegna. Questa regola esamina il campo deadLetterPolicy all'interno della configurazione degli abbonamenti. Se deadLetterPolicy non è presente o se esiste ma non ha un campo deadLetterTopic, la regola genera una violazione. L'utilizzo di una DLT è una best practice per l'elaborazione affidabile dei messaggi.
Criterio di ripetizione della sottoscrizione Pub/Sub configurato

Gravità:
Media

Tag: affidabilità, messaggistica, resilienza

Asset: pubsub.googleapis.com/Subscription

Dettagli
Assicurati che gli abbonamenti Pub/Sub abbiano criteri di ripetizione personalizzati configurati con backoff esponenziale per gestire correttamente gli errori temporanei.
Conservazione dei messaggi dell'argomento Pub/Sub

Gravità:
Alta

Tag: Reliability, DataProtection, Pub/Sub, CoNa

Asset: pubsub.googleapis.com/Topic

Dettagli
Verifica che gli argomenti Pub/Sub abbiano una durata di conservazione dei messaggi configurata. La conservazione dei messaggi garantisce che i messaggi vengano conservati per un periodo di tempo specificato, garantendo la disponibilità anche quando i sottoscrittori non sono temporaneamente disponibili o per la riproduzione storica.
Policy Cloud Storage per i messaggi dell'argomento Pub/Sub

Gravità:
Media

Tag: Reliability, Security, Pub/Sub, DataResidency, Compliance, CoNa

Asset: pubsub.googleapis.com/Topic

Dettagli
Verifica che gli argomenti Pub/Sub siano configurati con un criterio di archiviazione dei messaggi che limiti la persistenza dei messaggi a regioni specifiche. La limitazione dell'archiviazione dei messaggi alle regioni certificate previene le violazioni della conformità e garantisce il rispetto dei requisiti di residenza dei dati.
Schema dell'argomento Pub/Sub

Gravità:
Media

Tag: PubSub, Messaging, Schema, DataGovernance, Reliability

Asset: pubsub.googleapis.com/Topic

Dettagli
Controlla se gli argomenti Pub/Sub hanno uno schema configurato. L'applicazione di uno schema garantisce la qualità dei dati e impedisce che i messaggi non validi interrompano i consumer downstream.

Best practice di Google Cloud - router Cloud (6 risultati)

Il router di Compute annuncia tutte le subnet

Gravità:
Media

Tag: Reliability, Network, CloudRouter, Routing

Asset: compute.googleapis.com/Router

Dettagli
Verifica che i router Cloud siano configurati per annunciare tutte le subnet (utilizzando la modalità di annuncio DEFAULT o CUSTOM con il gruppo ALL_SUBNETS). In questo modo, le nuove subnet vengono pubblicizzate automaticamente alle reti on-premise, evitando interruzioni della connettività.
Compute router bfd enabled

Gravità:
Alta

Tag: Reliability, Network, BGP, BFD, HighAvailability

Asset: compute.googleapis.com/Router

Dettagli
Verifica che il rilevamento del forwarding bidirezionale (BFD) sia abilitato su tutti i peer BGP di un router Cloud. BFD fornisce il rilevamento dei guasti dei link in meno di un secondo per garantire un failover BGP rapido e un'elevata affidabilità.
Compute router bgp keepalive

Gravità:
Media

Tag: Reliability, Network, BGP, Keepalive, HighAvailability

Asset: compute.googleapis.com/Router

Dettagli
Verifica che il timer keepalive BGP sia configurato esattamente su 20 secondi sul router Cloud. Un intervallo keepalive di 20 secondi garantisce il rilevamento tempestivo degli errori di peering e la convergenza BGP prevedibile.
Ridondanza peer BGP del router Compute

Gravità:
Alta

Tag: affidabilità, rete, Cloud Router, BGP, ridondanza

Asset: compute.googleapis.com/Router

Dettagli
Verifica che i router Cloud abbiano almeno due peer BGP configurati. Le sessioni BGP ridondanti garantiscono l'alta affidabilità e impediscono interruzioni del routing durante la manutenzione o i guasti di rete.
Router multiregionali del progetto

Gravità:
Alta

Tag: Reliability, Network, Router, HighAvailability, BCDR

Asset: cloudresourcemanager_Project_RESOURCE_ROUTER

Dettagli
Verifica che un progetto abbia router Cloud distribuiti in almeno due regioni diverse. Il deployment di router Cloud multiregionale garantisce la ridondanza del networking ibrido (VPN, interconnessione, NAT) e protegge dalle interruzioni a livello di regione.
Ridondanza dei router regionali del progetto

Gravità:
Alta

Tag: Reliability, Network, CloudRouter, Redundancy, HighAvailability

Asset: cloudresourcemanager_Project_RESOURCE_ROUTER

Dettagli
Verifica che per ogni regione in cui vengono implementati i router Cloud in un progetto, siano configurati almeno due router Cloud. La ridondanza del router regionale garantisce l'alta affidabilità per la connettività ibrida (VPN/Interconnect) ed evita singoli punti di errore.

Best practice di Google Cloud - Cloud Run (3 risultati)

Esegui l'ingresso del bilanciatore del carico globale

Gravità:
Alta

Tag: affidabilità, alta disponibilità, networking, Cloud Run

Asset: run.googleapis.com/Service

Dettagli
Assicura che i servizi Cloud Run siano configurati per accettare il traffico solo da origini interne e Cloud Load Balancing. Questa limitazione forza il traffico a passare attraverso un bilanciatore del carico esterno globale, che è un prerequisito per ottenere l'alta affidabilità, la tolleranza di errore e la latenza ottimizzata di un'architettura multiregionale.
Esegui il numero minimo di istanze di servizio

Gravità:
Alta

Tag: affidabilità, latenza, serverless, Cloud Run

Asset: run.googleapis.com/Service

Dettagli
Assicura che i servizi Cloud Run configurino un numero minimo di istanze maggiore di zero. Questa configurazione è fondamentale per le applicazioni sensibili alla latenza per evitare gli avvii a freddo e mantenere la disponibilità immediata. Il problema si verifica quando l'annotazione autoscaling.knative.dev/minScale è mancante (il valore predefinito è 0) o è impostata esplicitamente su 0.
Esegui il servizio senza traffico in uscita VPC

Gravità:
Media

Tag: CloudRun, Serverless, VPC, Networking, Security, Egress, CSPR, CoNa, MVSP

Asset: run.googleapis.com/Service

Dettagli
Verifica se un servizio Cloud Run è configurato per utilizzare l'accesso VPC serverless per il traffico in uscita. Il routing del traffico in uscita tramite un connettore VPC consente ai servizi Cloud Run di accedere in modo sicuro alle risorse interne e può essere utilizzato per instradare il traffico tramite Cloud NAT per un IP statico in uscita. Si verifica una violazione se manca l'annotazione run.googleapis.com/vpc-access-connector.

Best practice di Google Cloud - Cloud SQL (35 risultati)

Cloudsql backup multi region

Gravità:
Media

Tag: affidabilità, backup

Asset: sqladmin.googleapis.com/Instance

Dettagli
Verifica che i backup delle istanze Cloud SQL siano configurati per l'archiviazione in più regioni. Per impostazione predefinita, i backup vengono archiviati nella stessa regione dell'istanza, il che non fornisce protezione contro le interruzioni a livello di regione. La configurazione dell'archiviazione multiregionale garantisce la disponibilità dei dati e la continuità operativa durante questi eventi.
Cloudsql instance ca cert invalid

Gravità:
Alta

Tag: CloudSQL, Security, Certificate, Expiration, Reliability, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Controlla lo stato di scadenza del certificato dell'autorità di certificazione (CA) per le istanze Cloud SQL. La rotazione regolare dei certificati CA e la verifica che non siano scaduti sono best practice di sicurezza fondamentali. Un certificato CA scaduto può interrompere le connessioni client al database, causando tempi di inattività dell'applicazione. Questa regola controlla due aspetti chiave: 1. Se esiste un certificato CA per l'istanza (a indicare che SSL/TLS è probabilmente configurato, il che è consigliato). 2. Se l'ora di scadenza (expirationTime) dei certificati CA esistenti è futura. Una violazione viene generata se non viene trovato alcun certificato CA o se il certificato trovato è scaduto (il relativo expirationTime è nel passato). La regola utilizza l'ora corrente (ottenuta tramite time.now_ns()) per eseguire il controllo della scadenza. L'ora viene convertita in secondi trascorsi dall'epoca per il confronto.
Protezione da eliminazione delle istanze Cloud SQL

Gravità:
Alta

Tag: Database, Sicurezza, Affidabilità, Protezione dei dati, CSPR, CoNa

Asset: sqladmin.googleapis.com/Instance

Dettagli
Verifica che le istanze Cloud SQL abbiano la protezione da eliminazione abilitata per evitare eliminazioni accidentali e potenziali perdite di dati. Quando settings.deletionProtectionEnabled è impostato su false o non è configurato, il database è vulnerabile alla rimozione immediata a causa di errori umani o script di automazione.
Periodo di manutenzione dell'istanza Cloud SQL

Gravità:
Alta

Tag: affidabilità, operazioni, manutenzione, BCDR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Verifica che le istanze Cloud SQL abbiano un periodo di manutenzione configurato, assicurandosi che gli aggiornamenti del sistema siano pianificati durante le ore non di punta per ridurre al minimo l'impatto sull'attività e prevenire tempi di inattività imprevisti.
Cloudsql instance pitr disabled

Gravità:
Media

Tag: CloudSQL, Instance, Backup, PITR, Recovery, Reliability, DataProtection, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Verifica che le istanze Cloud SQL abbiano abilitato il recupero point-in-time (PITR). Il recupero point-in-time consente di ripristinare il database in un momento specifico, fornendo funzionalità di recupero dei dati fondamentali. Questa regola controlla direttamente l'impostazione pointInTimeRecoveryEnabled all'interno di backupConfiguration. Se pointInTimeRecoveryEnabled è false o non è presente, indica che PITR non è abilitato.
Cloudsql instance Cloud Storage autoresize

Gravità:
Media

Tag: CloudSQL, Instance, Storage, AutoResize, Reliability, Availability, Performance, Cost, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Controlla se il ridimensionamento automatico dello spazio di archiviazione è abilitato per le istanze Cloud SQL. L'abilitazione di storageAutoResize consente di aumentare automaticamente la capacità di archiviazione delle istanze in base alle necessità, evitando potenziali errori di esaurimento dello spazio di archiviazione e tempi di inattività. Senza il ridimensionamento automatico, l'istanza può diventare non disponibile se esaurisce lo spazio di archiviazione. Questa regola verifica la presenza e il valore dell'impostazione storageAutoResize all'interno della configurazione delle istanze. Se storageAutoResize è false o non è presente, indica che il ridimensionamento automatico dello spazio di archiviazione è disattivato, il che può causare problemi operativi. L'attivazione di questa funzionalità è fondamentale per mantenere l'affidabilità e la disponibilità del database.
Cloudsql mysql local infile enabled

Gravità:
Media

Tag: CloudSQL, MySQL, istanza, sicurezza, flag, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
L'attivazione di local_infile su Cloud SQL per MySQL può esporre il server a exploit di lettura dei file; disattivalo a meno che non sia assolutamente necessario.
Cloudsql mysql skip show database

Gravità:
Media

Tag: CloudSQL, MySQL, istanza, sicurezza, flag, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Assicura che il flag skip_show_database sia attivato (impostato su on) per le istanze Cloud SQL per MySQL. L'attivazione di questo flag impedisce agli utenti di utilizzare il comando SHOW DATABASES, a meno che non dispongano del privilegio SHOW DATABASES. In questo modo, la sicurezza viene migliorata limitando la possibilità degli utenti di scoprire i nomi dei database, riducendo il rischio di tentativi di accesso non autorizzati e divulgazione di informazioni. Si tratta di una forma di sicurezza tramite segretezza.
Cloudsql mysql slow query log disabled

Gravità:
Media

Tag: CloudSQL, MySQL, Istanza, Prestazioni, Flag, Prestazioni, Risoluzione dei problemi, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Verifica se il flag di database slow_query_log è abilitato (impostato su on) per le istanze Cloud SQL per MySQL. L'abilitazione di questo flag attiva il log delle query lente, che registra le istruzioni SQL che superano una soglia di tempo di esecuzione definita (controllata da long_query_time). Il log delle query lente è uno strumento essenziale per identificare i colli di bottiglia delle prestazioni, ottimizzare le query e risolvere i problemi di prestazioni del database. La disattivazione di questo flag ostacola la possibilità di diagnosticare e risolvere i problemi di lentezza delle query.
Cloudsql no auto backup

Gravità:
Alta

Tag: Reliability, BCDR, DataProtection, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Verifica che i backup automatici siano abilitati per le istanze Cloud SQL, assicurando che i dati critici possano essere recuperati in caso di danneggiamento, eliminazione o interruzione del servizio. La disattivazione dei backup automatici elimina la possibilità di eseguire il recupero point-in-time.
Policy delle password CloudSQL non abilitata

Gravità:
Alta

Tag: CloudSQL, Instance, Security, Password, Reliability, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Verifica che le istanze Cloud SQL abbiano una policy di convalida della password abilitata. Per le best practice per la sicurezza, è consigliabile impostare una norma di convalida della password. Affidarsi a impostazioni predefinite o non impostare la convalida della password aumenta notevolmente il rischio di accesso non autorizzato e potenziali violazioni dei dati. Questa regola verifica l'assenza di convalida della password. Se la convalida della password non viene applicata all'istanza, indica una potenziale vulnerabilità della sicurezza.
Cloudsql pgsql log checkpoints

Gravità:
Media

Tag: CloudSQL, PostgreSQL, Affidabilità, Prestazioni, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Assicurati che il flag di database log_checkpoints sia attivato (impostato su on) per le istanze Cloud SQL per PostgreSQL. I punti di controllo sono punti critici nella sequenza del log delle transazioni in cui PostgreSQL scrive tutti i buffer di dati modificati su disco e aggiorna il file di controllo. La registrazione dei checkpoint fornisce informazioni preziose per monitorare il tempo di recupero del database, diagnosticare i problemi di rendimento correlati all'I/O e comprendere l'attività di scrittura. La disattivazione di questo flag può ostacolare la risoluzione dei problemi e l'analisi del ripristino.
Connessioni di log Cloud SQL pgsql disabilitate

Gravità:
Media

Tag: CloudSQL, PostgreSQL, Instance, Logging, Flags, Security, Troubleshooting, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Verifica se il flag di database log_connections è abilitato (impostato su on) per le istanze Cloud SQL per PostgreSQL. Se attivato, questo flag registra ogni tentativo di connessione riuscito al server di database, inclusi il nome utente e l'indirizzo IP del client. Queste informazioni sono fondamentali per l'audit della sicurezza, il monitoraggio dell'accesso al database e la risoluzione dei problemi relativi alla connessione. Integra il flag log_disconnections, che registra la fine delle sessioni. Questa regola segnala le istanze in cui la registrazione delle connessioni è disattivata.
Disconnessioni di log Cloud SQL pgsql disabilitate

Gravità:
Media

Tag: CloudSQL, PostgreSQL, Instance, Logging, Flags, Security, Troubleshooting, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Verifica se il flag di database log_disconnections è abilitato (impostato su on) per le istanze Cloud SQL per PostgreSQL. Se abilitato, questo flag registra la fine di ogni sessione client, inclusa la durata della sessione. Queste informazioni sono preziose per l'audit, l'analisi della sicurezza (ad es. il rilevamento di pattern di connessione insoliti) e la risoluzione dei problemi relativi alla connessione. Integra il flag log_connections, che registra l'inizio delle connessioni. Questa regola segnala i casi in cui la registrazione della disconnessione è disattivata.
Livello di dettaglio errori log Cloud SQL PostgreSQL

Gravità:
Media

Tag: CloudSQL, PostgreSQL, Instance, Logging, Flags, Troubleshooting, Debugging, Reliability, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Assicura che il flag di database log_error_verbosity per le istanze Cloud SQL per PostgreSQL sia impostato su default o verbose. Questo flag controlla la quantità di dettagli inclusi nei messaggi di errore scritti nel log del server. L'impostazione predefinita o dettagliata fornisce più informazioni per la risoluzione dei problemi e il debug rispetto all'impostazione concisa, che riduce al minimo i dettagli. Log degli errori più dettagliati possono contribuire in modo significativo alla diagnosi della causa principale dei problemi del database.
Nome host log Cloud SQL PostgreSQL

Gravità:
Media

Tag: CloudSQL, PostgreSQL, Istanza, Logging, Risoluzione dei problemi, Sicurezza, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Assicurati che il flag di database log_hostname sia attivato (impostato su on) per le istanze Cloud SQL per PostgreSQL. Se abilitato, questo flag registra i nomi host dei client che si connettono, oltre ai loro indirizzi IP. La registrazione dei nomi host può essere utile per la risoluzione dei problemi, il controllo della sicurezza e l'identificazione dell'origine delle connessioni. Ciò può essere particolarmente utile in ambienti in cui gli indirizzi IP cambiano frequentemente (ad es. a causa del DHCP) o in cui più client si connettono dallo stesso indirizzo IP (ad es. tramite un proxy o NAT). Tuttavia, l'attivazione di questa opzione può comportare un leggero overhead delle prestazioni a causa del nome host.
Cloudsql pgsql log lock waits

Gravità:
Media

Tag: CloudSQL, Performance, Reliability, PostgreSQL, Instance, Logging, Flags, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Assicurati che il flag di database log_lock_waits sia attivato (impostato su on) per le istanze Cloud SQL per PostgreSQL. L'attivazione di questo flag registra le attese di blocco prolungate, che spesso indicano colli di bottiglia nelle prestazioni o problemi di concorrenza all'interno del database. Monitorando questi log, gli amministratori possono identificare e risolvere le cause principali di query lente o problemi di prestazioni delle applicazioni. Questo approccio proattivo contribuisce a mantenere l'integrità e la reattività del database.
Durata minima di log Cloud SQL PostgreSQL disabilitata

Gravità:
Media

Tag: CloudSQL, PostgreSQL, Istanza, Logging, Flag, Prestazioni, Risoluzione dei problemi, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Verifica se il flag di database log_min_duration_statement è impostato su 1 (disattivato) nelle istanze Cloud SQL per PostgreSQL. Questo flag controlla il tempo di esecuzione minimo (in millisecondi) che un'istruzione deve impiegare prima di essere registrata. Se lo imposti su 1, la registrazione delle durate delle istruzioni viene disattivata, il che ostacola il monitoraggio delle prestazioni e la risoluzione dei problemi. In genere è consigliabile impostare una soglia specifica (ad es. 2000 per 2 secondi) per acquisire le query lente senza sovraccaricare i log. Questa regola segnala i casi in cui il logging delle istruzioni basato sulla durata è disattivato.
Cloudsql pgsql log min error too high

Gravità:
Media

Tag: CloudSQL, PostgreSQL, Instance, Logging, Flags, Troubleshooting, Security, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Verifica se il flag di database log_min_error_statement è impostato su error, log, fatal o panic per le istanze Cloud SQL per PostgreSQL. Questo flag controlla il livello di gravità delle istruzioni SQL registrate come errori. Se lo imposti su error o su un livello più restrittivo (log, fatal, panic), ti assicuri che tutte le istruzioni che causano errori vengano registrate, il che è fondamentale per la risoluzione dei problemi, l'audit e l'analisi della sicurezza. Impostazioni meno restrittive dell'errore (ad es. avviso, notifica) potrebbero non acquisire tutte le condizioni di errore, ostacolando la tua capacità di diagnosticare e risolvere i problemi. Questa regola segnala le istanze con un'impostazione meno restrittiva di error.
Cloudsql pgsql log min messages non default

Gravità:
Media

Tag: CloudSQL, PostgreSQL, Instance, Logging, Flags, Logging, Troubleshooting, Reliability, CSPR, CoNa

Asset: sqladmin.googleapis.com/Instance

Dettagli
Verifica se il flag di database log_min_messages è impostato sul valore predefinito (warning) per le istanze Cloud SQL per PostgreSQL. Questo flag controlla il livello di gravità dei messaggi scritti nel log del server. Sebbene il valore predefinito (avviso) sia generalmente appropriato, spesso è consigliabile modificare questa impostazione in base alle esigenze operative specifiche e al livello di dettaglio di logging desiderato. L'impostazione di un livello più dettagliato (ad es. avviso, informazioni, debug) può fornire maggiori informazioni per la risoluzione dei problemi, mentre l'impostazione di un livello meno dettagliato (ad es. errore, log, errore irreversibile, panico) può ridurre il volume dei log. Questa regola segnala le istanze in cui l'impostazione non è quella predefinita (avviso). La decisione di applicare il valore predefinito o consentire deviazioni è una decisione relativa alle norme.
Cloudsql pgsql log statement

Gravità:
Media

Tag: CloudSQL, PostgreSQL, Instance, Logging, Flags, Troubleshooting, Performance, Security, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Verifica che il flag di database log_statement sia configurato su un valore diverso da none per le istanze Cloud SQL per PostgreSQL. Il flag log_statement controlla quali istruzioni SQL vengono registrate. La registrazione appropriata delle istruzioni SQL è fondamentale per l'audit, l'analisi della sicurezza, la risoluzione dei problemi di prestazioni e il debug. Se lo imposti su valori come ddl, mod o all (a seconda delle tue esigenze), ottieni informazioni preziose sull'attività del database. L'impostazione Nessuno disattiva completamente la registrazione delle istruzioni, ostacolando queste importanti funzionalità.
Cloudsql pgsql log temp files

Gravità:
Media

Tag: CloudSQL, PostgreSQL, Istanza, Logging, Flag, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Assicura che il flag di database log_temp_files sia abilitato (impostato su un valore diverso da zero) per le istanze Cloud SQL per PostgreSQL. Questo flag controlla la registrazione dell'utilizzo dei file temporanei. Se lo imposti su un valore diverso da 0 (che disattiva la registrazione), puoi monitorare le dimensioni e il numero di file temporanei creati dalle query. La creazione eccessiva di file temporanei può indicare query inefficienti, impostazioni work_mem regolate in modo errato o potenziali colli di bottiglia delle prestazioni. L'analisi di questi log può contribuire a ottimizzare le prestazioni delle query e l'utilizzo delle risorse. Un valore pari a 0 disabilita la registrazione, mentre i valori positivi indicano una soglia in KB.
Cloudsql pgsql max connections

Gravità:
Media

Tag: CloudSQL, Affidabilità, Prestazioni, SQL, PostgreSQL, Istanza, Connessioni, Flag, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Assicura che il flag di database max_connections sia configurato in modo esplicito per le istanze Cloud SQL per PostgreSQL. L'impostazione di un valore appropriato per max_connections è fondamentale per la gestione delle risorse e per evitare l'esaurimento delle connessioni. Senza un limite definito, un aumento improvviso delle richieste di connessione potrebbe sovraccaricare il database, causando un peggioramento delle prestazioni o un denial of service. Il valore ottimale dipende dalle dimensioni dell'istanza e dal carico di lavoro.
Cloudsql pgsql pgaudit disabilitato

Gravità:
Media

Tag: CloudSQL, PostgreSQL, Istanza, Audit, Flag, Sicurezza, Audit, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Verifica se il flag cloudsql.enable_pgaudit è abilitato (impostato su on) per le istanze Cloud SQL per PostgreSQL. Questo flag abilita l'estensione pgaudit, che fornisce funzionalità di logging di controllo dettagliato di sessioni e oggetti. pgaudit consente di monitorare attività specifiche del database, come le operazioni SELECT, INSERT, UPDATE e DELETE, e di configurare regole di controllo granulari in base a utenti, ruoli e oggetti. Questo è fondamentale per l'audit di sicurezza, la conformità e l'analisi forense.
Cloudsql public access

Gravità:
Alta

Tag: CloudSQL, Instance, Security, Networking, CSPR, MVSP

Asset: sqladmin.googleapis.com/Instance

Dettagli
Rileva le istanze Cloud SQL configurate per consentire le connessioni da qualsiasi indirizzo IP (0.0.0.0/0) nelle reti autorizzate. L'esposizione di un'istanza di database a internet pubblico è un rischio per la sicurezza critico e deve essere evitata a meno che non sia assolutamente necessario e con estrema cautela. L'accessibilità pubblica aumenta notevolmente la superficie di attacco, rendendo l'istanza vulnerabile ad accessi non autorizzati, attacchi di forza bruta e violazioni dei dati. L'accesso deve essere limitato a indirizzi IP o intervalli specifici e noti.
Cloudsql require ssl

Gravità:
Alta

Tag: CloudSQL, Istanza, Sicurezza, SSL, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Applica l'utilizzo di connessioni SSL/TLS per tutti i client che si connettono a questa istanza Cloud SQL. L'obbligo di SSL/TLS cripta i dati in transito, proteggendoli da intercettazioni e attacchi man-in-the-middle. Si tratta di una best practice di sicurezza fondamentale per qualsiasi database che gestisca informazioni sensibili. Senza SSL/TLS, i dati vengono trasmessi in testo normale.
Password root di Cloud SQL non impostata

Gravità:
Alta

Tag: CloudSQL, Instance, Security, Password, Reliability, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Controlla se è impostata una password root per le istanze Cloud SQL. Per le best practice di sicurezza, è necessario impostare una password root efficace e univoca per tutte le istanze Cloud SQL. Questa regola controlla direttamente il campo rootPassword all'interno della configurazione dell'istanza. Un campo rootPassword vuoto o mancante indica una vulnerabilità di sicurezza significativa, in quanto significa che è possibile accedere all'istanza senza password o con una password predefinita.
Il server Cloud SQL conteneva l'autenticazione del database abilitata

Gravità:
Media

Tag: CloudSQL, SQL Server, Istanza, Sicurezza, Autenticazione, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Verifica se l'autenticazione del database indipendente è abilitata nelle istanze Cloud SQL per SQL Server. I database indipendenti consentono l'autenticazione a livello di database, anziché solo a livello di istanza (server). Sebbene ciò possa semplificare la portabilità del database, introduce anche potenziali rischi per la sicurezza se non gestito con attenzione. Gli utenti autenticati in un database autonomo possono ignorare i controlli di sicurezza a livello di istanza. In genere è consigliabile disattivare l'autenticazione del database indipendente, a meno che non sia specificamente richiesta e con una conoscenza approfondita delle implicazioni per la sicurezza.
Cloudsql server cross database owner chain

Gravità:
Media

Tag: CloudSQL, Affidabilità, SQL Server, Istanza, Sicurezza, Chaining di proprietà, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Assicura che la concatenazione della proprietà tra database sia disabilitata (impostata su off) nelle istanze Cloud SQL per SQL Server. La disattivazione di questa impostazione è una best practice di sicurezza fondamentale. Se abilitata, può consentire agli utenti di un database di ottenere potenzialmente l'accesso non intenzionale agli oggetti in altri database se le catene di proprietà non vengono gestite con attenzione. Ciò può portare a vulnerabilità di escalation dei privilegi.
Cloudsql server ext scripts enabled

Gravità:
Media

Tag: CloudSQL, SQL Server, Instance, Security, Flags, Security, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Controlla se il flag external scripts enabled è abilitato nelle istanze Cloud SQL per SQL Server. Questo flag controlla la possibilità di eseguire script esterni (ad es. R, Python) all'interno dell'ambiente SQL Server. Sebbene questa funzionalità possa essere utile per l'analisi avanzata e il machine learning, la sua attivazione introduce potenziali rischi per la sicurezza se non gestita con attenzione. Gli script esterni possono potenzialmente accedere alle risorse di sistema o eseguire codice dannoso. In genere è consigliabile disattivare questa funzionalità, a meno che non sia specificamente richiesta e siano state adottate misure di sicurezza appropriate.
Accesso remoto al server Cloud SQL

Gravità:
Media

Tag: CloudSQL, SQL Server, Istanza, Sicurezza, Controllo dell'accesso, Affidabilità, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Assicura che il flag di database "remote access" sia disabilitato (impostato su off) nelle istanze Cloud SQL per SQL Server. La disattivazione di questo flag impedisce ai client SQL Server su macchine remote di connettersi a questa istanza utilizzando la connessione amministratore dedicata (DAC). Sebbene DAC sia un potente strumento di risoluzione dei problemi, limitarne l'utilizzo alle sole connessioni locali riduce notevolmente la superficie di attacco. L'accesso remoto configurato in modo errato o compromesso può portare al controllo non autorizzato del database.
Flag di traccia del server CloudSQL 3625 abilitato

Gravità:
Media

Tag: CloudSQL, SQL Server, Istanza, Sicurezza, Affidabilità, Sicurezza, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Verifica se il flag di traccia 3625 è abilitato nelle istanze Cloud SQL per SQL Server. Il flag di Trace 3625 limita la quantità di informazioni restituite agli utenti non sysadmin nei messaggi di errore, mascherando potenzialmente i dettagli sensibili sulla struttura o la configurazione del database. Sebbene utile in alcuni contesti di sicurezza, questo flag di traccia viene spesso disattivato negli ambienti di sviluppo e test per fornire informazioni più dettagliate sugli errori per la risoluzione dei problemi. Questa regola segnala le istanze in cui è abilitato il flag di traccia 3625. È importante comprendere le implicazioni di questo flag e se è in linea con le tue esigenze operative e di sicurezza.
Cloudsql server unlimited user conn

Gravità:
Media

Tag: CloudSQL, SQL Server, Istanza, Connessioni, Flag, Prestazioni, Affidabilità, CSPR

Asset: sqladmin.googleapis.com/Instance

Dettagli
Verifica se il flag di database user connections è impostato su 0 (illimitato) nelle istanze Cloud SQL per SQL Server. Se imposti le connessioni utente su 0, consenti un numero illimitato di connessioni utente simultanee, il che può causare l'esaurimento delle risorse, un peggioramento delle prestazioni e un potenziale attacco Denial of Service. È una best practice configurare un limite specifico e ragionevole per le connessioni utente in base alle dimensioni dell'istanza e al workload previsto per evitare la contesa delle risorse e mantenere la stabilità del database. Questa regola segnala le istanze in cui le connessioni sono illimitate.
Opzioni utente del server Cloud SQL impostate

Gravità:
Media

Tag: CloudSQL, SQL Server, Instance, Configuration, Flags, Reliability, CSPR, CoNa

Asset: sqladmin.googleapis.com/Instance

Dettagli
Verifica se il flag di database user options è configurato nelle istanze Cloud SQL per SQL Server. Il flag delle opzioni utente specifica le impostazioni predefinite a livello di server per il comportamento di elaborazione delle query per tutti gli utenti. In genere è consigliabile evitare di impostare opzioni utente globali e consentire invece a singoli utenti o applicazioni di configurare le proprie impostazioni a livello di sessione in base alle esigenze. L'utilizzo di opzioni utente globali può causare un comportamento imprevisto o problemi di compatibilità se applicazioni diverse richiedono impostazioni diverse. Questa regola segnala le istanze in cui sono impostate le opzioni utente (ovvero non lo stato predefinito e non configurato, in genere rappresentato da 0 o da una stringa vuota).
Replica di failover dell'istanza Cloud SQL zonale

Gravità:
Alta

Tag: CloudSQL, Istanza, Affidabilità, Disponibilità, HA, Zonale, Failover, CSPR, CoNa

Asset: sqladmin.googleapis.com/Instance

Dettagli
Controlla se un'istanza Cloud SQL è configurata per l'alta affidabilità (HA). Questa regola si concentra sulle istanze di zona (non regionali) e verifica se è disponibile una replica di failover. Per le istanze di zona, disporre di una replica di failover è fondamentale per la resilienza. Se failoverReplicaAvailable è false per un'istanza di zona, significa che l'istanza è un single point of failure ed è vulnerabile alle interruzioni all'interno di quella zona. Un'istanza zonale senza una replica di failover non soddisfa i requisiti per l'alta affidabilità. Questo problema è considerato di gravità elevata perché influisce direttamente sull'affidabilità e sul tempo di attività del database.

Google Cloud Best Practices - Cloud Spanner (6 risultati)

Età del backup del database Spanner

Gravità:
Media

Tag: Spanner, Backup, Security, CSPR

Asset: spanner.googleapis.com/Backup

Dettagli
Verifica che i backup di Cloud Spanner siano precedenti al periodo di conservazione minimo.
Database Spanner senza CMEK

Gravità:
Alta

Tag: Spanner, Security, Encryption, CMEK, CSPR, MVSP

Asset: spanner.googleapis.com/Database

Dettagli
Verifica che i database Cloud Spanner siano criptati utilizzando chiavi di crittografia gestite dal cliente (CMEK) anziché chiavi gestite da Google.
Spanner database pitr enabled

Gravità:
Alta

Tag: Affidabilità, Database, Backup, Recupero, BCDR

Asset: spanner.googleapis.com/Database

Dettagli
Assicurati che i database Spanner abbiano configurato il recupero point-in-time (PITR) verificando che il periodo di conservazione della versione sia impostato su una durata non predefinita.
Protezione dall'eliminazione del database Spanner disattivata

Gravità:
Alta

Tag: sicurezza, affidabilità, protezione dei dati, CSPR

Asset: spanner.googleapis.com/Database

Dettagli
Applica la protezione da eliminazione sui database Cloud Spanner per proteggerli da eliminazioni accidentali, che possono causare la perdita irreversibile di dati e un'interruzione significativa del servizio. Questa regola verifica se il flag enableDropProtection è mancante o impostato esplicitamente su false, il che rende il database vulnerabile alla rimozione involontaria.
Capacità insufficiente dell'istanza Spanner

Gravità:
Alta

Tag: Reliability, Performance, Capacity Management, CSPR

Asset: spanner.googleapis.com/Instance

Dettagli
Verifica che le istanze Cloud Spanner siano sottoposte a provisioning con almeno 1 nodo o 1000 unità di elaborazione, garantendo una capacità adeguata per i carichi di lavoro di produzione per evitare latenza e limitazione. Le istanze con capacità inferiore potrebbero avere difficoltà durante i picchi di traffico, con un impatto sull'affidabilità dell'applicazione.
Istanza Spanner multiregionale

Gravità:
Alta

Tag: Reliability, Availability, BCDR, CSPR

Asset: spanner.googleapis.com/Instance

Dettagli
Verifica che le istanze Cloud Spanner siano configurate con una configurazione di istanza multiregionale per garantire una disponibilità del 99,999% e un'elevata resilienza contro le interruzioni a livello di regione. Le istanze configurate con configurazioni a regione singola (identificate dal prefisso regionale nell'impostazione di configurazione) non soddisfano questo standard di disponibilità.

Best practice di Google Cloud - Cloud Storage (20 risultati)

Policy di eliminazione temporanea del bucket Cloud Storage abilitata

Gravità:
Alta

Tag: Affidabilità, Archiviazione, Backup, Protezione dei dati

Asset: storage.googleapis.com/Bucket

Dettagli
Verifica che i bucket Google Cloud Storage abbiano una policy di eliminazione temporanea abilitata per proteggere da eliminazioni accidentali o dannose degli oggetti.
Replica turbo del bucket Cloud Storage

Gravità:
Media

Tag: Reliability, Storage, Replication, DisasterRecovery, BCDR

Asset: storage.googleapis.com/Bucket

Dettagli
Verifica che la replica turbo sia abilitata per i bucket GCS a due regioni per garantire un RPO di 15 minuti in base allo SLA di Google Cloud.
Bucket Cloud Storage interrompi caricamento in più parti incompleto

Gravità:
Bassa

Tag: CloudStorage, Lifecycle, CostOptimization

Asset: storage.googleapis.com/Bucket

Dettagli
Controlla se i bucket Cloud Storage hanno una regola del ciclo di vita configurata per interrompere i caricamenti in più parti incompleti. I caricamenti incompleti consumano spazio di archiviazione e comportano costi indefiniti se non vengono eliminati.
Rotazione CMEK del bucket Cloud Storage

Gravità:
Alta

Asset: storage_Bucket_RESOURCE_RELATIONSHIP

Dettagli
Assicurati che i bucket Cloud Storage siano criptati con una chiave di crittografia gestita dal cliente (CMEK) con un periodo di rotazione di <= 90 giorni.
Bucket Cloud Storage dual multi-region

Gravità:
Media

Tag: Bucket, Disponibilità, Resilienza, Ripristino di emergenza

Asset: storage.googleapis.com/Bucket

Dettagli
Verifica che i bucket Cloud Storage siano configurati con tipi di località a due o più regioni. Questa configurazione garantisce alta affidabilità e resilienza dei dati distribuendoli in più posizioni geografiche. Un tipo di località di regione lascia i dati vulnerabili a interruzioni di una singola regione e non soddisfa i requisiti di alta affidabilità.
Ciclo di vita vuoto del bucket Cloud Storage

Gravità:
Media

Tag: Storage, Bucket, Ciclo di vita, Affidabilità, Costo, CSPR, CoNa

Asset: storage.googleapis.com/Bucket

Dettagli
Identifica i bucket Cloud Storage in cui sono definite regole del ciclo di vita, ma in cui mancano un'azione specificata. Una regola del ciclo di vita senza un'azione è inefficace e non ha alcuno scopo. Le regole del ciclo di vita sono progettate per gestire il ciclo di vita degli oggetti tramite azioni come l'eliminazione o le transizioni della classe di archiviazione. Un'azione vuota indica un errore di configurazione che deve essere corretto. Questo potrebbe essere un segno di una configurazione incompleta o di un errore di battitura nella configurazione.
Bucket Cloud Storage gdpr

Gravità:
Media

Tag: Storage, Bucket, GDPR, Conformità, Località, UE, DataResidency, CSPR

Asset: storage.googleapis.com/Bucket

Dettagli
Verifica se un bucket Google Cloud Storage si trova al di fuori dei confini geografici dell'Unione Europea (UE). Per le organizzazioni soggette al GDPR o a normative simili sulla residenza dei dati, è fondamentale archiviare i dati in località conformi. Questa regola identifica i bucket in cui il campo della località non corrisponde a una multiregione UE (EU) o a una regione UE specifica (in genere inizia con EUROPE). I bucket trovati al di fuori della regione UE potrebbero richiedere una revisione per la conformità.
Logging dei bucket Cloud Storage abilitato

Gravità:
Media

Tag: Storage, Bucket, Logging, Security, Audit, CSPR, CoNa, MVSP

Asset: storage.googleapis.com/Bucket

Dettagli
Controlla se il logging è abilitato per il bucket Cloud Storage. La registrazione degli accessi fornisce registri dettagliati delle richieste effettuate al bucket, il che è importante per l'audit di sicurezza e il monitoraggio dell'accesso ai dati sensibili.
Etichetta di classificazione mancante nel bucket Cloud Storage

Gravità:
Bassa

Tag: Storage, Bucket, Etichette, DataGovernance, Classificazione, Sicurezza, CSPR, CoNa

Asset: storage.googleapis.com/Bucket

Dettagli
Verifica che il bucket Cloud Storage abbia un'etichetta "classification" configurata. Le etichette di classificazione (ad es. pubblica, privata, riservata) sono fondamentali per la governance dei dati e per l'applicazione di controlli di sicurezza appropriati.
Etichette mancanti del bucket Cloud Storage

Gravità:
Bassa

Tag: Storage, Bucket, Etichette, Organizzazione, FinOps, CSPR, CoNa

Asset: storage.googleapis.com/Bucket

Dettagli
Garantisce che ai bucket Cloud Storage siano applicate etichette per l'organizzazione delle risorse, l'allocazione dei costi e l'applicazione dei criteri.
Etichetta del proprietario del bucket Cloud Storage mancante

Gravità:
Bassa

Tag: Storage, Bucket, Labels, Proprietario, Security, CSPR, CoNa

Asset: storage.googleapis.com/Bucket

Dettagli
Verifica che il bucket Cloud Storage abbia un'etichetta "owner" configurata. L'etichettatura delle risorse con i proprietari aiuta a definire la responsabilità, l'allocazione dei costi e la gestione delle risorse.
Bucket Cloud Storage multiregionale

Gravità:
Alta

Tag: Reliability, Storage, MultiRegion, HighAvailability, BCDR

Asset: storage.googleapis.com/Bucket

Dettagli
Verifica che i bucket Cloud Storage siano configurati per utilizzare una località multiregionale o a due regioni per garantire la massima disponibilità, ridondanza dei dati e protezione contro le interruzioni del servizio a livello di regione. I bucket a regione singola non soddisfano questo standard di alta affidabilità.
Bucket Cloud Storage senza CMEK

Gravità:
Alta

Tag: Storage, Bucket, Encryption, CMEK, Security, CSPR

Asset: storage.googleapis.com/Bucket

Dettagli
Controlla se un bucket Cloud Storage è criptato utilizzando una chiave di crittografia gestita dal cliente (CMEK). L'utilizzo delle chiavi CMEK offre un maggiore controllo sulle chiavi di crittografia dei dati rispetto alla crittografia gestita da Google. Con le chiavi CMEK, gestisci il ciclo di vita delle chiavi, inclusi rotazione, controllo dell'accesso e audit, all'interno di Cloud KMS. Questo è spesso un requisito per la conformità legale o per una postura di sicurezza avanzata in cui è necessario il controllo diretto delle chiavi di crittografia. Se un bucket non utilizza una CMEK, utilizza la crittografia gestita da Google per impostazione predefinita.
Bucket Cloud Storage esposto pubblicamente

Gravità:
Critica

Tag: Security, Storage, IAM, CSPR, CoNa, MVSP

Asset: storage.googleapis.com/Bucket

Dettagli
Rileva se un bucket Cloud Storage è accessibile pubblicamente. I bucket pubblici consentono a qualsiasi utente su internet di leggere o scrivere dati, il che rappresenta un grave rischio di perdita di dati.
Bucket Cloud Storage con controllo delle versioni senza pulizia del ciclo di vita

Gravità:
Media

Tag: CloudStorage, Storage, Bucket, Cost, Reliability, CSPR, CoNa, MVSP

Asset: storage.googleapis.com/Bucket

Dettagli
Verifica se un bucket Cloud Storage con il controllo delle versioni degli oggetti abilitato dispone anche di una regola di ciclo di vita per liberare spazio dalle versioni non correnti. L'attivazione del controllo delle versioni senza una regola di ciclo di vita può comportare una crescita infinita dei costi di archiviazione, poiché le versioni precedenti non vengono mai eliminate. Si verifica una violazione se versioning.enabled è true, ma nessuna regola del ciclo di vita ha l'azione "Delete" (Elimina) combinata con una condizione "daysSinceNoncurrentTime" (giorni dall'ora non corrente).
Controllo delle versioni del bucket Cloud Storage disattivato

Gravità:
Media

Tag: Storage, Bucket, Versioning, Reliability, Recovery, CSPR, CoNa

Asset: storage.googleapis.com/Bucket

Dettagli
Verifica se il controllo delle versioni degli oggetti è abilitato per il bucket Cloud Storage. Il controllo delle versioni degli oggetti conserva le versioni precedenti di un oggetto quando viene sovrascritto o eliminato, fornendo una salvaguardia fondamentale contro la perdita o il danneggiamento accidentale dei dati. Se il controllo delle versioni è attivato, puoi ripristinare le versioni precedenti degli oggetti, se necessario. La disattivazione del controllo delle versioni comporta che le sovrascritture e le eliminazioni siano definitive.
Prevenzione dell'accesso pubblico a Cloud Storage

Gravità:
Media

Tag: Security, Storage, Compliance, CSPR, CoNa, MVSP

Asset: storage.googleapis.com/Bucket

Dettagli
Controlla se la prevenzione dell'accesso pubblico (PAP) è applicata ai bucket Cloud Storage. L'attivazione di PAP impedisce la pubblicazione dei bucket tramite policy IAM o ACL, proteggendo i dati sensibili dall'esposizione accidentale a internet.
Policy di conservazione di Cloud Storage non bloccata

Gravità:
Media

Tag: Storage, Bucket, Retention, Policy, Lock, Compliance, DataLoss, DataGovernance, CSPR, CoNa

Asset: storage.googleapis.com/Bucket

Dettagli
Controlla se un bucket Google Cloud Storage ha una policy di conservazione configurata e se questa policy è bloccata. Un criterio di conservazione specifica una durata minima per cui devono essere conservati gli oggetti nel bucket. Il blocco del criterio di conservazione lo rende permanente e immutabile, impedendo l'eliminazione o la modifica accidentale o dannosa del criterio. Questa regola verifica due condizioni: Se non è configurata una policy di conservazione (retentionPolicy) nel bucket. 2. Se è configurata una policy di conservazione, ma non è bloccata (retentionPolicy.isLocked è false o mancante). Se una di queste condizioni è vera, la regola genera una violazione. Una policy di conservazione sbloccata o l'assenza di una policy può aumentare il rischio di perdita o manomissione dei dati. Una norma di conservazione bloccata è fondamentale per la conformità e la governance dei dati.
Policy di conservazione di Cloud Storage non definita

Gravità:
Media

Tag: Storage, Bucket, Retention, Policy, Lock, Compliance, DataLoss, DataGovernance, CSPR, CoNa

Asset: storage.googleapis.com/Bucket

Dettagli
Controlla se un bucket Google Cloud Storage ha una policy di conservazione configurata e se questa policy è bloccata. Un criterio di conservazione specifica una durata minima per cui devono essere conservati gli oggetti nel bucket. Il blocco del criterio di conservazione lo rende permanente e immutabile, impedendo l'eliminazione o la modifica accidentale o dannosa del criterio. Questa regola verifica due condizioni: Se non è configurata una policy di conservazione (retentionPolicy) nel bucket. 2. Se è configurata una policy di conservazione, ma non è bloccata (retentionPolicy.isLocked è false o mancante). Se una di queste condizioni è vera, la regola genera una violazione. Una policy di conservazione sbloccata o l'assenza di una policy può aumentare il rischio di perdita o manomissione dei dati. Una norma di conservazione bloccata è fondamentale per la conformità e la governance dei dati.
Accesso uniforme a livello di bucket Cloud Storage

Gravità:
Media

Tag: Storage, Bucket, Security, CSPR

Asset: storage.googleapis.com/Bucket

Dettagli
Controlla se l'accesso uniforme a livello di bucket (UBLA) è abilitato per il bucket Cloud Storage. L'attivazione dell'accesso uniforme a livello di bucket offre un modo semplificato e coerente per gestire le autorizzazioni utilizzando i ruoli IAM a livello di bucket, anziché gestire i singoli ACL degli oggetti. Questa opzione è generalmente consigliata per una maggiore sicurezza e gestibilità. Con l'accesso uniforme a livello di bucket, utilizzi solo IAM per controllare l'accesso, semplificando il controllo e la comprensione delle autorizzazioni. La disattivazione di UBLA significa che ti affidi a una combinazione di IAM e ACL degli oggetti, che può diventare complessa e difficile da gestire.

Best practice di Google Cloud - Cloud VPN (4 risultati)

Compute vpn tunnel bgp enabled

Gravità:
Media

Tag: Reliability, Network, VPN, BGP, Routing

Asset: compute.googleapis.com/VpnTunnel

Dettagli
Verifica che i tunnel VPN di Compute Engine abbiano il routing BGP abilitato (ovvero siano associati a un router Cloud). Il routing statico per i tunnel VPN non dispone di funzionalità di failover dinamico e non è consigliato per i workload di produzione ad alta disponibilità.
Compute vpngateway ha

Gravità:
Alta

Tag: VPN, Networking, HighAvailability, Reliability

Asset: compute.googleapis.com/TargetVpnGateway

Dettagli
Verifica se i gateway Cloud VPN utilizzano la VPN classica (TargetVpnGateway) ritirata anziché la VPN ad alta disponibilità. La VPN classica non offre uno SLA del 99,99%.
Project multiregion vpngateways

Gravità:
Alta

Tag: Reliability, Network, VPN, HighAvailability, BCDR

Asset: cloudresourcemanager_Project_RESOURCE_VPNGATEWAY

Dettagli
Verifica che un progetto abbia gateway VPN di cui è stato eseguito il deployment in almeno due regioni diverse. Il deployment del gateway VPN multiregionale garantisce la ridondanza del networking ibrido e protegge dalle interruzioni a livello di regione.
Project regional vpntunnels

Gravità:
Alta

Tag: Reliability, Network, VPN, HighAvailability, BCDR

Asset: cloudresourcemanager_Project_RESOURCE_VPNTUNNEL

Dettagli
Verifica che per ogni regione in cui vengono implementati i tunnel VPN in un progetto siano configurati almeno due tunnel VPN. La ridondanza del tunnel VPN regionale garantisce la conformità allo SLA (accordo sul livello del servizio) del 99, 99%, il failover senza interruzioni e una connettività ibrida affidabile.

Best practice di Google Cloud - Composer (1 risultato)

Lo scheduler dell'ambiente Composer ha

Gravità:
Alta

Tag: Reliability, High Availability, Composer, Airflow, CoNa

Asset: composer.googleapis.com/Environment

Dettagli
Verifica che gli ambienti Cloud Composer siano configurati con almeno due scheduler Airflow per garantire l'alta affidabilità. L'esecuzione con un singolo scheduler comporta il rischio di interruzione del flusso di lavoro durante errori o manutenzione.

Best practice di Google Cloud - Compute Engine (95 risultati)

Numero minimo di repliche del gestore della scalabilità automatica ridondante

Gravità:
Alta

Tag: Reliability, Compute, Autoscaling, HighAvailability

Asset: compute.googleapis.com/Autoscaler

Dettagli
Verifica che i gestori della scalabilità automatica di Compute Engine abbiano minNumReplicas configurato su almeno 2 per garantire la disponibilità di istanze ridondanti durante gli eventi di scale down.
Livello di rete dell'indirizzo di Compute

Gravità:
Alta

Tag: Reliability, Network, NetworkTier, IPAddress, Performance

Asset: compute.googleapis.com/Address

Dettagli
Verifica che gli indirizzi IP esterni siano configurati per utilizzare il livello di rete Premium. Il livello di rete Premium instrada il traffico sulla rete backbone globale di Google anziché sulla rete internet pubblica, garantendo alta affidabilità, un numero inferiore di hop di routing e prestazioni superiori.
Reti automatiche di computing abilitate

Gravità:
Bassa

Tag: Compute, Network, VPC, AutoMode, Subnets, Networking, Configuration, CSPR

Asset: compute.googleapis.com/Network

Dettagli
Verifica se una rete VPC di Compute Engine ha la funzionalità autoCreateSubnetworks abilitata. Le reti VPC in modalità automatica creano automaticamente una subnet in ogni regione Google Cloud, il che potrebbe non essere in linea con le strategie di gestione degli indirizzi IP o di segmentazione di rete desiderate. Sebbene siano comodi per la configurazione, i VPC in modalità personalizzata offrono un controllo più granulare. Questa regola identifica le reti in cui autoCreateSubnetworks è impostato esplicitamente su true. Spesso è consigliabile utilizzare reti VPC in modalità personalizzata per un migliore controllo e una migliore postura di sicurezza.
Calcola i pool di destinazione da evitare

Gravità:
Alta

Tag: Compute, LoadBalancing, Legacy, Migration, Reliability, CSPR, CoNa

Asset: compute.googleapis.com/TargetPool

Dettagli
Rileva l'utilizzo dei pool di destinazione Compute Engine legacy. I pool di destinazione sono ritirati per gli scenari di bilanciamento del carico moderni a favore dei servizi di backend, che offrono funzionalità superiori di controllo di integrità, scalabilità automatica e multiregione. La presenza di un pool di destinazione indica una configurazione legacy che deve essere migrata per garantire l'affidabilità dell'applicazione e la parità delle funzionalità.
Logging del servizio di backend di Compute

Gravità:
Media

Tag: Compute, BackendService, Logging, Security, Auditing, Monitoring, LoadBalancing, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/BackendService

Dettagli
Controlla se la registrazione è abilitata per un servizio di backend di Compute Engine. La registrazione del servizio di backend registra le richieste elaborate dal bilanciatore del carico, fornendo una visibilità essenziale per il monitoraggio del traffico, la risoluzione dei problemi relativi agli errori, l'analisi della sicurezza e l'audit. Questa regola esamina il campo logConfig all'interno della configurazione dei servizi di backend. Viene generata una violazione se logConfig non è presente o se logConfig.enable non è presente o è impostato su false.
Servizio di backend di Compute senza controllo di integrità

Gravità:
Alta

Tag: Reliability, Compute, LoadBalancing, CoNa

Asset: compute.googleapis.com/BackendService

Dettagli
Rileva i servizi di backend del bilanciatore del carico per i quali non sono configurati controlli di integrità. I controlli di integrità sono fondamentali per instradare il traffico lontano dalle istanze non integre e prevenire interruzioni del servizio.
Compute be bucket cdn

Gravità:
Bassa

Tag: Compute, BackendBucket, CDN, Performance, Caching, CSPR

Asset: compute.googleapis.com/BackendBucket

Dettagli
Controlla se Cloud CDN è abilitato per un bucket di backend Compute Engine. Cloud CDN memorizza nella cache i contenuti più vicini agli utenti, migliorando le prestazioni e riducendo il carico del server di origine. Questa regola esamina il campo enableCDN all'interno della configurazione dei bucket di backend. Se enableCDN è false o non è presente, indica che Cloud CDN non è abilitato e viene generata una violazione.
Compute be bucket edge security policy

Gravità:
Alta

Tag: Compute, BackendBucket, Security, EdgeSecurityPolicy, CloudArmor, External, CSPR

Asset: compute.googleapis.com/BackendBucket

Dettagli
Controlla se una policy di sicurezza perimetrale è associata a un bucket di backend Compute Engine. I criteri di sicurezza perimetrale (parte di Cloud Armor) forniscono funzionalità di sicurezza avanzate, come la protezione dagli attacchi DDoS e WAF, per le applicazioni distribuite a livello globale. Per i bucket di backend che pubblicano contenuti tramite un bilanciatore del carico esterno, l'associazione di una policy di sicurezza perimetrale è una best practice per la sicurezza. Questa regola verifica la presenza del campo edgeSecurityPolicy nella configurazione dei bucket di backend. Se edgeSecurityPolicy è mancante o null, indica che non è associata alcuna policy di sicurezza perimetrale e viene generata una violazione.
Calcolo dello svuotamento della connessione

Gravità:
Media

Tag: Compute, BackendService, Reliability, Availability, LoadBalancing

Asset: compute.googleapis.com/BackendService

Dettagli
Controlla se l'interruzione controllata della connessione è abilitata per i servizi di backend di Compute Engine. Lo svuotamento delle connessioni riduce al minimo le interruzioni per gli utenti mantenendo aperte le connessioni esistenti per una durata specificata quando le istanze vengono rimosse o diventano non integre. Questa regola verifica se connectionDraining.drainingTimeoutSec è impostato su un valore maggiore di 0.
Compute be regional service ext sec policy

Gravità:
Alta

Tag: Compute, RegionBackendService, Security, LoadBalancing, External, SecurityPolicy, CSPR

Asset: compute.googleapis.com/RegionBackendService

Dettagli
Controlla se un servizio di backend Compute Engine esterno regionale ha una policy di sicurezza configurata. Per i bilanciatori del carico esterni, è fondamentale disporre di una policy di sicurezza per proteggersi dalle minacce. Questa regola controlla quanto segue: 1. loadBalancingScheme Verifica che il servizio di backend venga utilizzato per il bilanciamento del carico esterno. Verifica sia EXTERNAL che EXTERNAL_MANAGED. 2. securityPolicy Controlla se è configurata una policy di sicurezza. I servizi di backend utilizzano securityPolicy, non edgeSecurityPolicy. Viene generata una violazione se loadBalancingScheme indica un servizio esterno e securityPolicy è mancante o null.
Compute be regional service insecure protocol http

Gravità:
Media

Tag: Compute, RegionBackendService, Security, Protocol, Encryption, HTTP, TCP, HTTPS, CSPR

Asset: compute.googleapis.com/RegionBackendService

Dettagli
Verifica se un servizio di backend di Compute Engine è configurato per utilizzare i protocolli HTTP o TCP non criptati. L'utilizzo di HTTP o TCP semplici per le connessioni di backend può esporre il traffico dell'applicazione, inclusi dati potenzialmente sensibili, sulla rete interna. È consigliabile utilizzare protocolli sicuri come HTTPS, SSL o HTTP/2 oppure protocolli proxy appropriati (come TCP_PROXY) per garantire la riservatezza e l'integrità dei dati. Questa regola segnala i servizi di backend in cui il campo del protocollo è impostato su HTTP o TCP.
Compute be regional service insecure protocol tcp

Gravità:
Media

Tag: Compute, RegionBackendService, Security, Protocol, Encryption, HTTP, TCP, HTTPS, CSPR

Asset: compute.googleapis.com/RegionBackendService

Dettagli
Verifica se un servizio di backend di Compute Engine è configurato per utilizzare i protocolli HTTP o TCP non criptati. L'utilizzo di HTTP o TCP semplici per le connessioni di backend può esporre il traffico dell'applicazione, inclusi dati potenzialmente sensibili, sulla rete interna. È consigliabile utilizzare protocolli sicuri come HTTPS, SSL o HTTP/2 oppure protocolli proxy appropriati (come TCP_PROXY) per garantire la riservatezza e l'integrità dei dati. Questa regola segnala i servizi di backend in cui il campo del protocollo è impostato su HTTP o TCP.
Compute be service cdn

Gravità:
Bassa

Tag: Compute, BackendService, CDN, Performance, Caching, CSPR

Asset: compute.googleapis.com/BackendService

Dettagli
Verifica se Cloud CDN è abilitato per un servizio di backend Compute Engine. Cloud CDN memorizza nella cache i contenuti più vicini agli utenti, migliorando le prestazioni e riducendo il carico del server di origine. Questa regola esamina il campo enableCDN all'interno della configurazione dei servizi di backend. Se enableCDN è false o non è presente, indica che Cloud CDN non è abilitato e viene generata una violazione.
Compute be service ext sec policy

Gravità:
Alta

Tag: Compute, BackendService, Security, LoadBalancing, External, SecurityPolicy, CSPR

Asset: compute.googleapis.com/BackendService

Dettagli
Controlla se un servizio di backend Compute Engine esterno ha una policy di sicurezza configurata. Per i bilanciatori del carico esterni, è fondamentale disporre di una policy di sicurezza per proteggersi dalle minacce. Questa regola controlla quanto segue: 1. loadBalancingScheme Verifica che il servizio di backend venga utilizzato per il bilanciamento del carico esterno. Verifica sia EXTERNAL che EXTERNAL_MANAGED. 2. securityPolicy Controlla se è configurata una policy di sicurezza. I servizi di backend utilizzano securityPolicy, non edgeSecurityPolicy. Viene generata una violazione se loadBalancingScheme indica un servizio esterno e securityPolicy è mancante o null.
Compute be service iap over http

Gravità:
Alta

Tag: Compute, BackendService, IAP, Security, Encryption, HTTP, HTTPS, CSPR

Asset: compute.googleapis.com/BackendService

Dettagli
Verifica se un servizio di backend di Compute Engine ha Identity-Aware Proxy (IAP) abilitato durante l'utilizzo del protocollo HTTP non criptato. L'attivazione di IAP aggiunge l'autenticazione e l'autorizzazione, ma se la connessione tra il bilanciatore del carico e il servizio di backend utilizza HTTP semplice, il traffico (inclusi i dati dell'applicazione o le informazioni di sessione potenzialmente sensibili) non viene criptato sulla rete interna. Ciò rappresenta un rischio per la sicurezza. Questa regola controlla se iap.enabled è true E protocol è HTTP. È consigliabile utilizzare HTTPS per i servizi di backend quando IAP è abilitato per garantire la crittografia end-to-end.
Compute be service insecure protocol

Gravità:
Media

Tag: Compute, BackendService, Security, Protocol, Encryption, HTTP, TCP, HTTPS, CSPR

Asset: compute.googleapis.com/BackendService

Dettagli
Verifica se un servizio di backend di Compute Engine è configurato per utilizzare i protocolli HTTP o TCP non criptati. L'utilizzo di HTTP o TCP semplici per le connessioni di backend può esporre il traffico dell'applicazione, inclusi dati potenzialmente sensibili, sulla rete interna. È consigliabile utilizzare protocolli sicuri come HTTPS, SSL o HTTP/2 oppure protocolli proxy appropriati (come TCP_PROXY) per garantire la riservatezza e l'integrità dei dati. Questa regola segnala i servizi di backend in cui il campo del protocollo è impostato su HTTP o TCP.
Compute cloud armor attached

Gravità:
Media

Tag: Security, Compute, Network, Cloud Armor, Compliance, CSPR

Asset: compute_Instance_RESOURCE_7

Dettagli
Contrassegna le istanze VM di Compute Engine con IP pubblici a cui non è collegato Cloud Armor.
Account di servizio predefinito di Compute utilizzato

Gravità:
Media

Tag: Compute, Security, Service Account, Security, CSPR

Asset: compute.googleapis.com/Instance

Dettagli
Rileva le istanze di Compute Engine che utilizzano il account di servizio Compute Engine predefinito. Il account di servizio predefinito viene creato automaticamente e dispone di autorizzazioni ampie (ruolo Editor) per impostazione predefinita, il che viola il principio del privilegio minimo. È una best practice per la sicurezza creare e utilizzare service account personalizzati con le autorizzazioni minime necessarie per ogni istanza. L'utilizzo del account di servizio predefinito aumenta il rischio di accesso non autorizzato ed escalation dei privilegi in caso di compromissione di un'istanza.
Compute disk csek disabled

Gravità:
Media

Tag: Compute, Disk, Encryption, CSEK, Security, sha256, CSPR

Asset: compute.googleapis.com/Disk

Dettagli
Controlla se un disco Compute Engine è criptato utilizzando le chiavi di crittografia fornite dal cliente (CSEK). Con la crittografia lato client, fornisci la tua chiave di crittografia e Google Cloud la utilizza, rappresentata dal suo hash SHA256, per proteggere i tuoi dati. Questa regola esamina il campo diskEncryptionKey e, in particolare, il campo sha256 al suo interno. Se diskEncryptionKey non è presente o se sha256 non è presente, è vuoto o è nullo, significa che CSEK non è in uso, il che comporta una violazione.
Compute disk database hdd

Gravità:
Media

Tag: Performance, Compute, Disk, Storage, CoNa

Asset: compute.googleapis.com/Disk

Dettagli
Rileva i dischi permanenti di tipo "pd-standard" (HDD) collegati alle istanze VM configurate come database. I database richiedono IOPS elevati e bassa latenza, che gli HDD standard non possono fornire, causando colli di bottiglia delle prestazioni.
Disco di computing senza pianificazione di snapshot

Gravità:
Media

Tag: Reliability, Compute, Disk, Backup, CoNa

Asset: compute.googleapis.com/Disk

Dettagli
Rileva i dischi permanenti Compute Engine a cui non sono associate politiche di pianificazione degli snapshot. Le pianificazioni snapshot automatizzano il backup dei dati del disco, essenziale per ripristino di emergenza e per prevenire la perdita di dati.
Controllo regionale del disco di computing

Gravità:
Alta

Tag: affidabilità, alta disponibilità, calcolo, disco, archiviazione

Asset: compute.googleapis.com/Disk

Dettagli
Assicurati che i dischi permanenti di Compute Engine siano configurati come dischi permanenti regionali per garantire l'alta affidabilità e proteggere dalle interruzioni a livello di zona. I dischi regionali replicano in modo sincrono i dati tra due zone nella stessa regione, garantendo l'accessibilità anche se una zona specifica non è più disponibile. Questa regola controlla se il campo replicaZones elenca più zone.
Compute firewall all protocols internet

Gravità:
Media

Tag: Network, Security, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/Firewall

Dettagli
Una regola firewall che consente il traffico internet su tutti i protocolli amplia notevolmente la superficie di attacco della rete, aumentando il rischio di accesso non autorizzato, potenziali interruzioni del servizio e incidenti di sicurezza costosi.
Logging dei firewall di Compute

Gravità:
Media

Tag: Compute, Firewall, VPC, Logging, Security, Auditing, Network, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/Firewall

Dettagli
Controlla se il logging è abilitato per una regola firewall VPC. Il logging delle regole firewall registra le connessioni che corrispondono alla regola, fornendo informazioni preziose per il controllo della sicurezza, la risoluzione dei problemi di connettività di rete e la comprensione dei pattern di traffico. Questa regola esamina il campo logConfig all'interno della configurazione delle regole firewall. Viene generata una violazione se logConfig non è presente o se logConfig.enable non è presente o è impostato su false.
Porte di gestione del firewall di Compute aperte a internet

Gravità:
Alta

Tag: Compute, Security, Network, Firewall, SSH, RDP, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/Firewall

Dettagli
Controlla se le regole firewall consentono l'accesso pubblico senza restrizioni (0.0.0.0/0 o
Compute firewall policy all protocols internet

Gravità:
Media

Tag: Network, Security, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/FirewallPolicy

Dettagli
Questa regola identifica le configurazioni firewall eccessivamente permissive che consentono l'ingresso illimitato di internet su tutti i protocolli, aiutandoti a ridurre la superficie di attacco delle tue reti e a proteggerti da accessi non autorizzati.
Registrazione dei log delle policy del firewall di Compute

Gravità:
Media

Tag: Compute, FirewallPolicy, Logging, Security, Auditing, Network, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/FirewallPolicy

Dettagli
Controlla se un criterio firewall di Compute Engine contiene regole abilitate per cui non è abilitato il logging. Il logging del firewall registra le connessioni che corrispondono alle regole, essenziali per l'audit e la risoluzione dei problemi. Questa policy scorre l'array di regole incorporato nella risorsa FirewallPolicy. Viene generata una violazione se il criterio firewall contiene almeno una regola in cui disabled non è true (ovvero la regola è abilitata) E enableLogging non è true (ovvero la registrazione è disabilitata), considerando che i campi booleani mancanti spesso hanno valore predefinito false. Le regole con la priorità più alta (in genere le regole predefinite) vengono escluse.
Porte di gestione delle policy del firewall di Compute aperte a internet

Gravità:
Alta

Tag: Compute, Security, Network, Firewall, SSH, RDP, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/FirewallPolicy

Dettagli
Controlla se le policy firewall consentono l'accesso pubblico senza restrizioni (0.0.0.0/0 o
Compute firewall policy public ingress

Gravità:
Alta

Tag: Compute, FirewallPolicy, Security, Network, PublicAccess, Ingress, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/FirewallPolicy

Dettagli
Controlla se un criterio firewall di Compute Engine contiene regole in entrata abilitate che consentono il traffico da qualsiasi indirizzo IP di origine (0.0.0.0/0 per IPv4 o /0 per IPv6). Questa policy scorre l'array di regole incorporato nei dati della risorsa FirewallPolicy. Consentire il traffico in entrata pubblico può rappresentare un rischio significativo per la sicurezza se non è previsto. Questa regola segnala l'intera norma se esiste anche una sola regola di questo tipo.
Compute firewall policy unusual protocol internet

Gravità:
Media

Tag: Network, Security, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/FirewallPolicy

Dettagli
Identifica le regole del firewall che espongono protocolli insoliti rivolti a internet, consentendo una riduzione proattiva della superficie di attacco per migliorare la sicurezza e prevenire compromissioni costose del sistema.
Compute firewall policy unusual tcp ports internet

Gravità:
Media

Tag: Network, Security, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/FirewallPolicy

Dettagli
Migliora la sicurezza identificando le regole firewall che concedono l'accesso illimitato a internet pubblico alle porte TCP comunemente prese di mira (ad es. 20, 21, 22, 25, 53, 80, 110, 143, 443), consentendo la riduzione proattiva della superficie di attacco e la difesa contro lo sfruttamento non autorizzato.
Compute firewall policy unusual udp ports internet

Gravità:
Media

Tag: Network, Security, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/FirewallPolicy

Dettagli
Identifica le norme firewall che espongono a internet porte UDP in genere associate a TCP o altre porte sensibili, consentendoti di ridurre la superficie di attacco e migliorare l'affidabilità del servizio impedendo potenziali errori di configurazione o exploit.
Firewall Compute Internet esposto pubblicamente

Gravità:
Alta

Tag: Compute, Security, Network, Firewall, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/Firewall

Dettagli
Rileva le regole firewall di Compute Engine esposte pubblicamente. Una regola firewall è considerata esposta pubblicamente se consente il traffico da qualsiasi indirizzo IP (0.0.0.0/0 per IPv4 o /0 per IPv6) per le regole in entrata oppure consente il traffico verso qualsiasi indirizzo IP per le regole in uscita. Le regole firewall esposte pubblicamente aumentano significativamente la superficie di attacco e il rischio di accesso non autorizzato. Le regole firewall devono essere configurate in base al principio del privilegio minimo, consentendo solo il traffico necessario da/verso origini/destinazioni specifiche e attendibili. Questa regola verifica la presenza di regole in entrata e in uscita con intervalli di origine o destinazione eccessivamente permissivi, inclusi i casi in cui gli intervalli sono vuoti o nulli.
Compute firewall unusual protocols internet

Gravità:
Media

Tag: Network, Security, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/Firewall

Dettagli
Riduce la superficie di attacco identificando le regole firewall in entrata attive che espongono protocolli di rete non comuni (non TCP, UDP o ICMP) a internet, impedendo potenziali violazioni tramite servizi non monitorati.
Compute firewall unusual tcp ports internet

Gravità:
Media

Tag: Network, Security, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/Firewall

Dettagli
Ridurre la superficie di attacco a internet dei tuoi sistemi identificando e rivedendo le regole del firewall che espongono un elenco selezionato di porte TCP potenzialmente vulnerabili 20,21,22,25,53,80,110,143,443,587,989,990,995,1194,3389 all'accesso pubblico.
Compute firewall unusual udp ports internet

Gravità:
Media

Tag: Network, Security, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/Firewall

Dettagli
Questa regola migliora la sicurezza della rete identificando regole firewall esposte pubblicamente che consentono porte UDP insolite 20, 21, 22, 25, 53, 80, 110, 143, 443, 587, 989, 990, 995 e 1194, riducendo così al minimo la superficie di attacco e impedendo il potenziale sfruttamento del servizio che potrebbe influire su affidabilità, prestazioni o comportare costi imprevisti.
Firewall di Compute Engine che utilizza i tag di rete

Gravità:
Media

Tag: Compute, Network, Firewall, Tags, Security, CSPR

Asset: compute.googleapis.com/Firewall

Dettagli
Segnala le regole firewall VPC che utilizzano tag di rete. I tag di rete sono meno sicuri dei tag sicuri gestiti da IAM per il targeting del firewall.
Compute google private access

Gravità:
Media

Tag: Compute, Subnet, Subnetwork, VPC, PrivateGoogleAccess, Networking, Security, CSPR, CoNa

Asset: compute.googleapis.com/Subnetwork

Dettagli
Verifica se l'accesso privato Google è disabilitato per una subnet Compute Engine. L'accesso privato Google consente alle istanze VM nella subnet senza indirizzi IP esterni di raggiungere le API e i servizi Google utilizzando la rete interna di Google, migliorando la sicurezza e potenzialmente riducendo i costi di uscita. Se l'accesso privato Google è disattivato, le VM senza IP esterni non possono accedere direttamente a questi servizi. Questa regola esamina il campo privateIpGoogleAccess all'interno della configurazione della subnet. Viene generata una violazione se privateIpGoogleAccess non è presente o è impostato su false.
Compute http load balancer

Gravità:
Media

Tag: Network, Security, CSPR

Asset: compute.googleapis.com/TargetHttpProxy

Dettagli
Questa regola identifica i bilanciatori del carico HTTP, che trasmettono dati non criptati, esponendo in modo critico informazioni sensibili, erodendo la fiducia dei clienti e spesso violando i mandati di conformità, sottolineando così la necessità di HTTPS per comunicazioni sicure, private e affidabili.
Compute image old not deprecated

Gravità:
Media

Tag: Compute, Images, Lifecycle, FinOps, Cost, CSPR

Asset: compute.googleapis.com/Image

Dettagli
Rileva le immagini Compute Engine più vecchie di 90 giorni e non in stato ritirato. Le immagini vecchie e inutilizzate possono accumularsi, aumentando i costi di archiviazione e potenzialmente rappresentando rischi per la sicurezza se contengono software o vulnerabilità obsoleti. È una best practice rivedere regolarmente ed eseguire il ritiro o l'eliminazione delle vecchie immagini che non sono più necessarie. Questa regola segnala le immagini più vecchie di 90 giorni che non sono state ritirate, richiedendo una revisione del loro stato e una potenziale rimozione.
Riavvio automatico dell'istanza di computing

Gravità:
Alta

Tag: Compute, Reliability, Availability, HighAvailability, Resiliency, CSPR, CoNa

Asset: compute.googleapis.com/Instance

Dettagli
Controlla se la funzionalità di riavvio automatico è abilitata per le istanze Compute Engine. Il riavvio automatico garantisce che, se un'istanza viene terminata da un evento non avviato dall'utente (ad esempio un guasto hardware), venga riavviata automaticamente, mantenendo l'alta affidabilità.
Controllo del gruppo di istanze gestite dell'istanza di computing

Gravità:
Media

Tag: Reliability, Compute, HighAvailability, Resiliency

Asset: compute.googleapis.com/Instance

Dettagli
Controlla se l'istanza VM di Compute fa parte di un gruppo di istanze gestite (MIG). Le VM autonome non sono resilienti agli errori dell'host e non dispongono della riparazione automatica.
Migrazione live dell'istanza di computing

Gravità:
Alta

Tag: affidabilità, disponibilità, calcolo, manutenzione

Asset: compute.googleapis.com/Instance

Dettagli
Controlla se le istanze Compute Engine sono configurate per la migrazione live. La migrazione live mantiene le istanze in esecuzione durante gli eventi del sistema host, ad esempio gli aggiornamenti software o hardware, spostandole su un altro host. Le istanze non impostate su MIGRATE (ad es. impostate su TERMINATE) verranno arrestate durante la manutenzione, causando potenzialmente tempi di inattività dell'applicazione.
Account di servizio non predefinito dell'istanza di computing

Gravità:
Media

Tag: Compute, IAM, Security, CSPR

Asset: compute.googleapis.com/Instance

Dettagli
Verifica che le istanze Compute Engine non utilizzino il account di servizio Compute predefinito.
Rete Compute legacy

Gravità:
Bassa

Tag: Compute, Network, VPC, AutoMode, Subnets, Networking, Configuration, CSPR

Asset: compute.googleapis.com/Network

Dettagli
Identifica le reti VPC Compute Engine legacy. Le reti legacy non supportano le subnet, utilizzano un singolo intervallo IP globale e non supportano le funzionalità VPC moderne. La migrazione alle reti VPC in modalità personalizzata è consigliata per abilitare le subnet, migliorare la segmentazione della rete e ridurre la superficie di attacco.
CMEK immagine macchina di Compute disabilitata

Gravità:
Alta

Tag: Security, Encryption, CMEK, Compute, Machine Image, NIST-800-53-SC-28

Asset: compute.googleapis.com/MachineImage

Dettagli
Garantisce che le immagini macchina di Compute Engine siano criptate con una chiave di crittografia gestita dal cliente (CMEK), fornendo il controllo sulle chiavi di crittografia utilizzate per proteggere i dati delle immagini at-rest. Questa configurazione è fondamentale per soddisfare requisiti di conformità rigorosi e migliorare la sicurezza dei dati. Si verifica un errore di configurazione se il campo machineImageEncryptionKey.kmsKeyName è mancante o vuoto.
Controllo di integrità della migrazione di Compute disattivato

Gravità:
Media

Tag: compute, Security, CSPR

Asset: compute.googleapis.com/InstanceGroupManager

Dettagli
Identifica i gruppi di istanze gestite (MIG) per i quali non è configurato un controllo di integrità per la riparazione automatica. La configurazione dei controlli di integrità è una best practice operativa fondamentale per garantire il recupero automatico delle VM in caso di errori dell'applicazione.
Controllo regionale del gruppo di istanze gestite di Compute

Gravità:
Alta

Tag: Compute, Reliability, Availability, HighAvailability, MIG

Asset: compute.googleapis.com/InstanceGroupManager

Dettagli
Controlla se un gruppo di istanze gestite (MIG) di Compute Engine è configurato come zonale. I MIG regionali sono consigliati per l'alta affidabilità perché distribuiscono le istanze VM su più zone all'interno di una regione, proteggendo i carichi di lavoro da guasti a livello di singola zona. Questa regola identifica i MIG in cui la configurazione è associata a una zona specifica anziché a una regione.
Calcola le etichette mancanti

Gravità:
Bassa

Tag: Compute, VM, Instance, Labels, Organization, Management, FinOps, CSPR

Asset: compute.googleapis.com/Instance

Dettagli
Garantisce che alle istanze Compute Engine vengano applicate etichette per una migliore organizzazione delle risorse, allocazione dei costi e funzionalità di filtro.
Calcola i tag delle risorse mancanti

Gravità:
Media

Tag: Compute, VM, Tags, FinOps, Organization, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/Instance

Dettagli
Garantisce che alle istanze Compute Engine vengano applicati i tag Resource Manager tramite il campo params.resourceManagerTags per una governance, un'applicazione delle policy e un'analisi dei costi coerenti.
Calcola i tag mancanti

Gravità:
Media

Tag: Compute, Network, Firewall, Tags, FinOps, CSPR

Asset: compute.googleapis.com/Instance

Dettagli
Garantisce che alle istanze Compute Engine vengano applicati tag di rete per un targeting efficace delle regole firewall e una segmentazione della rete.
Log NAT di Compute disabilitato

Gravità:
Media

Tag: rete, logging, sicurezza

Asset: compute.googleapis.com/Router

Dettagli
L'attivazione della registrazione di Cloud NAT fornisce dati di telemetria critici per la risoluzione rapida dei problemi e l'analisi della sicurezza, migliorando l'affidabilità della rete e la visibilità operativa.
Calcola solo gli errori del log NAT

Gravità:
Media

Tag: rete, logging, sicurezza

Asset: compute.googleapis.com/Router

Dettagli
Attiva il logging Cloud NAT completo sia per le traduzioni che per gli errori per migliorare significativamente le funzionalità di risoluzione dei problemi e la visibilità operativa, poiché il logging solo degli errori limita gli insight diagnostici cruciali per l'affidabilità della rete e l'analisi della sicurezza.
Registrazione del router NAT di Compute

Gravità:
Media

Tag: Compute, Router, NAT, Logging, Monitoring, Security, Networking, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/Router

Dettagli
Controlla se la registrazione è disabilitata per le configurazioni Cloud NAT su un router Compute Engine. Il logging Cloud NAT fornisce visibilità sulle traduzioni NAT e sugli errori, fondamentali per il monitoraggio, la risoluzione dei problemi e l'analisi della sicurezza. Questa regola scorre tutte le configurazioni NAT (array nats) associate a un router. Se viene trovata una configurazione NAT in cui il campo logConfig.enable è mancante o impostato su false, viene generata una violazione per il router.
Compute neg zonal

Gravità:
Media

Tag: Reliability, new-rule, CoNa

Asset: compute.googleapis.com/NetworkEndpointGroup

Dettagli
Verifica l'esistenza di gruppi di endpoint di rete (NEG) a livello di zona. I NEG di zona limitano il traffico a una singola zona di disponibilità, creando un potenziale single point of failure durante le interruzioni a livello di zona. Questa regola identifica queste risorse per garantire che il loro utilizzo sia intenzionale e che facciano parte di una strategia di alta disponibilità multizona più ampia.
Compute network auto create subnet

Gravità:
Media

Tag: rete, sicurezza

Asset: compute.googleapis.com/Network

Dettagli
Disattiva le subnet create automaticamente per applicare una progettazione di rete intenzionale, migliorando la sicurezza impedendo la creazione di subnet predefinite potenzialmente non sicure in ogni regione e ottimizzando i costi evitando l'allocazione non necessaria di risorse.
Rete Compute predefinita

Gravità:
Media

Tag: Compute, Network, VPC, Default, Security, Networking, CSPR

Asset: compute.googleapis.com/Network

Dettagli
Verifica l'esistenza della rete Compute Engine predefinita. La rete predefinita viene creata automaticamente nei nuovi progetti (se non disattivata) e include regole firewall permissive (ad es. allowinternal, allowrdp, allowssh da qualsiasi posizione). Sebbene sia comodo per la configurazione iniziale, l'utilizzo della rete predefinita per i carichi di lavoro di produzione è sconsigliato a causa della sua struttura piatta e delle autorizzazioni predefinite eccessivamente ampie. È consigliabile creare reti VPC personalizzate con regole firewall più restrittive e specifiche. Questa regola identifica le reti denominate predefinite.
Routing dinamico globale della rete di Compute

Gravità:
Alta

Tag: Network, Reliability, HighAvailability, HybridConnectivity

Asset: compute.googleapis.com/Network

Dettagli
Controlla se la rete VPC è configurata con il routing dinamico globale. Il routing dinamico globale consente ai router Cloud di apprendere e pubblicizzare le route da tutte le regioni, facilitando il failover tra regioni e la gestione semplificata della rete per gli ambienti ibridi. Questa regola identifica le reti in cui routingConfig.routingMode non è impostato esplicitamente su GLOBAL.
Compute senza IP pubblico

Gravità:
Alta

Tag: Security, Compute, Public IP, Compliance, CSPR

Asset: compute.googleapis.com/Instance

Dettagli
Rileva le istanze VM di Compute Engine configurate con indirizzi IP pubblici (esterni). L'esposizione diretta delle VM a internet aumenta la vulnerabilità ad accessi non autorizzati e attacchi di tipo brute force. Le VM devono utilizzare IP privati e accedere a internet tramite Cloud NAT o Identity-Aware Proxy (IAP), a meno che non sia esplicitamente richiesto l'accesso pubblico.
Livello di rete predefinito del progetto di computing premium

Gravità:
Media

Tag: Reliability, Network, NetworkTier

Asset: compute.googleapis.com/Project

Dettagli
Verifica che il livello di servizio di rete predefinito per il progetto sia impostato su PREMIUM. L'utilizzo del livello STANDARD come predefinito potrebbe comportare prestazioni e affidabilità inferiori per il traffico di rete. Il livello PREMIUM utilizza la rete globale di Google per un routing ottimale.
Registra il servizio di backend regionale di Compute

Gravità:
Media

Tag: Compute, RegionBackendService, Logging, Security, Auditing, Monitoring, LoadBalancing, CSPR, CoNa, MVSP

Asset: compute.googleapis.com/RegionBackendService

Dettagli
Controlla se la registrazione è abilitata per un servizio di backend di Compute Engine. La registrazione del servizio di backend registra le richieste elaborate dal bilanciatore del carico, fornendo una visibilità essenziale per il monitoraggio del traffico, la risoluzione dei problemi relativi agli errori, l'analisi della sicurezza e l'audit. Questa regola esamina il campo logConfig all'interno della configurazione dei servizi di backend. Viene generata una violazione se logConfig non è presente o se logConfig.enable non è presente o è impostato su false.
Snapshot Compute con conservazione a lungo termine

Gravità:
Media

Tag: Compute, Snapshot, Policy risorse, DataRetention, Affidabilità, FinOps, CSPR, CoNa

Asset: compute.googleapis.com/ResourcePolicy

Dettagli
Rileva le pianificazioni degli snapshot di Compute Engine (all'interno dei criteri delle risorse) che hanno sia un periodo di conservazione superiore a 365 giorni sia una configurazione per conservare gli snapshot automatici anche dopo l'eliminazione del disco di origine (onSourceDiskDelete impostato su KEEP_AUTO_SNAPSHOTS). Sebbene lunghi periodi di conservazione e il mantenimento degli snapshot dopo l'eliminazione del disco di origine possano essere validi in scenari specifici, questa combinazione può comportare costi di archiviazione significativi e potenzialmente conservare i dati più a lungo del necessario. Questa regola segnala tali configurazioni per la revisione per garantire che siano in linea con le norme di conservazione dei dati e gli obiettivi di ottimizzazione dei costi.
Snapshot Compute senza cancellazione della sessione ospite

Gravità:
Media

Tag: Compute, Snapshot, Resource Policies, Backup, Reliability, CSPR

Asset: compute.googleapis.com/ResourcePolicy

Dettagli
Rileva le pianificazioni degli snapshot di Compute Engine (all'interno dei criteri delle risorse) per cui non sono abilitati gli snapshot coerenti con l'applicazione (ovvero guestFlush non è impostato su true). Gli snapshot coerenti con l'applicazione garantiscono che i dati sul disco si trovino in uno stato coerente al momento dello snapshot, il che è fondamentale per backup e recuperi affidabili, soprattutto per applicazioni come i database. Senza guestFlush, lo snapshot potrebbe acquisire dati in uno stato incoerente, il che potrebbe causare il danneggiamento dei dati o backup non recuperabili. Questa regola segnala le pianificazioni degli snapshot che non hanno coerenza con l'applicazione.
Snapshot di Compute più vecchio di 365 giorni

Gravità:
Media

Tag: Compute, Snapshots, Lifecycle, Reliability, FinOps, CSPR

Asset: compute.googleapis.com/Snapshot

Dettagli
Rileva gli snapshot di Compute Engine che risalgono a più di 365 giorni fa. Gli snapshot precedenti possono consumare spazio di archiviazione significativo e aumentare i costi. Sebbene alcuni snapshot debbano essere conservati per lunghi periodi, è una best practice rivedere ed eliminare regolarmente gli snapshot non più necessari. Questa regola segnala gli snapshot più vecchi di 365 giorni per la revisione, consentendoti di determinare se possono essere eliminati o archiviati in modo sicuro.
Compute sole tenant ng maintenance

Gravità:
Alta

Tag: Compute, NodeGroup, Disponibilità, Isolamento, SoleTenant

Asset: compute.googleapis.com/NodeGroup

Dettagli
Controlla se i gruppi di nodi single-tenant sono configurati con la policy di manutenzione MIGRATE_WITHIN_NODE_GROUP. Questa impostazione garantisce che, durante la manutenzione dell'host, le VM vengano sottoposte a migrazione live ad altri nodi all'interno dello stesso gruppo dedicato, preservando l'isolamento fisico e la disponibilità. Le violazioni si verificano se la policy di manutenzione è mancante o impostata su una modalità diversa, ad esempio DEFAULT o RESTART_IN_PLACE.
Compute ssl load balancer

Gravità:
Media

Tag: rete, sicurezza

Asset: compute.googleapis.com/TargetSslProxy

Dettagli
Garantisce che il traffico delle applicazioni venga gestito da bilanciatori del carico HTTPS moderni anziché da bilanciatori del carico proxy SSL legacy. Quando viene utilizzato un bilanciatore del carico HTTPS, fornisce la gestione del traffico di livello 7, incluse funzionalità come le mappe URL, l'integrazione con i certificati gestiti da Google e controlli di sicurezza avanzati. Ciò è utile per migliorare la sicurezza con funzionalità come le policy SSL e l'integrazione di Cloud Armor, migliorare la gestione del traffico con il routing basato sui contenuti e semplificare la gestione del ciclo di vita dei certificati. Ciò è particolarmente utile per le applicazioni web standard che possono trarre vantaggio da regole di routing e sicurezza consapevoli dell'applicazione. Tuttavia, il bilanciatore del carico proxy SSL potrebbe essere ancora necessario per carichi di lavoro non HTTP specifici che utilizzano SSL per la crittografia del livello di trasporto.
Compute subnet flowlogs

Gravità:
Media

Tag: Compute, Subnet, VPC, FlowLogs, Networking, Security, CSPR, CoNa

Asset: compute.googleapis.com/Subnetwork

Dettagli
Controlla se i log di flusso VPC sono abilitati per una subnet di Compute Engine. I log di flusso VPC registrano un campione di flussi di rete inviati e ricevuti dalle istanze VM nella subnet. Ciò fornisce una visibilità cruciale per il monitoraggio della rete, la scienza digitale forense, l'analisi della sicurezza e la risoluzione dei problemi in tempo reale. Questa regola esamina il campo enableFlowLogs all'interno della configurazione della subnet. Viene generata una violazione se enableFlowLogs è mancante o impostato su false.
Compute targethttpsproxy ssl

Gravità:
Media

Tag: Compute, TargetHttpsProxy, SSL, TLS, Security, Policy, Encryption, LoadBalancing, CSPR

Asset: compute.googleapis.com/TargetHttpsProxy

Dettagli
Controlla se una risorsa TargetHttpsProxy di Compute Engine ha un criterio SSL definito. I criteri SSL controllano l'insieme di funzionalità TLS (come le versioni TLS e i pacchetti di crittografia) che il proxy negozia con i client. L'associazione di una policy SSL specifica consente di applicare standard di sicurezza più rigorosi rispetto a quelli predefiniti. Questa regola esamina il campo sslPolicy all'interno della configurazione TargetHttpsProxy. Se sslPolicy è mancante o null/vuoto, indica che non è assegnata alcuna policy SSL specifica e viene generata una violazione. Affidarsi alle impostazioni SSL predefinite potrebbe non soddisfare requisiti di sicurezza o conformità specifici.
Compute tcp load balancer

Gravità:
Media

Tag: rete, sicurezza

Asset: compute.googleapis.com/TargetSslProxy

Dettagli
Convalida l'utilizzo del bilanciatore del carico del proxy SSL, indirizzando verso i bilanciatori del carico HTTPS per il traffico web al fine di migliorare la sicurezza, le prestazioni e l'efficienza operativa.
Disco non collegato di Compute

Gravità:
Bassa

Tag: CostOptimization, Compute, Disk, Storage, CoNa

Asset: compute.googleapis.com/Disk

Dettagli
Rileva i dischi permanenti non collegati ad alcuna istanza VM. I dischi scollegati continuano a generare addebiti, con conseguenti spese cloud non necessarie.
Calcola l'indirizzo publicip inutilizzato

Gravità:
Media

Tag: Compute, Address, IP, PublicIP, CostOptimization, Unused, Networking, CSPR, CoNa

Asset: compute.googleapis.com/Address

Dettagli
Controlla gli indirizzi IP esterni di Compute Engine riservati, ma non attualmente in uso da alcuna risorsa. Gli indirizzi IP pubblici riservati ma non utilizzati comportano costi e potrebbero indicare risorse orfane o errori di configurazione. Questa regola identifica gli indirizzi in cui addressType è EXTERNAL e lo stato è RESERVED. Ti consigliamo di assegnare gli indirizzi inutilizzati a una risorsa o di rilasciarli per evitare addebiti non necessari.
Confidential Computing della VM Compute disabilitato

Gravità:
Media

Tag: Compute, Security, Confidential Computing, CSPR

Asset: compute.googleapis.com/Instance

Dettagli
Controlla se Confidential Computing è abilitato per le istanze VM di Compute Engine. Confidential Computing utilizza la crittografia basata su hardware per proteggere i dati in uso, anche dal provider di servizi cloud. In questo modo, viene garantito un livello superiore di sicurezza e privacy per i carichi di lavoro sensibili. Questa regola segnala le istanze in cui Confidential Computing non è abilitato. L'abilitazione di Confidential Computing potrebbe essere un requisito di conformità o per soddisfare esigenze di sicurezza specifiche.
Protezione dall'eliminazione della VM di Compute disattivata

Gravità:
Media

Tag: Compute, Security, Deletion Protection, Security, Reliability, CSPR, CoNa

Asset: compute.googleapis.com/Instance

Dettagli
Controlla se la protezione dall'eliminazione è abilitata per le istanze VM di Compute Engine. La protezione dall'eliminazione impedisce l'eliminazione accidentale delle VM critiche. Se attivata, qualsiasi tentativo di eliminare l'istanza tramite API, CLI o console non andrà a buon fine, a meno che la protezione da eliminazione non venga prima disattivata esplicitamente. Ciò fornisce un'importante protezione contro errori umani o azioni dannose. Questa regola segnala le istanze senza protezione dall'eliminazione abilitata.
CMEK disco VM di Compute

Gravità:
Alta

Tag: Compute, Security, Encryption, CSPR

Asset: compute.googleapis.com/Instance

Dettagli
Controlla se tutti i dischi collegati a un'istanza VM di Compute Engine sono criptati utilizzando una chiave di crittografia gestita dal cliente (CMEK). La crittografia dei dischi protegge i dati inattivi, impedendo l'accesso non autorizzato ai dati in caso di compromissione dell'archiviazione fisica. L'utilizzo delle CMEK ti consente di controllare le chiavi di crittografia, inclusi rotazione della chiave e la gestione dell'accesso. Questa regola segnala le istanze in cui qualsiasi disco collegato non è criptato con una CMEK.
IP forwarding VM di Compute abilitato

Gravità:
Media

Tag: Compute, Security, Networking, CSPR

Asset: compute.googleapis.com/Instance

Dettagli
Controlla se l'IP forwarding è abilitato per le istanze VM di Compute Engine. L'abilitazione dell'inoltro IP consente a una VM di instradare il traffico tra reti diverse, fungendo da router. Sebbene questa funzionalità sia necessaria per alcuni casi d'uso (ad es. gateway NAT, server VPN), deve essere attivata solo quando è esplicitamente richiesta. L'attivazione dell'inoltro IP sulle istanze che non ne hanno bisogno aumenta la superficie di attacco e può essere potenzialmente sfruttata per bypassare i controlli di sicurezza della rete. Questa regola segnala le istanze con l'IP forwarding abilitato.
VM Compute senza monitoraggio dell'integrità

Gravità:
Alta

Tag: Compute, Security, Shielded VM, CSPR

Asset: compute.googleapis.com/Instance

Dettagli
Controlla se il monitoraggio dell'integrità è abilitato per le istanze VM di Compute Engine. Shielded VM offre un'integrità verificabile delle tue istanze VM, contribuendo a proteggerle da minacce avanzate come rootkit e bootkit. Il monitoraggio dell'integrità consente di monitorare l'integrità in fase di avvio delle istanze. vTPM fornisce un Trusted Platform Module virtualizzato. Avvio protetto contribuisce ad assicurare che il sistema esegua solo software autentici. Questa regola segnala le istanze in cui una qualsiasi di queste funzionalità non è abilitata.
VM Compute senza avvio protetto

Gravità:
Alta

Tag: Compute, Security, Shielded VM, CSPR, CoNa

Asset: compute.googleapis.com/Instance

Dettagli
Controlla se l'avvio protetto è abilitato per le istanze VM di Compute Engine. Shielded VM offre un'integrità verificabile delle tue istanze VM, contribuendo a proteggerle da minacce avanzate come rootkit e bootkit. Il monitoraggio dell'integrità consente di monitorare l'integrità in fase di avvio delle istanze. vTPM fornisce un Trusted Platform Module virtualizzato. Avvio protetto contribuisce ad assicurare che il sistema esegua solo software autentici. Questa regola segnala le istanze in cui una qualsiasi di queste funzionalità non è abilitata.
Compute VM no tpm

Gravità:
Alta

Tag: Compute, Security, Shielded VM, CSPR

Asset: compute.googleapis.com/Instance

Dettagli
Controlla se vTPM è abilitato per le istanze VM di Compute Engine. Shielded VM offre un'integrità verificabile delle tue istanze VM, contribuendo a proteggerle da minacce avanzate come rootkit e bootkit. Il monitoraggio dell'integrità consente di monitorare l'integrità in fase di avvio delle istanze. vTPM fornisce un Trusted Platform Module virtualizzato. Avvio protetto contribuisce ad assicurare che il sistema esegua solo software autentici. Questa regola segnala le istanze in cui una qualsiasi di queste funzionalità non è abilitata.
Compute VM oslogin 2fa disabled

Gravità:
Media

Tag: Compute, Security, OSLogin, 2FA, CSPR

Asset: compute.googleapis.com/Instance

Dettagli
Controlla se OS Login è abilitato per le istanze VM di Compute Engine senza abilitare l'autenticazione a due fattori (2FA). Sebbene OS Login migliori la sicurezza utilizzando IAM per controllo dell'accesso#39;accesso, richiedere l'autenticazione a due fattori aggiunge un ulteriore livello di protezione fondamentale contro le credenziali compromesse. Senza l'autenticazione a due fattori, un malintenzionato che ottiene la password di un utente potrebbe accedere alla VM. Questa regola segnala le istanze in cui OS Login è abilitato, ma l'autenticazione a due fattori non è abilitata.
Compute VM oslogin disabled

Gravità:
Media

Tag: Compute, Security, OSLogin, CSPR

Asset: compute.googleapis.com/Instance

Dettagli
(Nota: questa regola controlla solo gli override dei metadati a livello di istanza. Le configurazioni di accesso OS a livello di protezione non vengono convalidate da questa regola.) Verifica se OS Login è abilitato per le istanze VM di Compute Engine. OS Login fornisce controllo dell'accesso centralizzato e granulare alle VM utilizzando i ruoli IAM, anziché basarsi su singole chiavi SSH gestite a livello di istanza o progetto. OS Login migliora la sicurezza, semplifica la gestione delle chiavi e aumenta l'auditabilità. Questa regola segnala le istanze in cui OS Login non è abilitato.
Chiavi SSH a livello di progetto VM di Compute consentite

Gravità:
Media

Tag: Compute, Security, SSH, Security, Reliability, CSPR

Asset: compute.googleapis.com/Instance

Dettagli
Verifica se un'istanza VM di Compute Engine consente l'utilizzo di chiavi SSH a livello di progetto. Le chiavi SSH a livello di progetto possono essere aggiunte ai metadati di un progetto e concedere automaticamente l'accesso a tutte le istanze all'interno del progetto, a meno che non siano esplicitamente bloccate o OS Login non sia abilitato. Affidarsi esclusivamente alle chiavi SSH a livello di progetto viola il principio del privilegio minimo e aumenta il rischio di accesso non autorizzato se una chiave viene compromessa. In genere è consigliabile utilizzare OS Login (che fornisce un controllo più granulare) o bloccare esplicitamente le chiavi SSH a livello di progetto e utilizzare invece chiavi specifiche dell'istanza. Questa regola segnala le istanze che non bloccano le chiavi SSH a livello di progetto e per le quali OS Login non è abilitato.
Porta seriale VM Compute abilitata

Gravità:
Media

Tag: Compute, Security, Compute Engine, Serial Port, CSPR

Asset: compute.googleapis.com/Instance

Dettagli
Controlla se l'accesso alla porta seriale è abilitato per le istanze VM di Compute Engine. La porta seriale fornisce una console basata su testo per interagire con la VM, principalmente per il debug e la risoluzione dei problemi. Sebbene utile in situazioni specifiche, l'attivazione della porta seriale aumenta la superficie di attacco, in quanto può essere potenzialmente utilizzata per ottenere l'accesso non autorizzato se non è protetta correttamente. In generale, è consigliabile disattivare l'accesso alla porta seriale, a meno che non sia esplicitamente necessario e con misure di sicurezza appropriate (ad es. autenticazione avanzata, regole firewall). Questa regola segnala le istanze con l'accesso alla porta seriale abilitato.
Shielded VM di Compute VM incompleta

Gravità:
Alta

Tag: Compute, Security, Shielded VM, CSPR, CoNa

Asset: compute.googleapis.com/Instance

Dettagli
Verifica se tutte le funzionalità di Shielded VM (monitoraggio dell'integrità, vTPM e avvio protetto) sono abilitate per le istanze VM di Compute Engine. Shielded VM offre un'integrità verificabile delle tue istanze VM, contribuendo a proteggerle da minacce avanzate come rootkit e bootkit. Il monitoraggio dell'integrità consente di monitorare l'integrità in fase di avvio delle istanze. vTPM fornisce un Trusted Platform Module virtualizzato. Avvio protetto contribuisce ad assicurare che il sistema esegua solo software autentici. Questa regola segnala le istanze in cui una qualsiasi di queste funzionalità non è abilitata.
Accesso privato alla subnet della VM Compute

Gravità:
Media

Asset: compute_Instance_RESOURCE_6

Dettagli
Assicurati che le istanze VM siano connesse a subnet con l'accesso privato Google abilitato.
Compute vpntunnel ike version

Gravità:
Alta

Tag: Compute, VpnTunnel, VPN, IKEv1, IKEv2, Security, Encryption, Networking, CSPR

Asset: compute.googleapis.com/VpnTunnel

Dettagli
Verifica se un tunnel VPN Compute Engine è configurato per utilizzare il protocollo IKEv1. IKEv1 (Internet Key Exchange versione 1) è un protocollo VPN meno recente con vulnerabilità di sicurezza note rispetto al più moderno IKEv2. L'utilizzo di IKEv1 aumenta il rischio di vulnerabilità di sicurezza. Questa regola esamina il campo ikeVersion all'interno della configurazione del tunnel VPN. Viene generata una violazione se ikeVersion è impostato su 1. È consigliabile utilizzare IKEv2 (versione 2) per una maggiore sicurezza e affidabilità.
Firewall deny egress default

Gravità:
Alta

Tag: Security, Firewall, Network, Compliance, CSPR, CoNa, MVSP

Asset: compute_Network_RESOURCE_2

Dettagli
Segnala le reti VPC di Compute Engine che non sono configurate con una regola firewall di negazione dell'uscita predefinita.
Firewall policy deny egress default

Gravità:
Alta

Tag: Networking, Security, Compliance, CSPR, CoNa, MVSP

Asset: compute_Network_RESOURCE_1

Dettagli
Segnala le reti VPC di Compute Engine che non sono configurate con una policy firewall di negazione dell'uscita predefinita.
Immagini Compute Engine esposte pubblicamente

Gravità:
Alta

Tag: IAM, Compute Engine, immagine, sicurezza, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Impedisce l'accesso non autorizzato e la potenziale esfiltrazione di dati rilevando se un progetto IAM concede l'accesso pubblico (allUsers o allAuthenticatedUsers), il che esporrebbe tutte le immagini Compute Engine contenute.
Osconfig vuln report critical

Gravità:
Critica

Tag: Compute, Security, osconfig, Vulnerability, CSPR

Asset: compute_Instance_RESOURCE_8

Dettagli
Rileva le istanze VM di Compute Engine che dispongono di report sulle vulnerabilità di OS Config contenenti vulnerabilità con un livello di gravità CRITICO. Le vulnerabilità critiche rappresentano il livello di rischio più elevato e devono essere affrontate immediatamente per prevenire potenziali sfruttamenti.
privategoogleaccess compute

Gravità:
Media

Tag: networking, sicurezza, conformità

Asset: compute_Instance_RESOURCE_1

Dettagli
Assicurati che l'accesso privato Google sia abilitato specificamente per le subnet collegate alle istanze VM.
Project multiregion nat

Gravità:
Alta

Tag: Reliability, Network, NAT, HighAvailability, BCDR

Asset: cloudresourcemanager_Project_RESOURCE_ROUTER

Dettagli
Verifica che un progetto abbia Cloud NAT configurato in almeno due regioni diverse. Il deployment di Cloud NAT su più regioni garantisce la ridondanza e protegge dalle interruzioni a livello di regione per la connettività in uscita.
Istanze multizona del progetto

Gravità:
Alta

Tag: Reliability, Compute, Instance, HighAvailability, BCDR, CoNa

Asset: cloudresourcemanager_Project_RESOURCE_INSTANCE

Dettagli
Verifica che un progetto abbia VM di servizio dell'applicazione Compute Engine di cui è stato eseguito il deployment in almeno due zone diverse. Il deployment di VM multizona garantisce la ridondanza di calcolo e protegge da interruzioni a livello di zona.
Snapshot Cloud Storage multi-regionale

Gravità:
Media

Tag: Reliability, Compute, Backup, DisasterRecovery, BCDR

Asset: compute.googleapis.com/Snapshot

Dettagli
Verifica che gli snapshot dei dischi Compute Engine siano archiviati in località multiregionali per garantire la sopravvivenza e la capacità di ripristino durante un'interruzione a livello regionale.
Sslpolicy modern con tlsv12

Gravità:
Alta

Tag: Compute, SslPolicy, TLS, Security, Encryption, Profile, Modern, CSPR

Asset: compute.googleapis.com/SslPolicy

Dettagli
Verifica se un criterio SSL di Compute Engine soddisfa gli standard di sicurezza consigliati impostando il profilo su MODERN e la versione TLS minima su TLS_1_2. Il profilo MODERN include suite di crittografia efficaci e disattiva le versioni TLS precedenti e meno sicure. L'impostazione della versione TLS minima su TLS_1_2 migliora ulteriormente la sicurezza impedendo l'utilizzo di TLS 1.0 e 1.1. Questa regola esamina i campi profile e minTlsVersion. Viene generata una violazione se il profilo non è MODERN o se minTlsVersion non è TLS_1_2.
Tipo di stack della subnet

Gravità:
Media

Tag: sicurezza, rete, conformità

Asset: compute.googleapis.com/Subnetwork

Dettagli
Controlla se una subnet VPC di Compute Engine è configurata con un tipo di stack a doppio stack (IPV4_IPV6). L'applicazione dei tipi di stack solo IPv4 contribuisce a mantenere una postura di sicurezza coerente, riduce la complessità della rete e garantisce l'allineamento con le policy dell'organizzazione che limitano l'utilizzo di IPv6 per impedire percorsi di accesso non autorizzati.

Best practice di Google Cloud - Dataproc (2 risultati)

Ritiro controllato della scalabilità automatica di Dataproc

Gravità:
Media

Tag: Dataproc, scalabilità automatica, affidabilità, ottimizzazione dei costi

Asset: dataproc.googleapis.com/AutoscalingPolicy

Dettagli
Controlla se i criteri di scalabilità automatica Dataproc definiscono un valore gracefulDecommissionTimeout. Un timeout controllato garantisce che i job in esecuzione possano essere completati prima che i nodi di lavoro vengano ridotti.
Dataproc master del cluster ha

Gravità:
Alta

Tag: Reliability, Availability, HighAvailability, BCDR

Asset: dataproc.googleapis.com/Cluster

Dettagli
Verifica che i cluster Dataproc funzionino in modalità ad alta disponibilità eseguendo il provisioning di tre istanze master. L'esecuzione con meno di tre nodi master introduce un singolo punto di errore, compromettendo la stabilità della produzione e la continuità dell'elaborazione dei dati durante la manutenzione o le interruzioni.

Best practice di Google Cloud - Filestore (5 risultati)

Configurazione del backup dell'istanza Filestore

Gravità:
Alta

Tag: sicurezza, affidabilità, protezione dei dati, backup, CSPR

Asset: file.googleapis.com/Instance

Dettagli
Assicurati che le istanze Filestore abbiano una pianificazione di backup definita per consentire un robusto recupero dei dati e proteggerti dalla perdita di dati dovuta a eliminazione o danneggiamento accidentali. Questa regola convalida specificamente la presenza di un backupConfig nelle impostazioni dell'istanza, che è essenziale per la continuità aziendale.
Protezione da eliminazione dell'istanza Filestore disabilitata

Gravità:
Alta

Tag: sicurezza, affidabilità, protezione dei dati, CoNa

Asset: file.googleapis.com/Instance

Dettagli
Assicura che le istanze Filestore abbiano la protezione da eliminazione abilitata per evitare perdite di dati accidentali e interruzioni del servizio dovute a eliminazioni involontarie. La disattivazione della protezione da eliminazione sulle condivisioni file critiche aumenta il rischio di errori operativi che possono causare la perdita irreversibile dei dati. Questa impostazione è controllata dal flag deletionProtectionEnabled nella configurazione dell'istanza.
Livelli dell'istanza Filestore

Gravità:
Alta

Tag: affidabilità, alta disponibilità, Filestore, resilienza

Asset: file.googleapis.com/Instance

Dettagli
Garantisce che le istanze Google Cloud Filestore siano configurate con i livelli di disponibilità regionali (ENTERPRISE o REGIONAL) per supportare l'alta affidabilità e la resilienza per i carichi di lavoro critici. I livelli di base, SSD ad alta scalabilità e generico zonale sono deployment in una singola zona e non forniscono la resilienza multizona necessaria per proteggersi da errori zonali.
Istanze Filestore con etichette mancanti

Gravità:
Bassa

Tag: Filestore, Instance, Labels, FinOps, CSPR

Asset: file.googleapis.com/Instance

Dettagli
Garantisce che alle istanze Filestore siano applicate etichette per l'organizzazione, il filtraggio e potenzialmente per facilitare l'analisi dell'allocazione dei costi.
Tag risorsa mancanti nell'istanza Filestore

Gravità:
Bassa

Tag: Filestore, Instance, Tags, FinOps, CSPR, CoNa, MVSP

Asset: file.googleapis.com/Instance

Dettagli
Garantisce che alle istanze Filestore siano applicati tag Resource Manager per una governance, un'applicazione dei criteri e un'analisi dei costi coerenti tra le risorse cloud.

Best practice di Google Cloud - Firestore (1 risultato)

Firestore database multi region

Gravità:
Alta

Tag: affidabilità, BCDR, alta disponibilità

Asset: firestore.googleapis.com/Database

Dettagli
Verifica che i database Firestore siano configurati per utilizzare località multiregionali (ad es. nam5, eur3). I deployment multiregionali replicano i dati in aree geografiche distinte, garantendo alta affidabilità e resilienza contro le interruzioni regionali.

Best practice di Google Cloud - Gemini Enterprise Agent Platform (18 risultati)

Vertex ai endpoint min replicas

Gravità:
Alta

Tag: affidabilità, VertexAI, alta disponibilità, resilienza

Asset: aiplatform.googleapis.com/Endpoint

Dettagli
Garantisce che i modelli ML di cui è stato eseguito il deployment sugli endpoint online abbiano almeno due repliche per mantenere la disponibilità e impedire tempi di inattività della previsione durante l'errore di un singolo nodo.
CMEK abilitata per il job personalizzato Vertex

Gravità:
Alta

Tag: Sicurezza, Crittografia, CMEK, Vertex AI, Conformità

Asset: aiplatform.googleapis.com/CustomJob

Dettagli
Garantisce che i job di addestramento personalizzato di Vertex AI siano protetti con chiavi di crittografia gestite dal cliente (CMEK), fornendo un controllo granulare sulla crittografia dei dati per una maggiore sicurezza e conformità. Questa regola verifica che il campo encryptionSpec.kmsKeyName sia configurato correttamente nella specifica dei job.
CMEK set di dati Vertex abilitata

Gravità:
Alta

Tag: Sicurezza, Crittografia, CMEK, Vertex AI, Conformità

Asset: aiplatform.googleapis.com/Dataset

Dettagli
Garantisce che i set di dati Vertex AI siano protetti con chiavi di crittografia gestite dal cliente (CMEK), fornendo un controllo granulare sulla crittografia dei dati per una maggiore sicurezza e conformità. Questa regola verifica che il campo encryptionSpec.kmsKeyName sia configurato correttamente per il set di dati.
CMEK endpoint Vertex attivata

Gravità:
Alta

Tag: Sicurezza, Crittografia, CMEK, Vertex AI, Conformità

Asset: aiplatform.googleapis.com/Endpoint

Dettagli
Garantisce che gli endpoint Vertex AI siano criptati con una chiave di crittografia gestita dal cliente (CMEK), fornendo un controllo granulare sulla crittografia dei dati per i modelli di cui è stato eseguito il deployment e migliorando la sicurezza. Questa impostazione è fondamentale per la conformità e la protezione dei dati sensibili at-rest. Questa regola verifica che il campo encryptionSpec.kmsKeyName sia configurato correttamente sull'endpoint.
CMEK di Vertex Feature Store abilitata

Gravità:
Alta

Tag: Sicurezza, Crittografia, CMEK, Vertex AI, Conformità

Asset: aiplatform.googleapis.com/Featurestore

Dettagli
Garantisce che i Feature Store di Vertex AI siano protetti con chiavi di crittografia gestite dal cliente (CMEK), fornendo un controllo granulare sulla crittografia dei dati per una maggiore sicurezza e conformità. Questa regola verifica che il campo encryptionSpec.kmsKeyName sia configurato correttamente.
Job di ottimizzazione degli iperparametri Vertex abilitato per CMEK

Gravità:
Alta

Tag: Sicurezza, Crittografia, CMEK, Vertex AI, Conformità

Asset: aiplatform.googleapis.com/HyperparameterTuningJob

Dettagli
Garantisce che i job di ottimizzazione degli iperparametri di Vertex AI siano protetti con chiavi di crittografia gestite dal cliente (CMEK), fornendo un controllo granulare sulla crittografia dei dati per una maggiore sicurezza e conformità. Questa regola verifica che il campo encryptionSpec.kmsKeyName sia configurato correttamente nella specifica dei job.
CMEK dell'archivio dei metadati di Vertex AI abilitata

Gravità:
Alta

Tag: Sicurezza, Crittografia, CMEK, Vertex AI, Conformità

Asset: aiplatform.googleapis.com/MetadataStore

Dettagli
Garantisce che i negozi di metadati Vertex AI siano protetti con chiavi di crittografia gestite dal cliente (CMEK) per un maggiore controllo sulla crittografia dei dati. Questa regola verifica che il campo encryptionSpec.kmsKeyName sia presente e configurato, il che è essenziale per la conformità e per migliorare la sicurezza dei dati garantendo che i metadati non siano criptati solo per impostazione predefinita, ma con una chiave che controlli.
CMEK modello Vertex attivata

Gravità:
Alta

Tag: Sicurezza, Crittografia, CMEK, Vertex AI, Conformità

Asset: aiplatform.googleapis.com/Model

Dettagli
Garantisce che i modelli Vertex AI siano protetti con chiavi di crittografia gestite dal cliente (CMEK) per un maggiore controllo sulla crittografia dei dati e per soddisfare i requisiti di conformità. Questa regola verifica che il campo encryptionSpec.kmsKeyName sia configurato correttamente nei dati delle risorse dei modelli.
CMEK del runtime del notebook Vertex attivata

Gravità:
Alta

Tag: Security, Encryption, CMEK, Vertex AI, Compliance, CoNa, MVSP

Asset: aiplatform.googleapis.com/NotebookRuntime

Dettagli
Garantisce che Vertex AI Notebook Runtimes sia protetto con chiavi di crittografia gestite dal cliente (CMEK), fornendo un controllo granulare della crittografia dei dati per una maggiore sicurezza e conformità. Un runtime di Notebook senza CMEK utilizza le chiavi di crittografia gestite da Google per impostazione predefinita.
Arresto inattivo del runtime del notebook Vertex abilitato

Gravità:
Media

Tag: Cost, FinOps, Vertex AI, CoNa, MVSP

Asset: aiplatform.googleapis.com/NotebookRuntime

Dettagli
Applica l'arresto automatico inattivo sui runtime di Vertex AI Notebook per ottimizzare i costi terminando le risorse inattive. Si verifica un errore di configurazione se idleShutdownConfig non è definito o se il flag idleShutdownDisabled al suo interno è impostato su true, il che comporta la fatturazione continua delle risorse anche quando non sono in uso.
Runtime del notebook Vertex senza accesso a internet

Gravità:
Alta

Tag: Security, Vertex AI, Networking, Data Exfiltration, CoNa, MVSP

Asset: aiplatform.googleapis.com/NotebookRuntime

Dettagli
Garantisce che Vertex AI Notebook Runtimes non abbia accesso diretto a internet per mitigare rischi come l'esfiltrazione di dati e l'accesso non autorizzato a risorse esterne. La disattivazione dell'accesso a internet migliora la strategia di sicurezza isolando l'ambiente di runtime. L'accesso a internet è controllato dall'impostazione networkSpec.enableInternetAccess.
Avvio protetto del runtime del notebook Vertex disattivato

Gravità:
Alta

Tag: Security, Vertex AI, Shielded VM, Secure Boot, NIST-800-53-SI-7, CoNa, MVSP

Asset: aiplatform.googleapis.com/NotebookRuntime

Dettagli
Garantisce che l'avvio protetto sia abilitato nei runtime del notebook Vertex AI per proteggere dalle minacce a livello di avvio. L'avvio protetto è una funzionalità principale di Shielded VM che verifica la firma digitale di tutti i componenti di avvio, impedendo l'esecuzione di codice non autorizzato o dannoso durante il processo di avvio. Questa regola verifica che il flag enableSecureBoot sia impostato in modo esplicito su true.
Template di runtime del notebook Vertex con CMEK abilitata

Gravità:
Alta

Tag: Security, Encryption, CMEK, Vertex AI, Compliance, CoNa, MVSP

Asset: aiplatform.googleapis.com/NotebookRuntimeTemplate

Dettagli
Garantisce che Vertex AI Notebook Runtimes sia protetto con chiavi di crittografia gestite dal cliente (CMEK), fornendo un controllo granulare della crittografia dei dati per una maggiore sicurezza e conformità. Un runtime di Notebook senza CMEK utilizza le chiavi di crittografia gestite da Google per impostazione predefinita.
Arresto inattivo del modello di runtime del notebook Vertex

Gravità:
Media

Tag: Cost, FinOps, Vertex AI, CoNa, MVSP

Asset: aiplatform.googleapis.com/NotebookRuntimeTemplate

Dettagli
Applica l'arresto automatico inattivo ai modelli di runtime del notebook Vertex AI per ottimizzare i costi terminando le risorse inattive. Si verifica un errore di configurazione se idleShutdownConfig non è definito o se il flag idleShutdownDisabled al suo interno è impostato su true, il che comporta la fatturazione continua delle risorse anche quando non sono in uso.
Accesso a internet del modello di runtime del notebook Vertex

Gravità:
Alta

Tag: Security, Vertex AI, Network, CoNa, MVSP

Asset: aiplatform.googleapis.com/NotebookRuntimeTemplate

Dettagli
Garantisce che i modelli di runtime di Vertex AI non siano esposti a internet pubblico, il che riduce la superficie di attacco esterna e contribuisce a prevenire la potenziale esfiltrazione di dati. Questa condizione viene violata quando l'impostazione enableInternetAccess è true.
Avvio protetto del modello di runtime del notebook Vertex

Gravità:
Alta

Tag: Security, Vertex AI, Notebooks, Compliance, CoNa, MVSP

Asset: aiplatform.googleapis.com/NotebookRuntimeTemplate

Dettagli
Verifica che i modelli di runtime del notebook Vertex AI abbiano l'avvio protetto abilitato per garantire l'integrità del sistema operativo e proteggere dal codice a livello di avvio non autorizzato. L'avvio protetto è una funzionalità di sicurezza fondamentale che aiuta a impedire l'esecuzione di codice dannoso durante il processo di avvio. Questa impostazione è controllata dal flag enableSecureBoot all'interno dell'oggetto shieldedVmConfig.
Vertex TensorBoard CMEK abilitata

Gravità:
Alta

Tag: Sicurezza, Crittografia, CMEK, Vertex AI, Conformità

Asset: aiplatform.googleapis.com/Tensorboard

Dettagli
Garantisce che le istanze Vertex AI TensorBoard siano protette con chiavi di crittografia gestite dal cliente (CMEK), fornendo un controllo granulare sulla crittografia dei dati degli esperimenti e delle visualizzazioni dei modelli per una maggiore sicurezza e conformità. Questa regola verifica che il campo encryptionSpec.kmsKeyName sia configurato correttamente.
Pipeline di addestramento Vertex con CMEK abilitata

Gravità:
Alta

Tag: Sicurezza, Crittografia, CMEK, Vertex AI, Conformità

Asset: aiplatform.googleapis.com/TrainingPipeline

Dettagli
Garantisce che le pipeline di addestramento di Vertex AI siano protette con chiavi di crittografia gestite dal cliente (CMEK), fornendo un controllo granulare sulla crittografia dei dati per una maggiore sicurezza e conformità. Questa regola verifica che il campo encryptionSpec.kmsKeyName sia configurato correttamente nella specifica delle pipeline.

Best practice di Google Cloud - Gemini Enterprise Agent Platform Workbench (11 risultati)

Upgrade automatici di Vertex Workbench attivati

Gravità:
Media

Tag: Security, Reliability, Vertex AI, Notebooks, CoNa

Asset: notebooks.googleapis.com/Instance

Dettagli
Garantisce che gli upgrade automatici dell'ambiente siano abilitati per le istanze Vertex AI Workbench. L'attivazione degli upgrade automatici è fondamentale per mantenere le istanze aggiornate con le funzionalità, gli aggiornamenti del framework e le patch di sicurezza più recenti, il che migliora sia la sicurezza che l'affidabilità. Questa impostazione è controllata dalla chiave di metadati notebookupgradeschedule, che deve essere presente e avere un valore definito.
Vertex workbench CMEK abilitato

Gravità:
Alta

Tag: Security, Encryption, CMEK, Vertex AI, Compliance, NIST-800-53-SC-28

Asset: notebooks.googleapis.com/Instance

Dettagli
Garantisce che le istanze Vertex AI Workbench siano criptate utilizzando una chiave di crittografia gestita dal cliente (CMEK), fondamentale per mantenere il controllo sulla crittografia dei dati e soddisfare requisiti di conformità specifici. Questa policy verifica che la proprietà kmsKey sia configurata sia per i dischi di avvio che per i dischi di dati all'interno di gceSetup delle istanze.
Rete predefinita di Vertex Workbench disabilitata

Gravità:
Media

Tag: Security, Network, Vertex AI

Asset: notebooks.googleapis.com/Instance

Dettagli
La disattivazione dell'utilizzo della rete VPC predefinita per le istanze di Vertex AI Workbench è una misura di sicurezza fondamentale per evitare l'esposizione a regole firewall eccessivamente permissive. Questo errore di configurazione si verifica quando un'istanza Workbench è collegata alla risorsa di rete denominata default, bypassando un'architettura di rete più sicura e progettata intenzionalmente.
Protezione da eliminazione di Vertex Workbench abilitata

Gravità:
Media

Tag: Affidabilità, Vertex AI, Notebooks, CoNa

Asset: notebooks.googleapis.com/Instance

Dettagli
Garantisce che le istanze Vertex AI Workbench abbiano la protezione da eliminazione abilitata, impedendo l'eliminazione accidentale di ambienti di sviluppo critici e dei dati associati. Questa protezione è fondamentale per mantenere l'affidabilità operativa, in quanto una configurazione errata può portare alla perdita irreversibile del lavoro. Il flag deletionProtection deve essere impostato in modo esplicito su true.
Vertex workbench disable file downloads

Gravità:
Alta

Tag: Security, Vertex AI, Notebooks, Data Exfiltration, NIST-800-53-AC-3, CoNa

Asset: notebooks.googleapis.com/Instance

Dettagli
Per impedire l'esfiltrazione di dati, questa policy garantisce che i download di file dall'interfaccia JupyterLab nelle istanze Vertex AI Workbench siano disabilitati. Si verifica un errore di configurazione se la chiave di metadati notebookdisabledownloads non è presente o non è impostata su true, creando un potenziale vettore per la rimozione non autorizzata dei dati.
Vertex workbench disable root access

Gravità:
Alta

Tag: Security, Vertex AI, Notebooks, Privilege Escalation

Asset: notebooks.googleapis.com/Instance

Dettagli
La disattivazione dell'accesso root sulle istanze Vertex AI Workbench è una misura di sicurezza fondamentale per impedire l'escalation dei privilegi e le modifiche non autorizzate al sistema. Questa impostazione è controllata dalla chiave di metadati notebookdisableroot all'interno della configurazione di Compute Engine, che deve essere impostata su true.
Monitoraggio dell'integrità di Vertex Workbench abilitato

Gravità:
Alta

Tag: Security, Vertex AI, Notebooks, Integrity Monitoring, NIST-800-53-SI-7

Asset: notebooks.googleapis.com/Instance

Dettagli
Garantisce che le istanze Vertex AI Workbench abbiano abilitato il monitoraggio dell'integrità di Shielded VM, fornendo un livello di difesa di base contro malware a livello di avvio e di kernel. Si verifica una violazione se il flag enableIntegrityMonitoring all'interno della configurazione Shielded VM delle istanze è mancante, vuoto o impostato su false.
Vertex workbench no public IP

Gravità:
Alta

Tag: Security, Vertex AI, Networking

Asset: notebooks.googleapis.com/Instance

Dettagli
Assicura che alle istanze Vertex AI Workbench non siano assegnati indirizzi IP pubblici verificando che l'impostazione disablePublicIp sia impostata esplicitamente su true. La disattivazione degli IP pubblici è una misura di sicurezza fondamentale che riduce l'esposizione delle istanze alla rete internet pubblica, riducendo al minimo il rischio di accesso non autorizzato. Si verifica una violazione se l'impostazione disablePublicIp è mancante, vuota o impostata su false.
Vertex workbench restrict default account di servizio

Gravità:
Alta

Tag: Security, Vertex AI, IAM, Service Account, NIST-800-53-AC-3, CSPR

Asset: notebooks.googleapis.com/Instance

Dettagli
Assicura che le istanze Vertex AI Workbench non utilizzino il account di servizio predefinito di Compute Engine. L'assegnazione di service account dedicati con privilegi minimi alle istanze Workbench è una misura di sicurezza fondamentale che riduce al minimo il potenziale impatto di una compromissione limitando l'accesso delle istanze solo ai servizi Google Cloud necessari. Questo controllo segnala le istanze configurate con un account di servizio che termina con compute@developer.gserviceaccount.com, il che indica l'utilizzo del account di servizio predefinito eccessivamente permissivo.
Avvio protetto di Vertex Workbench abilitato

Gravità:
Alta

Tag: Security, Vertex AI, Notebooks, Shielded VM, CoNa

Asset: notebooks.googleapis.com/Instance

Dettagli
Garantisce che le istanze Vertex AI Workbench abbiano l'avvio protetto abilitato, una funzionalità di sicurezza fondamentale che verifica la firma digitale di tutti i componenti di avvio per proteggersi da bootkit e rootkit. Questa impostazione, enableSecureBoot, fa parte della configurazione Shielded VM delle istanze e deve essere impostata su true.
Vertex workbench vtpm enabled

Gravità:
Alta

Tag: Security, Vertex AI, Notebooks, vTPM, Shielded VM

Asset: notebooks.googleapis.com/Instance

Dettagli
Verifica che le istanze Vertex AI Workbench abbiano il Virtual Trusted Platform Module (vTPM) abilitato per garantire un processo di avvio sicuro e misurato. L'attivazione di vTPM è un componente fondamentale delle funzionalità Shielded VM di Google Cloud, che protegge le istanze da malware e rootkit a livello di avvio fornendo integrità verificabile del bootloader, del kernel e dei driver di avvio delle istanze. Questa impostazione viene gestita all'interno di shieldedInstanceConfig dell'istanza.

Google Cloud Best Practices - Google Kubernetes Engine (55 risultati)

Cluster alpha di Google Kubernetes Engine abilitati

Gravità:
Alta

Tag: GKE, Security, CSPR, MVSP

Asset: container.googleapis.com/Cluster

Dettagli
Verifica che i cluster GKE non abbiano funzionalità alpha abilitate. I cluster alpha non sono supportati per i workload di produzione e scadono dopo 30 giorni.
Google Kubernetes Engine Autopilot attivato

Gravità:
Bassa

Tag: Google Kubernetes Engine, Kubernetes, cluster, Autopilot, gestito, configurazione, CSPR

Asset: container.googleapis.com/Cluster

Dettagli
Verifica se la modalità Autopilot è abilitata per un cluster Google Kubernetes Engine (Google Kubernetes Engine). Google Kubernetes Engine Autopilot è una modalità operativa completamente gestita che riduce l'overhead operativo gestendo l'infrastruttura dei cluster, incluse le configurazioni di nodi e sicurezza. Questa regola identifica i cluster in cui il campo autopilot.enabled è impostato su false o non è definito. Questo criterio è principalmente informativo e segnala i cluster che NON vengono eseguiti in modalità Autopilot.
Backup di Google Kubernetes Engine abilitato

Gravità:
Media

Tag: Reliability, Kubernetes, Backup, DisasterRecovery, BCDR

Asset: container.googleapis.com/Cluster

Dettagli
Verifica che Backup per GKE sia abilitato sul cluster GKE per consentire il backup e il ripristino di emergenza delle applicazioni stateful.
Autenticazione di base di Google Kubernetes Engine abilitata

Gravità:
Alta

Tag: Google Kubernetes Engine, Kubernetes, cluster, autenticazione, BasicAuth, ClientCertificate, sicurezza, configurazione, CSPR

Asset: container.googleapis.com/Cluster

Dettagli
Verifica se un cluster Google Kubernetes Engine ha configurato l'autenticazione di base (nome utente/password) e l'emissione di certificati client è abilitata. Avere attivi contemporaneamente più metodi di credenziali statiche può aumentare la superficie di attacco e l'overhead di gestione. In genere, è consigliabile standardizzare metodi di autenticazione più sicuri e gestiti centralmente come IAM o OIDC. Questa regola segnala i cluster in cui masterAuth.username non è nullo/vuoto E masterAuth.clientCertificateConfig.issueClientCertificate è true.
Autorizzazione binaria di Google Kubernetes Engine

Gravità:
Alta

Tag: Google Kubernetes Engine, Security, CoNa, MVSP

Asset: container.googleapis.com/Cluster

Dettagli
Assicurati che l'autorizzazione binaria sia abilitata per i cluster Google Kubernetes Engine.
Riparazione automatica del cluster Google Kubernetes Engine attivata

Gravità:
Media

Tag: Affidabilità, Google Kubernetes Engine, Governance, CSPR

Asset: container.googleapis.com/Cluster

Dettagli
Migliora la resilienza del cluster e riduce l'overhead operativo verificando che la riparazione automatica sia abilitata nei pool di nodi Google Kubernetes Engine Standard, garantendo il ripristino automatico dagli errori dei nodi per mantenere la disponibilità dell'applicazione.
Aggiornamento automatico del cluster Google Kubernetes Engine attivato

Gravità:
Media

Tag: Google Kubernetes Engine, aggiornamento automatico, sicurezza, affidabilità, CSPR

Asset: container.googleapis.com/Cluster

Dettagli
Rafforza la sicurezza del cluster e riduce il sovraccarico di manutenzione verificando che i pool di nodi Google Kubernetes Engine Standard abbiano l'upgrade automatico abilitato, garantendo che ricevano patch di sicurezza e correzioni di stabilità tempestive.
Cluster Google Kubernetes Engine con accesso privato Google abilitato

Gravità:
Media

Tag: Google Kubernetes Engine, accesso privato Google, subnet, sicurezza, CSPR

Asset: container_Cluster_RESOURCE_2

Dettagli
Migliora la sicurezza verificando che l'accesso privato Google sia abilitato nella subnet dei cluster, consentendo ai nodi Google Kubernetes Engine privati di eseguire il pull delle immagini e accedere alle API di Google senza richiedere indirizzi IP pubblici.
Cluster Google Kubernetes Engine che utilizza immagini Container-Optimized OS

Gravità:
Media

Tag: Google Kubernetes Engine, COS, sicurezza, CSPR

Asset: container.googleapis.com/Cluster

Dettagli
Migliora la sicurezza e la stabilità del cluster verificando che tutti i pool di nodi Google Kubernetes Engine utilizzino Container-Optimized OS (COS) di Google, un sistema operativo appositamente creato e protetto.
Cluster Google Kubernetes Engine zonale

Gravità:
Alta

Tag: Google Kubernetes Engine, cluster, località, resilienza, sicurezza, CSPR, CoNa

Asset: container.googleapis.com/Cluster

Dettagli
Verifica se un cluster Google Kubernetes Engine è zonale. I cluster Google Kubernetes Engine possono essere creati in una singola zona in cui viene eseguito il deployment di una singola istanza del server API/piano di controllo. In alternativa, i cluster possono essere creati in una regione Google Cloud che distribuisce tre istanze del piano di controllo/server API in modo uniforme in tre zone della regione. I cluster regionali distribuiscono i nodi worker in modo uniforme anche in queste tre zone per ridurre l'impatto di un'interruzione zonale di Google Cloud.
Cluster Google Kubernetes Engine che non utilizzano Cloud DNS

Gravità:
Media

Tag: Google Kubernetes Engine, Kubernetes, cluster, DNS, CloudDNS, networking, best practice, CSPR

Asset: container.googleapis.com/Cluster

Dettagli
Verifica se un cluster Google Kubernetes Engine è configurato per utilizzare Cloud DNS per la risoluzione DNS nel cluster. L'utilizzo di Cloud DNS per Google Kubernetes Engine fornisce un servizio DNS gestito, scalabile e ad alte prestazioni ed è una best practice di Google Kubernetes Engine. Questa regola esamina il campo dnsConfig.clusterDns. Viene generata una violazione se questo campo è mancante, nullo o ha un valore diverso da CLOUD_DNS, il che indica che il cluster potrebbe utilizzare il componente aggiuntivo kubedns legacy o non è configurato per Cloud DNS.
Nodi riservati di Google Kubernetes Engine

Gravità:
Media

Tag: Google Kubernetes Engine, sicurezza, computing, CSPR, CoNa

Asset: container.googleapis.com/Cluster

Dettagli
Assicurati che il cluster Google Kubernetes Engine sia configurato per utilizzare i nodi confidenziali.
Bilanciatore del carico nativo del container Google Kubernetes Engine disattivato

Gravità:
Media

Tag: GKE, Kubernetes, Cluster, LoadBalancing, Networking, Performance, CSPR, CoNa, MVSP

Asset: container.googleapis.com/Cluster

Dettagli
Verifica se il bilanciamento del carico nativo del container è abilitato su un cluster GKE. Il bilanciamento del carico nativo del container consente ai bilanciatori del carico di instradare il traffico direttamente ai pod, riducendo la latenza e migliorando la visibilità della rete. Si verifica una violazione se addonsConfig.httpLoadBalancing.disabled è true, il che disabilita il controller Ingress e il supporto NEG.
Dashboard Google Kubernetes Engine attivata

Gravità:
Media

Tag: Google Kubernetes Engine, Kubernetes, Cluster, Addon, KubernetesDashboard, Security, Legacy, CSPR

Asset: container.googleapis.com/Cluster

Dettagli
Verifica se il componente aggiuntivo legacy Kubernetes Dashboard è abilitato per un cluster Google Kubernetes Engine. La dashboard Kubernetes fornisce un'interfaccia utente basata sul web per la gestione delle risorse del cluster, ma la versione precedente ha potenziali implicazioni per la sicurezza e il suo utilizzo è generalmente sconsigliato a favore di gcloud, della console Google Cloud o di altri strumenti di gestione più sicuri. Questa regola esamina il campo addonsConfig.kubernetesDashboard.disabled. Viene generata una violazione se kubernetesDashboard è presente e il relativo campo disabled NON è true (ovvero è mancante o è esplicitamente false), il che indica che la dashboard legacy è attivata.
Crittografia CMEK del database Google Kubernetes Engine

Gravità:
Alta

Tag: Google Kubernetes Engine, sicurezza, crittografia, CSPR, CoNa

Asset: container.googleapis.com/Cluster

Dettagli
Assicurati che i secret dell'applicazione del cluster Google Kubernetes Engine siano criptati utilizzando CMEK.
Google Kubernetes Engine dataplane v2 disattivato

Gravità:
Media

Tag: GKE, Kubernetes, cluster, dataplane, networking, sicurezza, prestazioni, CSPR, CoNa, MVSP

Asset: container.googleapis.com/Cluster

Dettagli
Verifica se Dataplane V2 è abilitato su un cluster GKE. Dataplane V2 è un piano dati ottimizzato per GKE che utilizza eBPF per il networking, offrendo prestazioni, sicurezza e osservabilità migliorate. Si verifica una violazione se networkConfig.datapathProvider non è impostato su ADVANCED_DATAPATH.
Amministratore dell'account di servizio predefinito di Google Kubernetes Engine

Gravità:
Alta

Tag: Google Kubernetes Engine, account di servizio predefinito, amministratore, sicurezza, CSPR, CoNa, MVSP

Asset: container_Cluster_RESOURCE_IAM_POLICY_1

Dettagli
Mitiga un rischio critico di escalation dei privilegi da container a progetto assicurandosi che i pool di nodi Google Kubernetes Engine non utilizzino il account di servizio predefinito quando dispone di autorizzazioni di amministratore a livello di progetto, impedendo a un pod compromesso di ottenere il controllo di tutte le risorse del progetto.
Editor dell'account di servizio predefinito di Google Kubernetes Engine

Gravità:
Alta

Tag: Google Kubernetes Engine, account di servizio predefinito, editor, sicurezza, CSPR

Asset: container_Cluster_RESOURCE_IAM_POLICY_1

Dettagli
Applica il principio del privilegio minimo ai nodi Google Kubernetes Engine vietando i service account predefiniti con ruoli Editor, riducendo in modo critico le vulnerabilità di sicurezza per proteggere i workload e migliorare l'affidabilità del cluster.
Proprietario dell'account di servizio predefinito di Google Kubernetes Engine

Gravità:
Alta

Tag: Google Kubernetes Engine, account di servizio predefinito, proprietario, sicurezza, CSPR, MVSP

Asset: container_Cluster_RESOURCE_IAM_POLICY_1

Dettagli
Garantisce che i nodi Google Kubernetes Engine non utilizzino il account di servizio Compute Engine predefinito con il ruolo Proprietario con privilegi elevati, applicando il principio del privilegio minimo per ridurre significativamente i rischi per la sicurezza e il potenziale impatto della compromissione di un nodo.
Account di servizio predefinito di Google Kubernetes Engine con autorizzazioni

Gravità:
Alta

Tag: Google Kubernetes Engine, sicurezza, privilegi minimi, IAM

Asset: container_Cluster_RESOURCE_IAM_POLICY_1

Dettagli
Assicurati che i service account dei nodi Google Kubernetes Engine non dispongano di ruoli primitivi con privilegi elevati.
Google Kubernetes Engine default account di servizio writer

Gravità:
Alta

Tag: Google Kubernetes Engine, account di servizio predefinito, Writer, sicurezza, CSPR

Asset: container_Cluster_RESOURCE_IAM_POLICY_1

Dettagli
Migliora la sicurezza di Google Kubernetes Engine assicurandoti che i service account predefiniti non dispongano di ampie autorizzazioni di scrittura, riducendo significativamente il rischio di modifiche non autorizzate al cluster e rispettando il principio del privilegio minimo.
Account di servizio predefinito di Google Kubernetes Engine

Gravità:
Alta

Tag: Google Kubernetes Engine, Default Service Account, Security, CSPR

Asset: container_Cluster_RESOURCE_IAM_POLICY_1

Dettagli
Verifica che i pool di nodi Google Kubernetes Engine utilizzino service account dedicati con privilegi minimi anziché il account di servizio predefinito di Compute Engine per migliorare la postura di sicurezza del cluster rispettando rigorosamente il principio del privilegio minimo.
Accesso ai gruppi Google di Google Kubernetes Engine

Gravità:
Media

Tag: Google Kubernetes Engine, sicurezza, IAM, CSPR, CoNa, MVSP

Asset: container.googleapis.com/Cluster

Dettagli
Assicurati che l'accesso RBAC/cluster di Google Kubernetes Engine sia gestito tramite Google Gruppi.
Google Kubernetes Engine infranodevisibility enabled

Gravità:
Bassa

Tag: Google Kubernetes Engine, Kubernetes, cluster, networking, osservabilità, IntraNodeVisibility, CSPR

Asset: container.googleapis.com/Cluster

Dettagli
Verifica se la visibilità tra nodi è abilitata per un cluster Google Kubernetes Engine. La visibilità tra nodi consente l'osservabilità di rete del traffico tra i pod sullo stesso nodo. Questo può essere utile per la risoluzione dei problemi e il monitoraggio della sicurezza all'interno di un nodo. Questa regola esamina il campo networkConfig.enableIntraNodeVisibility. Viene generata una violazione se questo campo non è presente o è impostato su false.
Google Kubernetes Engine ipaliases disabilitato

Gravità:
Media

Tag: Google Kubernetes Engine, Kubernetes, cluster, networking, IPAliases, VPCNative, PodNetworking

Asset: container.googleapis.com/Cluster

Dettagli
Verifica se gli IP alias (intervalli IP secondari per i pod) sono disabilitati per un cluster Google Kubernetes Engine. Gli alias IP consentono ai pod di avere i propri indirizzi IP instradabili all'interno della rete VPC, consentendo una migliore integrazione di rete ed evitando la NAT per la comunicazione tra pod nei nodi. Sebbene non sempre strettamente necessario, l'utilizzo di alias IP è una best practice di Google Kubernetes Engine per la maggior parte degli scenari di networking. Questa regola esamina il campo ipAllocationPolicy.useIpAliases. Viene generata una violazione se questo campo non è presente o è impostato su false.
Certificato client problema Google Kubernetes Engine abilitato

Gravità:
Bassa

Tag: Google Kubernetes Engine, Kubernetes, cluster, autenticazione, ClientCertificate, X509, sicurezza, CSPR

Asset: container.googleapis.com/Cluster

Dettagli
Verifica se l'autenticazione del certificato client è abilitata per un master dei cluster Google Kubernetes Engine. Se abilitato impostando masterAuth.clientCertificateConfig.issueClientCertificate su true, il cluster può emettere certificati client per l'autenticazione. Sebbene i certificati client X.509 siano un metodo di autenticazione valido, la gestione del loro ciclo di vita (emissione, revoca) può essere complessa. Le organizzazioni potrebbero preferire fare affidamento esclusivamente su IAM o OIDC per un controllo più centralizzato. Questa regola segnala i cluster in cui è abilitata l'emissione di certificati client.
Logging di Google Kubernetes Engine attivato

Gravità:
Media

Tag: Google Kubernetes Engine, Kubernetes, cluster, logging, osservabilità, operazioni, CSPR, CoNa, MVSP

Asset: container.googleapis.com/Cluster

Dettagli
Controlla se Cloud Logging (loggingService) è effettivamente abilitato per un cluster Google Kubernetes Engine. Questi servizi sono fondamentali per l'osservabilità. Questa regola segnala un cluster se loggingService è mancante, vuoto o impostato su none (o altri stati disattivati), il che indica che il servizio non è attivo.
Monitoraggio di Google Kubernetes Engine abilitato

Gravità:
Media

Tag: Google Kubernetes Engine, Kubernetes, cluster, monitoraggio, osservabilità, operazioni, CSPR

Asset: container.googleapis.com/Cluster

Dettagli
Verifica se Cloud Monitoring (monitoringService) è effettivamente abilitato per un cluster Google Kubernetes Engine. Questi servizi sono fondamentali per l'osservabilità. Questa regola segnala un cluster se monitoringService è mancante, vuoto o impostato su nessuno (o altri stati disattivati), il che indica che il servizio non è attivo.
Policy di rete di Google Kubernetes Engine abilitata

Gravità:
Alta

Tag: Google Kubernetes Engine, Kubernetes, cluster, NetworkPolicy, sicurezza, microsegmentazione, componente aggiuntivo, CSPR, CoNa

Asset: container.googleapis.com/Cluster

Dettagli
Verifica se l'applicazione dei criteri di rete è abilitata per un cluster Google Kubernetes Engine. I criteri di rete forniscono la microsegmentazione per i pod, controllando il flusso di traffico tra loro in base a etichette e porte. L'attivazione di Network Policy è una best practice di sicurezza fondamentale per isolare i carichi di lavoro e ridurre la superficie di attacco all'interno di un cluster. Questa regola esamina i campi networkPolicy.provider e addonsConfig.networkPolicyConfig.disabled. Viene generata una violazione se la policy di rete non è configurata (il fornitore è PROVIDER_UNSPECIFIED o mancante) OPPURE se il componente aggiuntivo networkPolicyConfig è disattivato in modo esplicito.
Norme di Google Kubernetes Engine senza manutenzione

Gravità:
Alta

Tag: Container, Google Kubernetes Engine, Affidabilità, Stabilità operativa, CSPR

Asset: container.googleapis.com/Cluster

Dettagli
Assicurati che i cluster Google Kubernetes Engine (GKE) abbiano una policy di manutenzione definita per garantire che gli upgrade automatici dei cluster avvengano durante intervalli di tempo prevedibili e non interruttivi. Un criterio definito con periodi di manutenzione ed esclusioni impedisce interruzioni impreviste dei workload critici.
Provisioning automatico dei nodi Google Kubernetes Engine abilitato

Gravità:
Bassa

Tag: Google Kubernetes Engine, Kubernetes, Cluster, NodeAutoprovisioning, Autoscaling, Management

Asset: container.googleapis.com/Cluster

Dettagli
Verifica se il provisioning automatico dei nodi (NAP) è abilitato per un cluster Google Kubernetes Engine. NAP gestisce automaticamente i pool di nodi in base ai requisiti del carico di lavoro, creandoli ed eliminandoli in base alle esigenze. In questo modo è possibile semplificare la gestione dei cluster e ottimizzare l'utilizzo delle risorse. Questa regola esamina il campo autoscaling.enableNodeAutoprovisioning all'interno della configurazione dei cluster. Viene generata una violazione se questo campo non è presente o è impostato su false, il che indica che NAP non è attivo.
Policy di posizionamento bilanciato del pool di nodi Google Kubernetes Engine

Gravità:
Alta

Tag: affidabilità, alta disponibilità, Google Kubernetes Engine

Asset: container.googleapis.com/NodePool

Dettagli
Verifica che i node pool di Google Kubernetes Engine utilizzino il criterio di località BILANCIATO, garantendo una distribuzione uniforme dei nodi tra le zone disponibili per massimizzare l'alta affidabilità e la resilienza agli errori zonali.
Google Kubernetes Engine nodelocal dnscache disattivato

Gravità:
Media

Tag: GKE, Kubernetes, Cluster, DNS, Networking, Performance, Scalability, CSPR, CoNa, MVSP

Asset: container.googleapis.com/Cluster

Dettagli
Verifica se NodeLocal DNSCache è abilitato su un cluster GKE. NodeLocal DNSCache migliora le prestazioni del DNS del cluster mediante l'esecuzione di un agente di memorizzazione nella cache DNS sui nodi cluster come DaemonSet. Si tratta di una best practice di base per il networking GKE per la scalabilità e l'affidabilità. Si verifica una violazione se addonsConfig.dnsCacheConfig.enabled è false o manca.
Scalabilità automatica del node pool Google Kubernetes Engine attivata

Gravità:
Bassa

Tag: Google Kubernetes Engine, Kubernetes, cluster, NodePool, scalabilità automatica, prestazioni, ottimizzazione dei costi

Asset: container.googleapis.com/NodePool

Dettagli
Controlla se la scalabilità automatica è disabilitata in un pool di nodi all'interno di un cluster Google Kubernetes Engine. La scalabilità automatica del pool di nodi regola automaticamente il numero di nodi in base alla domanda. Questa regola scorre l'array nodePools nella configurazione dei cluster. Viene generata una violazione se il cluster contiene almeno un pool di nodi in cui il campo autoscaling.enabled è mancante o impostato su false.
Google Kubernetes Engine nodepool CMEK enabled

Gravità:
Media

Tag: Google Kubernetes Engine, Kubernetes, cluster, NodePool, CMEK, KMS, crittografia, sicurezza, BootDisk

Asset: container.googleapis.com/NodePool

Dettagli
Controlla se i node pool del cluster Google Kubernetes Engine sono configurati per utilizzare le chiavi di crittografia gestite dal cliente (CMEK) per i dischi di avvio. L'utilizzo di CMEK consente un maggiore controllo sulle chiavi di crittografia che proteggono i dischi di avvio dei nodi, migliorando la sicurezza e la conformità. Questa regola esegue l'iterazione in tutti i nodePool in un cluster. Per ogni pool di nodi, esamina il campo config.bootDiskKmsKey. Viene generata una violazione per il cluster se viene trovato un pool di nodi in cui bootDiskKmsKey è mancante o vuoto, il che indica che i dischi di avvio dei node pool non sono criptati con CMEK.
Porta di sola lettura kubelet del nodepool di Google Kubernetes Engine disattivata

Gravità:
Media

Tag: GKE, NodePool, Kubelet, Security, CSPR, CoNa

Asset: container.googleapis.com/NodePool

Dettagli
Controlla se la porta di sola lettura kubelet non sicura è abilitata nel pool di nodi GKE. L'attivazione di questa porta consente l'accesso non autenticato all'API kubelet, il che rappresenta un rischio per la sicurezza. La porta deve essere disabilitata (insecureKubeletReadonlyPortEnabled deve essere impostato su false).
Google Kubernetes Engine nodepool multi zonal

Gravità:
Alta

Tag: Reliability, Kubernetes, HighAvailability, Resiliency

Asset: container.googleapis.com/NodePool

Dettagli
Assicurati che i pool di nodi GKE si estendano su più zone (almeno 3 consigliate per i cluster regionali) per evitare la perdita di capacità durante le interruzioni di servizio a livello di zona.
Pool di nodi Google Kubernetes Engine una zona

Gravità:
Alta

Tag: Google Kubernetes Engine, node pool, località, resilienza, sicurezza, CSPR

Asset: container.googleapis.com/NodePool

Dettagli
Verifica se un pool di nodi Google Kubernetes Engine ha una sola zona. I cluster Google Kubernetes Engine possono essere creati in una singola zona in cui viene eseguito il deployment di una singola istanza del server API/piano di controllo. In alternativa, i cluster possono essere creati in una regione Google Cloud che distribuisce tre istanze del piano di controllo/server API in modo uniforme in tre zone della regione. I cluster regionali distribuiscono i nodi worker in modo uniforme anche in queste tre zone per ridurre l'impatto di un'interruzione zonale di Google Cloud.
Pool di nodi di Google Kubernetes Engine a zona singola

Gravità:
Media

Tag: Reliability, GKE, Kubernetes, CoNa

Asset: container.googleapis.com/Cluster

Dettagli
Rileva i node pool GKE configurati in una singola zona in un cluster regionale. La distribuzione dei pool di nodi su più zone è essenziale per garantire l'alta affidabilità del workload e prevenire interruzioni durante un singolo errore a livello di zona.
Node pool Google Kubernetes Engine due zone

Gravità:
Alta

Tag: Google Kubernetes Engine, node pool, località, resilienza, sicurezza, CSPR

Asset: container.googleapis.com/NodePool

Dettagli
Verifica se un pool di nodi Google Kubernetes Engine ha solo due zone. I cluster Google Kubernetes Engine possono essere creati in una singola zona in cui viene eseguito il deployment di una singola istanza del server API/piano di controllo. In alternativa, i cluster possono essere creati in una regione Google Cloud che distribuisce tre istanze del piano di controllo/server API in modo uniforme in tre zone della regione. I cluster regionali distribuiscono i nodi worker in modo uniforme anche in queste tre zone per ridurre l'impatto di un'interruzione zonale di Google Cloud.
Google Kubernetes Engine solo un cluster per progetto

Gravità:
Media

Tag: Google Kubernetes Engine, Progetto, Sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_1

Dettagli
Questa regola identifica i progetti con più cluster Google Kubernetes Engine, consentendo misure proattive per semplificare la gestione, ottimizzare l'utilizzo delle risorse e ridurre i costi associati a una complessità non necessaria del cluster.
Notifiche dei pod di Google Kubernetes Engine abilitate

Gravità:
Bassa

Tag: Google Kubernetes Engine, Kubernetes, cluster, notifiche, Pub/Sub, monitoraggio, operazioni, CSPR

Asset: container.googleapis.com/Cluster

Dettagli
Verifica se le notifiche Pub/Sub per gli eventi del cluster Google Kubernetes Engine sono attive. Questa funzionalità ti consente di ricevere notifiche sugli eventi significativi del ciclo di vita del cluster (come upgrade, modifiche pool di nodi) tramite un argomento Pub/Sub, consentendo il monitoraggio proattivo e l'automazione. Questa regola esamina il campo notificationConfig.pubsub.enabled. Viene generata una violazione se questo campo non è presente o è impostato su false.
Limiti PID dei pod Google Kubernetes Engine

Gravità:
Media

Tag: Google Kubernetes Engine, Kubernetes, NodePool, PodPidsLimit, Security, ResourceManagement, Kubelet, CSPR

Asset: container.googleapis.com/NodePool

Dettagli
Verifica se un pool di nodi del cluster Google Kubernetes Engine ha un limite PID pod configurato. L'impostazione di un limite PID del pod contribuisce a evitare l'esaurimento delle risorse in cui un singolo pod consuma tutti gli ID processo disponibili su un nodo. Questa regola esamina il campo config.kubeletConfig.podPidsLimit direttamente nella risorsa NodePool. Viene generata una violazione se podPidsLimit è mancante, nullo o non è un numero positivo.
Control plane privato di Google Kubernetes Engine

Gravità:
Alta

Tag: Google Kubernetes Engine, Security, Networking, DNS Endpoint, CSPR, CoNa, MVSP

Asset: container.googleapis.com/Cluster

Dettagli
Assicurati che i cluster Google Kubernetes Engine consentano il traffico esterno ai relativi endpoint del control plane DNS.
Nodi privati Google Kubernetes Engine abilitati

Gravità:
Alta

Tag: Google Kubernetes Engine, Kubernetes, cluster, PrivateNodes, sicurezza, networking, VPC, CSPR, CoNa

Asset: container.googleapis.com/Cluster

Dettagli
Verifica se i nodi privati sono abilitati per un cluster Google Kubernetes Engine. L'attivazione dei nodi privati garantisce che i nodi del cluster non abbiano indirizzi IP esterni, migliorando la sicurezza riducendo la loro esposizione diretta a internet. La comunicazione con il control plane e altri servizi Google in genere avviene tramite connessioni private (ad es. accesso privato Google o Controlli di servizio VPC). Questa regola esamina il campo privateClusterConfig.enablePrivateNodes. Viene generata una violazione se questo campo non è presente o è impostato su false.
Endpoint pubblico di Google Kubernetes Engine

Gravità:
Alta

Tag: Google Kubernetes Engine, Kubernetes, cluster, Autopilot, gestito, configurazione, CSPR

Asset: container.googleapis.com/Cluster

Dettagli
Verifica se un cluster Google Kubernetes Engine (Google Kubernetes Engine) è pubblico. Assicurati che tutti i cluster Google Kubernetes Engine siano cluster privati con il flag enableprivateendpoint. Questo è il livello più alto di accesso limitato in cui il nodo del control plane dei cluster non è accessibile dalla rete internet pubblica.
Cluster regionale Google Kubernetes Engine

Gravità:
Alta

Tag: Google Kubernetes Engine, affidabilità, alta disponibilità, BCDR, CSPR

Asset: container.googleapis.com/Cluster

Dettagli
Assicurati che i cluster Google Kubernetes Engine siano configurati come cluster regionali per fornire alta affidabilità replicando il control plane e i nodi in più zone. I cluster zonali sono soggetti a interruzioni di una singola zona, che possono influire gravemente sulla disponibilità delle applicazioni e sulla continuità aziendale.
Canale di rilascio di Google Kubernetes Engine non specificato

Gravità:
Alta

Tag: Google Kubernetes Engine, cluster, upgrade, sicurezza, CSPR

Asset: container.googleapis.com/Cluster

Dettagli
Verifica se è impostato un canale di rilascio per i cluster Google Kubernetes Engine. Iscriviti a un canale di rilascio per automatizzare gli upgrade delle versioni del cluster Google Kubernetes Engine. I canali di rilascio riducono anche la complessità della gestione delle versioni al numero di funzionalità e al livello di stabilità richiesti.
Sandbox gvisor di Google Kubernetes Engine

Gravità:
Media

Tag: Google Kubernetes Engine, Security, Compute, CoNa, MVSP

Asset: container.googleapis.com/Cluster

Dettagli
Assicurati che i cluster Google Kubernetes Engine contengano almeno un pool di nodi abilitato a GVISOR.
Nodi schermati di Google Kubernetes Engine disattivati

Gravità:
Alta

Tag: GKE, Security, CSPR, MVSP

Asset: container.googleapis.com/Cluster

Dettagli
Verifica che le configurazioni delle istanze schermate siano abilitate per i pool di nodi GKE (avvio protetto e monitoraggio dell'integrità).
Scalabilità verticale di Google Kubernetes Engine abilitata

Gravità:
Bassa

Tag: Google Kubernetes Engine, Kubernetes, cluster, VPA, VerticalPodAutoscaling, scalabilità automatica, ottimizzazione, CSPR

Asset: container.googleapis.com/Cluster

Dettagli
Verifica se Scalabilità automatica pod verticale (VPA) è abilitata per un cluster Google Kubernetes Engine. VPA regola automaticamente le richieste di CPU e memoria per i pod, ottimizzando l'allocazione delle risorse e potenzialmente migliorando le prestazioni e l'efficienza in termini di costi. Questa regola esamina il campo verticalPodAutoscaling.enabled all'interno della configurazione dei cluster. Viene generata una violazione se questo campo non è presente o è impostato su false, il che indica che VPA non è attivo.
Identità del workload di Google Kubernetes Engine

Gravità:
Alta

Tag: Google Kubernetes Engine, sicurezza, IAM, CSPR, CoNa, MVSP

Asset: container.googleapis.com/Cluster

Dettagli
Assicurati che Workload Identity sia abilitato sui cluster Google Kubernetes Engine.
Scansione automatica dei container K8s abilitata

Gravità:
Alta

Tag: Project, Container, Auto Scanning, Security, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_2

Dettagli
Attiva la scansione automatica dei container per rilevare in modo proattivo le vulnerabilità, rafforzando così la sicurezza delle applicazioni, migliorando l'affidabilità operativa, mantenendo l'integrità delle prestazioni e mitigando i costosi rischi di violazione.
Sicurezza dei container K8s abilitata

Gravità:
Alta

Tag: Google Kubernetes Engine, Kubernetes, cluster, sicurezza, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_2

Dettagli
Verifica se stai utilizzando la dashboard di security posture di Google Kubernetes Engine.
Analisi dei container K8s on demand abilitata

Gravità:
Alta

Tag: Project, Container, On Demand Scanning, Security, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_2

Dettagli
Abilita la scansione on demand dei container per rilevare in modo proattivo le vulnerabilità nelle immagini container, proteggendo così le tue applicazioni, garantendo l'affidabilità operativa e prevenendo costosi incidenti di sicurezza.

Best practice di Google Cloud - IAM (75 risultati)

Chiavi API senza limitazioni

Gravità:
Alta

Tag: IAM, Security, APIKey, CSPR, MVSP

Asset: apikeys.googleapis.com/Key

Dettagli
Verifica che le chiavi API abbiano restrizioni IP o delle applicazioni configurate per impedire l'utilizzo non autorizzato.
Gruppo di base IAM nella cartella

Gravità:
Alta

Tag: IAM, proprietario, organizzazione, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Folder

Dettagli
Questa regola identifica i gruppi a cui sono stati assegnati ruoli di base eccessivamente ampi (ad es. Proprietario, Editor) a livello di cartella, consentendo ai clienti di applicare il principio del privilegio minimo, che riduce significativamente i rischi per la sicurezza derivanti da autorizzazioni eccessive e semplifica la governance dell'accesso.
Gruppo di base IAM nell'organizzazione

Gravità:
Alta

Tag: IAM, proprietario, organizzazione, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Questa regola identifica i gruppi a cui sono assegnati i ruoli di base altamente permissivi (come Proprietario o Editor) a livello di organizzazione. Si tratta di un controllo fondamentale per prevenire vulnerabilità di sicurezza diffuse e garantire il rispetto del principio del privilegio minimo in tutte le risorse cloud.
Gruppo IAM di base sul progetto

Gravità:
Alta

Tag: IAM, proprietario, organizzazione, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Riduci i rischi per la sicurezza e previeni alterazioni involontarie del progetto identificando i gruppi con ruoli di base eccessivamente ampi (come Proprietario o Editor), applicando così il privilegio minimo per una maggiore stabilità operativa.
Account di servizio di base IAM nella cartella

Gravità:
Alta

Tag: IAM, proprietario, organizzazione, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Folder

Dettagli
Identifica i service account a cui sono stati concessi ruoli di base eccessivamente permissivi (come Proprietario o Editor) a livello di cartella, fondamentali per applicare il principio del privilegio minimo per rafforzare la sicurezza, mantenere l'affidabilità operativa e controllare i costi.
Account di servizio di base IAM nell'organizzazione

Gravità:
Alta

Tag: IAM, proprietario, organizzazione, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Assicurati che gli account di servizio a livello di organizzazione non dispongano di ruoli di base ampi, un passaggio fondamentale per rispettare il principio del privilegio minimo, prevenire violazioni della sicurezza diffuse e mantenere l'affidabilità operativa.
Account di servizio di base IAM sul progetto

Gravità:
Alta

Tag: IAM, proprietario, organizzazione, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Questa regola identifica i service account a cui vengono concessi ruoli di base eccessivamente permissivi (come Proprietario o Editor) a livello di progetto. Questa regola consente l'applicazione proattiva del principio del privilegio minimo per ridurre significativamente i rischi per la sicurezza e limitare il potenziale impatto delle credenziali compromesse.
Utente di base IAM nella cartella

Gravità:
Alta

Tag: IAM, proprietario, organizzazione, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Folder

Dettagli
L'identificazione degli utenti con ruoli di base eccessivamente permissivi (ad es. Proprietario, Editor) a livello di cartella è fondamentale per applicare il principio del privilegio minimo, che migliora direttamente la tua strategia di sicurezza e la stabilità operativa impedendo modifiche non intenzionali.
Utente di base IAM nell'organizzazione

Gravità:
Alta

Tag: IAM, proprietario, organizzazione, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
L'identificazione di singoli utenti con ruoli di base ampi a livello di organizzazione è fondamentale per mitigare i rischi di accesso non autorizzato diffuso o modifiche accidentali, salvaguardando la sicurezza, l'affidabilità e l'efficienza dei costi dei tuoi ambienti cloud.
Utente IAM di base sul progetto

Gravità:
Alta

Tag: IAM, proprietario, organizzazione, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Il contrassegno dell'assegnazione diretta di ruoli di base generici a singoli utenti a livello di progetto migliora la sicurezza e semplifica la gestione dell'accesso incoraggiando il rispetto del principio del privilegio minimo tramite le autorizzazioni basate su gruppi.
Entità amministratore di fatturazione IAM per la fatturazione

Gravità:
Alta

Tag: IAM, account di fatturazione, amministratore, sicurezza, CSPR, CoNa, MVSP

Asset: cloudbilling.googleapis.com/BillingAccount

Dettagli
Questa regola migliora la sicurezza finanziaria identificando i principali con ampi privilegi di amministratore della fatturazione a livello di account di fatturazione e ti aiuta a prevenire spese non autorizzate e a garantire una governance dei costi solida.
Entità amministratore di fatturazione IAM nell'organizzazione

Gravità:
Alta

Tag: IAM, account di fatturazione, amministratore, sicurezza, CSPR, CoNa, MVSP

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Rafforza la governance e la sicurezza finanziaria identificando i responsabili con privilegi di amministratore di fatturazione a livello di organizzazione diretti, fondamentali per impedire modifiche alla fatturazione diffuse e non autorizzate e per applicare il principio del privilegio minimo.
Utente amministratore di fatturazione IAM per la fatturazione

Gravità:
Alta

Tag: IAM, account di fatturazione, amministratore, sicurezza, CSPR, CoNa, MVSP

Asset: cloudbilling.googleapis.com/BillingAccount

Dettagli
Il rilevamento di singoli utenti con privilegi di Amministratore account di fatturazione diretti è fondamentale per mitigare i rischi finanziari e prevenire interruzioni del servizio applicando il principio del privilegio minimo.
Utente amministratore di fatturazione IAM nell'organizzazione

Gravità:
Alta

Tag: IAM, account di fatturazione, amministratore, sicurezza, CSPR, CoNa, MVSP

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Migliora la sicurezza, l'affidabilità e il controllo dei costi limitando le autorizzazioni di amministratore della fatturazione generiche per i singoli account utente a livello di organizzazione, riducendo così al minimo i rischi di modifiche non autorizzate, interruzioni del servizio e impatto finanziario.
Entità di gestione dei costi di fatturazione IAM per la fatturazione

Gravità:
Alta

Tag: IAM, account di fatturazione, proprietario, organizzazione, sicurezza, CSPR, CoNa

Asset: cloudbilling.googleapis.com/BillingAccount

Dettagli
Garantisce che solo le persone autorizzate possano visualizzare ed esportare i dati sui costi dell'account di fatturazione, salvaguardando le informazioni finanziarie sensibili e supportando una rigorosa governance dei costi.
Entità Gestore costi fatturazione IAM nell'organizzazione

Gravità:
Alta

Tag: IAM, account di fatturazione, proprietario, organizzazione, sicurezza, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Identifica i principal con ruoli di gestione dei costi di fatturazione a livello di organizzazione, aiutandoti ad applicare il principio del privilegio minimo per salvaguardare i dati di fatturazione sensibili e completi e mantenere controlli appropriati sulla visibilità dei costi.
Utente IAM Billing Costs Manager per la fatturazione

Gravità:
Alta

Tag: IAM, account di fatturazione, proprietario, organizzazione, sicurezza, CSPR, CoNa

Asset: cloudbilling.googleapis.com/BillingAccount

Dettagli
Garantisci una governance dei costi solida limitando il ruolo di Gestore costi di fatturazione per i singoli utenti a livello di account di fatturazione, evitando potenziali errori di configurazione del budget e mantenendo una chiara responsabilità per le operazioni finanziarie.
Utente IAM Billing Costs Manager nell'organizzazione

Gravità:
Alta

Tag: IAM, account di fatturazione, proprietario, organizzazione, sicurezza, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Migliora la sicurezza finanziaria e il controllo dei costi identificando i singoli account utente con autorizzazioni di gestione dei costi di fatturazione a livello di organizzazione, promuovendo così il privilegio minimo e riducendo i rischi.
Domini del creatore della fatturazione IAM nell'organizzazione

Gravità:
Alta

Tag: IAM, account di fatturazione, proprietario, organizzazione, sicurezza, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Rileva i domini a cui è stato assegnato il ruolo Creatore account di fatturazione a livello di organizzazione, un controllo fondamentale per impedire la proliferazione non autorizzata di account di fatturazione e mantenere una supervisione finanziaria solida.
Entità creatore fatturazione IAM nell'organizzazione

Gravità:
Alta

Tag: IAM, account di fatturazione, proprietario, organizzazione, sicurezza, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Questa regola identifica i principal con privilegi di creatore della fatturazione a livello di organizzazione, fondamentali per prevenire spese cloud incontrollate e garantire una governance finanziaria rigorosa sulla creazione di nuovi account di fatturazione.
Utente creatore della fatturazione IAM nell'organizzazione

Gravità:
Alta

Tag: IAM, account di fatturazione, proprietario, organizzazione, sicurezza, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Questa regola identifica gli utenti con diritti di creazione della fatturazione a livello di organizzazione per impedire una spesa cloud incontrollata e applicare una governance finanziaria critica.
Entità utente con accesso fatturazione IAM per la fatturazione

Gravità:
Alta

Tag: IAM, account di fatturazione, proprietario, organizzazione, sicurezza, CSPR, CoNa

Asset: cloudbilling.googleapis.com/BillingAccount

Dettagli
Impedire l'assegnazione del ruolo Utente account di fatturazione all'identificatore dell'entità eccessivamente ampio a livello di account di fatturazione è fondamentale per proteggere i dati finanziari sensibili e controllare la spesa, garantendo che solo utenti o gruppi specifici e previsti possano gestire la fatturazione.
Entità utente con accesso fatturazione IAM nell'organizzazione

Gravità:
Alta

Tag: IAM, account di fatturazione, proprietario, organizzazione, sicurezza, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Garantisce il privilegio minimo identificando le entità con il ruolo Utente account di fatturazione a livello di organizzazione, fondamentale per proteggere i dati finanziari sensibili e rafforzare la governance dei costi.
Utente con accesso fatturazione IAM per la fatturazione

Gravità:
Alta

Tag: IAM, account di fatturazione, proprietario, organizzazione, sicurezza, CSPR, CoNa

Asset: cloudbilling.googleapis.com/BillingAccount

Dettagli
Identifica i singoli account utente a cui sono assegnati direttamente i ruoli utente con accesso fatturazione, promuovendo le autorizzazioni basate sui gruppi per una maggiore sicurezza, un'amministrazione semplificata e un controllo dei costi efficace.
Utente IAM per la fatturazione nell'organizzazione

Gravità:
Alta

Tag: IAM, account di fatturazione, proprietario, organizzazione, sicurezza, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Questa regola migliora la sicurezza identificando le assegnazioni di ruoli/billing.user a livello di organizzazione, il che impedisce l'accesso eccessivamente ampio a dati finanziari sensibili e applica il principio del privilegio minimo.
Entità visualizzatore fatturazione IAM sulla fatturazione

Gravità:
Alta

Tag: IAM, account di fatturazione, proprietario, organizzazione, sicurezza, CSPR, CoNa

Asset: cloudbilling.googleapis.com/BillingAccount

Dettagli
Questa regola migliora la sicurezza identificando i principal con ruoli di visualizzatore dell'account di fatturazione diretto, garantendo il rispetto del privilegio minimo per impedire l'accesso ampio e non intenzionale a informazioni di fatturazione sensibili.
Entità visualizzatore fatturazione IAM nell'organizzazione

Gravità:
Alta

Tag: IAM, account di fatturazione, proprietario, organizzazione, sicurezza, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Proteggi i dati finanziari sensibili e applica il principio del privilegio minimo identificando i principal con accesso di visualizzazione della fatturazione a livello di organizzazione, riducendo così al minimo i rischi di esposizione non autorizzata delle informazioni.
Utente con ruolo Visualizzatore fatturazione IAM per la fatturazione

Gravità:
Alta

Tag: IAM, account di fatturazione, proprietario, organizzazione, sicurezza, CSPR, CoNa

Asset: cloudbilling.googleapis.com/BillingAccount

Dettagli
Individua gli utenti a cui sono stati assegnati direttamente i ruoli di visualizzatore della fatturazione a livello di account di fatturazione, consentendo l'applicazione del principio del privilegio minimo per salvaguardare i dati finanziari sensibili e impedire l'esposizione non autorizzata dei costi.
Utente con ruolo Visualizzatore fatturazione IAM nell'organizzazione

Gravità:
Alta

Tag: IAM, account di fatturazione, proprietario, organizzazione, sicurezza, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Questa regola migliora la sicurezza dei dati finanziari identificando i singoli utenti con accesso a livello di organizzazione come Visualizzatore fatturazione, fondamentale per applicare il principio del privilegio minimo e ridurre al minimo l'esposizione a costi sensibili.
Accesso interdominio IAM

Gravità:
Alta

Tag: IAM, Security, CSPR, MVSP

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Verifica che i criteri IAM non concedano l'accesso a allUsers o allAuthenticatedUsers.
Il gruppo IAM può creare un progetto a livello di cartella

Gravità:
Media

Tag: IAM, project creator, folder, Security, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Folder

Dettagli
Rileva se i gruppi dispongono di ruoli di creazione di progetti a livello di cartella, consentendo una governance proattiva per impedire la proliferazione delle risorse, applicare le baseline di sicurezza e controllare i costi.
Il gruppo IAM può creare un progetto a livello di organizzazione

Gravità:
Media

Tag: IAM, creatore del progetto, organizzazione, sicurezza, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Questa regola identifica i gruppi con funzionalità di creazione di progetti a livello di organizzazione, aiutandoti a prevenire la proliferazione incontrollata dei progetti e i costi associati, rafforzando al contempo la sicurezza e la governance del provisioning delle risorse.
Amministratore dell'organizzazione IAM

Gravità:
Alta

Tag: IAM, account di fatturazione, amministratore, sicurezza, CSPR, CoNa, MVSP

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
L'identificazione delle assegnazioni di Amministratore organizzazione con privilegi elevati ti consente di proteggere l'intero ambiente cloud controllando rigorosamente l'accesso finale, impedendo così vulnerabilità di sicurezza diffuse e interruzioni operative.
Ridondanza dell'amministratore dell'organizzazione IAM

Gravità:
Alta

Tag: IAM, organization, admin, redundancy, Security, CSPR, CoNa, MVSP

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Applica la ridondanza dell'amministratore dell'organizzazione. Evita di avere un solo amministratore dell'organizzazione per prevenire scenari di blocco e garantire la continuità amministrativa. Assicurati che ci siano almeno due amministratori.
Gruppo proprietario IAM nella cartella

Gravità:
Alta

Tag: IAM, proprietario, organizzazione, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Folder

Dettagli
Questa regola segnala i gruppi che dispongono delle autorizzazioni di proprietario per le cartelle, un controllo fondamentale per prevenire vulnerabilità di sicurezza diffuse e interruzioni operative accidentali applicando controllo dell'accesso#39;accesso più rigoroso.
Gruppo di proprietari IAM nell'organizzazione

Gravità:
Alta

Tag: IAM, proprietario, organizzazione, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Identifica i gruppi con autorizzazioni di proprietario a livello di organizzazione, fondamentali per prevenire violazioni della sicurezza catastrofiche e guasti operativi derivanti da escalation di privilegi indirette e difficili da controllare tramite modifiche all'iscrizione al gruppo.
Gruppo proprietario IAM sul progetto

Gravità:
Alta

Tag: IAM, proprietario, organizzazione, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Questa regola identifica i gruppi Google a cui è stato assegnato il ruolo di proprietario con privilegi a livello di progetto, il che è fondamentale per mitigare le vulnerabilità della sicurezza dovute a autorizzazioni eccessive, prevenire interruzioni operative e controllare le spese cloud non intenzionali.
Account di servizio proprietario IAM nella cartella

Gravità:
Alta

Tag: IAM, proprietario, organizzazione, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Folder

Dettagli
Questa regola migliora in modo critico la sicurezza identificando i service account con ruoli Proprietario altamente permissivi a livello di cartella, essenziali per mitigare i rischi derivanti da privilegi eccessivi e applicare il principio del privilegio minimo per un controllo efficace delle risorse.
Account di servizio proprietario IAM nell'organizzazione

Gravità:
Alta

Tag: IAM, proprietario, organizzazione, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Proteggi la tua organizzazione da minacce alla sicurezza critiche rilevando gli account di servizio con privilegi di proprietario eccessivi a livello di organizzazione, impedendo il controllo e la manipolazione non autorizzati e diffusi di tutte le risorse cloud.
Account di servizio proprietario IAM sul progetto

Gravità:
Alta

Tag: IAM, proprietario, organizzazione, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Questa regola identifica gli account di servizio con ruoli di proprietario a livello di progetto, un rischio per la sicurezza critico. Questa regola contribuisce a far rispettare il principio del privilegio minimo, fondamentale per migliorare la sicurezza, garantire l'affidabilità operativa e impedire spese cloud incontrollate.
Utente proprietario IAM nella cartella

Gravità:
Alta

Tag: IAM, proprietario, organizzazione, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Folder

Dettagli
Questo controllo identifica i ruoli Proprietario assegnati dall'utente a livello di cartella, consentendo la mitigazione proattiva dei rischi per la sicurezza derivanti da autorizzazioni eccessive e la prevenzione di modifiche alle risorse non intenzionali, potenzialmente costose o disruptive.
Utente proprietario IAM dell'organizzazione

Gravità:
Alta

Tag: IAM, proprietario, organizzazione, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Rileva gli utenti a cui è stato assegnato il ruolo di proprietario a livello di organizzazione, un controllo fondamentale per impedire modifiche ampie e non intenzionali che potrebbero compromettere la sicurezza, interrompere l'affidabilità del servizio, compromettere le prestazioni e portare a costi incontrollati.
Utente proprietario IAM del progetto

Gravità:
Alta

Tag: IAM, proprietario, organizzazione, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Evita costi imprevisti identificando gli utenti a cui è stato assegnato il ruolo Proprietario, riducendo così i rischi derivanti da privilegi eccessivi.
IAM personal gmail accounts disallowed project

Gravità:
Alta

Tag: IAM, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Identifica i binding IAM a livello di progetto che concedono autorizzazioni agli account Gmail personali (ad es. @gmail.com o @googlemail.com). Le best practice prevedono di limitare l'accesso alle identità di dominio aziendale per ridurre al minimo il rischio di perdita di dati e compromissione delle credenziali.
Progetto IAM esposto pubblicamente

Gravità:
Critica

Tag: IAM, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Identifica i binding IAM a livello di progetto che concedono autorizzazioni a allUsers o allAuthenticatedUsers. L'esposizione pubblica dei progetti consente l'accesso non autenticato alle risorse e alla struttura del progetto, rappresentando un rischio per la sicurezza critico.
Creatore token gruppo di account di servizio IAM nella cartella

Gravità:
Media

Tag: IAM, account di servizio, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Folder

Dettagli
Rafforza la sicurezza impedendo l'ampia rappresentazione basata su gruppi di service account a livello di cartella, riducendo così il rischio di escalation dei privilegi e accesso non autorizzato alle risorse.
Creatore token account di servizio IAM nell'organizzazione

Gravità:
Media

Tag: IAM, account di servizio, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Questa regola identifica i gruppi a cui sono assegnati i ruoli Service Account User o Creatore token a livello di organizzazione e ti aiuta a mitigare i rischi per la sicurezza critici, come l'escalation dei privilegi e la compromissione di risorse estese, applicando i principi del privilegio minimo.
Creatore token gruppo di account di servizio IAM sul progetto

Gravità:
Media

Tag: IAM, account di servizio, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Migliora la sicurezza del progetto identificando i gruppi con i ruoli Utente del service account o Creatore di token, consentendo la mitigazione proattiva dei rischi derivanti da funzionalità di rappresentazione troppo ampie e semplificando i log di controllo dell'accesso.
Creatore token entità account di servizio IAM nella cartella

Gravità:
Media

Tag: IAM, account di servizio, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Folder

Dettagli
Controlla per rilevare l'utente del account di servizio e il creatore di token nei principal a livello di cartella
Creatore token principal account di servizio IAM nell'organizzazione

Gravità:
Media

Tag: IAM, account di servizio, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Questa regola identifica le entità con ruoli di utente del account di servizio o di creazione di token a livello di organizzazione, consentendo l'applicazione proattiva del privilegio minimo per impedire la compromissione diffusa del sistema e ridurre significativamente il rischio per la sicurezza.
Creatore token account di servizio IAM sul progetto

Gravità:
Media

Tag: IAM, account di servizio, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Questa regola rileva le entità con i ruoli Utente service account o Creatore token a livello di progetto, che concedono funzionalità di rappresentazione generalizzate e ad alto rischio su qualsiasi account di servizio. Il rilevamento dei ruoli ti aiuta ad applicare il principio del privilegio minimo e a ridurre drasticamente i rischi per la sicurezza.
Creatore token principalset account di servizio IAM nella cartella

Gravità:
Media

Tag: IAM, account di servizio, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Folder

Dettagli
Identifica le assegnazioni principalSet con i ruoli Utente service account o Creatore token a livello di cartella, impedendo la simulazione dell'identità dei account di servizio eccessiva per migliorare la sicurezza e applicare il principio del privilegio minimo.
Creatore token principalset account di servizio IAM nell'organizzazione

Gravità:
Media

Tag: IAM, account di servizio, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Riduce il rischio organizzativo identificando i principalSet con privilegi di simulazione dell'identità dei account di servizio o creazione di token eccessivamente ampi a livello di organizzazione, impedendo potenziali violazioni della sicurezza diffuse e accesso non autorizzato alle risorse.
Creatore token principalset account di servizio IAM sul progetto

Gravità:
Media

Tag: IAM, account di servizio, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
La limitazione dei ruoli di utente del account di servizio/creatore di token per principalSet ampi (come gruppi o domini) a livello di progetto mitiga i rischi di escalation dei privilegi diffusi e la rappresentazione non autorizzata, migliorando la postura di sicurezza complessiva del progetto.
Creatore token utente account di servizio IAM nella cartella

Gravità:
Media

Tag: IAM, account di servizio, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Folder

Dettagli
Controlla per rilevare l'utente del account di servizio e il creatore di token sugli utenti a livello di cartella
Creatore token utente account di servizio IAM nell'organizzazione

Gravità:
Media

Tag: IAM, account di servizio, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Controlla per rilevare l'utente del account di servizio e il creatore di token sugli utenti a livello di organizzazione
Creatore di token utente account di servizio IAM sul progetto

Gravità:
Media

Tag: IAM, account di servizio, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Questa regola identifica gli utenti con ampi privilegi di simulazione dell'identità dei account di servizio o di creazione di token a livello di progetto e contribuisce a neutralizzare in modo preventivo le principali vulnerabilità della sicurezza, come l'escalation dei privilegi tramite account compromessi, proteggendo così gli asset vitali e riducendo le potenziali perdite finanziarie dovute a violazioni.
Cartella Lettore secret IAM

Gravità:
Alta

Tag: IAM, secret, Security, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Folder

Dettagli
Rafforza la protezione dei dati e ti aiuta a far rispettare il principio del privilegio minimo identificando e correggendo le autorizzazioni a livello di cartella eccessivamente ampie che concedono un accesso diffuso ai secret, riducendo al minimo il rischio di esposizione non autorizzata.
Organizzazione lettore secret IAM

Gravità:
Alta

Tag: IAM, secret, Security, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Questa regola identifica i ruoli IAM a livello di organizzazione che concedono un ampio accesso ai secret (come Proprietario, Amministratore/Accessore Secret Manager), fondamentali per applicare il principio del privilegio minimo e ridurre al minimo il rischio di esposizione diffusa di dati sensibili.
Progetto di lettura dei secret IAM

Gravità:
Alta

Tag: IAM, secret, Security, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Questa regola identifica i binding IAM a livello di progetto che concedono ruoli eccessivamente permissivi (come roles/owner, roles/secretmanager.admin o roles/secretmanager.secretAccessor) con ampio accesso a tutti i secret. Questa regola ti aiuta ad applicare il principio del privilegio minimo, salvaguardando così i dati sensibili e riducendo il rischio di incidenti di sicurezza costosi.
Scadenza della chiave del account di servizio IAM superiore a 90 giorni

Gravità:
Media

Tag: IAM, chiave account di servizio, sicurezza, CSPR

Asset: iam.googleapis.com/ServiceAccountKey

Dettagli
L'applicazione di una rotazione di 90 giorni per le chiavi del account di servizio gestite dall'utente riduce significativamente il rischio di accesso non autorizzato prolungato da credenziali compromesse, salvaguardando i tuoi servizi critici e prevenendo incidenti di sicurezza costosi.
Chiave account di servizio IAM precedente a 90 giorni

Gravità:
Media

Tag: IAM, chiave account di servizio, sicurezza, CSPR

Asset: iam.googleapis.com/ServiceAccountKey

Dettagli
L'identificazione delle chiavi del account di servizio gestite dall'utente attive da più di 90 giorni consente la rotazione proattiva, riducendo significativamente la superficie di attacco e minimizzando i rischi di accesso non autorizzato o compromissione delle credenziali.
Chiave account di servizio IAM gestita dall'utente

Gravità:
Media

Tag: IAM, chiave account di servizio, sicurezza, CSPR

Asset: iam.googleapis.com/ServiceAccountKey

Dettagli
Le chiavi dell'account di servizio gestito dall'utente non vengono ruotate automaticamente, il che aumenta le vulnerabilità della sicurezza e il carico operativo. La migrazione alle chiavi gestite da Google migliora la sicurezza e semplifica la gestione delle chiavi.
Account di servizio IAM senza data di scadenza

Gravità:
Media

Tag: IAM, chiave account di servizio, sicurezza, CSPR

Asset: iam.googleapis.com/ServiceAccountKey

Dettagli
Definisci le date di scadenza per le chiavi degli account di servizio gestiti dagli utenti per limitarne la durata attiva, il che è fondamentale per ridurre al minimo i rischi per la sicurezza e proteggere le risorse da accessi non autorizzati in caso di compromissione di una chiave.
Cartella di amministrazione utenti del account di servizio IAM

Gravità:
Alta

Tag: IAM, account di servizio, amministratore, sicurezza, CSPR, CoNa, MVSP

Asset: cloudresourcemanager.googleapis.com/Folder

Dettagli
Questa regola migliora la sicurezza rilevando i principal in una cartella che possono sia utilizzare che gestire completamente i service account, un'autorizzazione eccessiva critica che, se compromessa, aumenta notevolmente il rischio di accesso non autorizzato e manipolazione delle risorse su larga scala.
Organizzazione di amministrazione utenti del account di servizio IAM

Gravità:
Alta

Tag: IAM, account di servizio, amministratore, sicurezza, CSPR, CoNa, MVSP

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Questa regola identifica i principal che dispongono dei ruoli Utente service account e Amministratore a livello di organizzazione, un controllo fondamentale per impedire l'escalation dei privilegi e applicare il principio privilegio minimo, salvaguardando così le risorse e mantenendo l'affidabilità operativa.
Progetto di amministrazione utenti del account di servizio IAM

Gravità:
Alta

Tag: IAM, account di servizio, amministratore, sicurezza, CSPR, CoNa, MVSP

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Identifica le entità con ruoli Utente account di servizio e Amministratore ridondanti in un progetto per aiutarti ad applicare il principio del privilegio minimo, semplificando IAM e rafforzando la sicurezza.
Amministratore utenti account di servizio IAM

Gravità:
Alta

Tag: IAM, account di servizio, amministratore, sicurezza, CSPR, CoNa, MVSP

Asset: iam.googleapis.com/ServiceAccount

Dettagli
Questa regola identifica le entità che detengono i ruoli Utente service account e Amministratore a livello di organizzazione, un controllo fondamentale per applicare il principio del privilegio minimo per ridurre la superficie di attacco e minimizzare i rischi derivanti da autorizzazioni eccessive.
Account di servizio IAM con chiave gestita dall'utente

Gravità:
Media

Tag: IAM, chiave account di servizio, sicurezza, CSPR

Asset: iam_ServiceAccount_RESOURCE_1

Dettagli
Questa regola identifica i service account che utilizzano chiavi gestite dall'utente, che richiedono la rotazione manuale e rappresentano un rischio per la sicurezza maggiore. Questa regola ti aiuta a rafforzare il livello di sicurezza eseguendo la transizione alle chiavi gestite da Google o implementando controlli rigorosi del ciclo di vita delle chiavi.
L'utente IAM può creare un progetto a livello di cartella

Gravità:
Media

Tag: IAM, project creator, folder, Security, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Folder

Dettagli
Questa regola identifica gli utenti con privilegi di creazione diretta dei progetti a livello di cartella, un aspetto fondamentale per impedire la proliferazione incontrollata delle risorse al fine di salvaguardare i budget, applicare i criteri di sicurezza e mantenere la stabilità operativa.
L'utente IAM può creare un progetto a livello di organizzazione

Gravità:
Media

Tag: IAM, project creator, folder, Security, CSPR, CoNa

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
La convalida del fatto che i diritti di creazione dei progetti non vengano concessi agli utenti direttamente a livello di organizzazione contribuisce a rafforzare il principio del privilegio minimo, impedendo la proliferazione incontrollata delle risorse per migliorare la gestione dei costi, la sicurezza e la governance complessiva.
Autorizzazioni con caratteri jolly dei criteri PAB

Gravità:
Media

Tag: PAB, policy, wildcard, permission, Security

Asset: iam.googleapis.com/PrincipalAccessBoundaryPolicy

Dettagli
Segnala i criteri del confine di accesso dell'entità (PAB) che consentono autorizzazioni jolly "*", che concedono l'accesso a tutte le autorizzazioni in tutti i servizi, vanificando lo scopo di un confine.
Cartella con ruoli originari non consentiti

Gravità:
Alta

Tag: IAM, Security, Least Privilege, CSPR

Asset: cloudresourcemanager.googleapis.com/Folder

Dettagli
Segnala i ruoli originari non consentiti (proprietario, editor) nei criteri IAM delle cartelle
Ruoli primitivi non consentiti per l'organizzazione

Gravità:
Alta

Tag: IAM, Security, Least Privilege, CSPR

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
Segnala i ruoli primitivi non consentiti (proprietario, editor) nelle policy IAM dell'organizzazione
Ruoli originari non consentiti per il progetto

Gravità:
Alta

Tag: IAM, Security, Least Privilege, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Segnala i ruoli primitivi non consentiti (proprietario, editor) nei criteri IAM del progetto

Best practice di Google Cloud - Memorystore for memcache (2 risultati)

L'istanza Memorystore ha

Gravità:
Alta

Tag: affidabilità, alta disponibilità, BCDR

Asset: memcache.googleapis.com/Instance

Dettagli
Verifica che le istanze Memorystore siano configurate con più nodi per garantire l'alta affidabilità. Le configurazioni a singolo nodo non hanno ridondanza, il che aumenta il rischio di interruzione del servizio in caso di errori.
Memorystore instance zonal ha

Gravità:
Alta

Tag: Reliability, High Availability, BCDR, CoNa

Asset: memcache.googleapis.com/Instance

Dettagli
Verifica che le istanze Memorystore Memcached siano distribuite in più zone distinte per garantire l'alta affidabilità. Affidarsi a una singola zona crea un single point of failure, con il rischio di interruzione del servizio durante le interruzioni a livello di zona.

Best practice di Google Cloud - Memorystore for Redis (8 risultati)

Persistenza dell'istanza Memorystore

Gravità:
Alta

Tag: Redis, Memorystore, Affidabilità, Disaster Recovery, Persistenza

Asset: redis.googleapis.com/Instance

Dettagli
Controlla se la persistenza è abilitata per le istanze Memorystore for Redis di livello Standard. La persistenza garantisce il recupero dei dati dal disco. Questa regola segnala le istanze Standard in cui persistenceMode è disabilitato o mancante.
Redis AUTH abilitato

Gravità:
Alta

Tag: Redis, Memorystore, Istanza, Sicurezza, Autenticazione, AccessControl

Asset: redis.googleapis.com/Instance

Dettagli
Controlla se le istanze Memorystore for Redis hanno Redis AUTH abilitato. Redis AUTH richiede ai client di autenticarsi con una password prima di accedere al database. Si tratta di una misura di sicurezza fondamentale per impedire accessi non autorizzati. Questa regola segnala le istanze in cui authEnabled è false.
Set di reti autorizzate Redis

Gravità:
Media

Tag: Redis, Memorystore, Instance, Security, Network, AccessControl, VPC, CoNa

Asset: redis.googleapis.com/Instance

Dettagli
Controlla se le istanze Memorystore for Redis hanno una rete autorizzata configurata. Limitare l'accesso a una rete VPC specifica limita la potenziale superficie di attacco. Sebbene questa regola non convalidi la rete specifica, verifica che sia in vigore una restrizione di rete. Un controllo più rigoroso confronta l'indirizzo IP con un elenco di reti consentite (utilizzando i parametri).
Istanza Redis multizona

Gravità:
Alta

Tag: affidabilità, cache, alta disponibilità, posizioni

Asset: redis.googleapis.com/Instance

Dettagli
Controlla se la replica e il nodo primario Memorystore Redis si trovano in zone diverse. In STANDARD_HA, il posizionamento della replica nella stessa zona rimuove la resilienza zonale.
Livello dell'istanza Redis ha

Gravità:
Alta

Tag: Reliability, Cache, HighAvailability, Resiliency

Asset: redis.googleapis.com/Instance

Dettagli
Controlla se l'istanza Memorystore for Redis utilizza il livello STANDARD_HA per garantire l'alta affidabilità con failover automatico a una replica.
Periodo di manutenzione Redis configurato

Gravità:
Alta

Tag: Redis, Memorystore, Istanza, Disponibilità, Affidabilità, Manutenzione

Asset: redis.googleapis.com/Instance

Dettagli
Controlla se le istanze Memorystore for Redis hanno un periodo di manutenzione configurato. Un periodo di manutenzione definito ti consente di controllare quando si verificano operazioni di manutenzione potenzialmente disruptive. Senza una finestra temporale definita, gli aggiornamenti possono essere eseguiti in qualsiasi momento, il che potrebbe influire sulla disponibilità dell'applicazione. Questa regola segnala le istanze per le quali non è definita una maintenancePolicy.
Redis senza livello base

Gravità:
Alta

Tag: Redis, Memorystore, Istanza, Disponibilità, Affidabilità, Alta disponibilità, CSPR

Asset: redis.googleapis.com/Instance

Dettagli
Controlla se le istanze Memorystore for Redis utilizzano il livello BASIC. Il livello BASIC fornisce un singolo nodo Redis e non offre la replica o il failover automatico. Ciò lo rende inadatto ai workload di produzione che richiedono alta affidabilità. Questa regola segnala qualsiasi istanza che utilizza il livello BASIC. L'upgrade a STANDARD_HA è vivamente consigliato per gli ambienti di produzione.
Redis standard ha repliche

Gravità:
Media

Tag: Redis, Memorystore, Istanza, Disponibilità, Affidabilità, Alta disponibilità, Prestazioni, CSPR

Asset: redis.googleapis.com/Instance

Dettagli
Controlla se le istanze Memorystore for Redis utilizzano il livello STANDARD_HA e hanno almeno una replica. Sebbene STANDARD_HA fornisca funzionalità di alta affidabilità, un conteggio delle repliche pari a zero elimina i vantaggi della ridondanza. Questa regola segnala le istanze non su STANDARD_HA e con zero repliche configurate. Per una vera alta affidabilità, ti consigliamo di aumentare il numero di repliche ad almeno 1 (e idealmente 2 o più, fino a 5).

Best practice di Google Cloud - Memorystore for Redis Cluster (3 risultati)

Cluster Redis ha

Gravità:
Alta

Tag: Redis, Cluster, Reliability, HighAvailability, Resiliency

Asset: redis.googleapis.com/Cluster

Dettagli
Controlla se le istanze Memorystore for Redis Cluster sono configurate con la disponibilità multizona. I deployment in una singola zona creano un unico punto di errore e non sono resilienti alle interruzioni a livello di zona.
Persistenza del cluster Redis

Gravità:
Alta

Tag: Redis, Memorystore, Cluster, Reliability, DisasterRecovery, Persistence,

Asset: redis.googleapis.com/Cluster

Dettagli
Controlla se la persistenza è abilitata per le risorse Memorystore for Redis Cluster. La persistenza (RDB o AOF) è fondamentale per ripristino di emergenza in caso di errore totale del cluster. Questa regola segnala i cluster Redis in cui persistenceConfig.mode non è impostato su RDB o AOF.
Replica multizona del cluster Redis

Gravità:
Alta

Tag: affidabilità, cache, alta disponibilità, posizioni

Asset: redis.googleapis.com/Cluster

Dettagli
Verifica che il posizionamento delle repliche di Memorystore Redis Cluster sia multizona e che sia configurata almeno una replica per shard.

Best practice di Google Cloud - NetApp Volumes (1 risultato)

Policy di snapshot del volume NetApp abilitata

Gravità:
Alta

Tag: Reliability, Storage, NetApp, Backup, DataProtection

Asset: netapp.googleapis.com/Volume

Dettagli
Convalida direttamente le configurazioni di pianificazione e lo stato delle policy di snapshot per Google Cloud NetApp Volumes per garantire che il recupero point-in-time sia attivo.

Best practice di Google Cloud - Networking (5 risultati)

Registrazione del firewall di negazione predefinita di Compute

Gravità:
Media

Tag: Networking, Firewall, Security, CSPR, MVSP

Asset: compute.googleapis.com/Firewall

Dettagli
Verifica che il logging sia abilitato per le regole firewall di negazione predefinite.
Compute firewall iap tcp tunnel

Gravità:
Alta

Tag: Networking, Firewall, Security, CSPR, IAP

Asset: compute.googleapis.com/Firewall

Dettagli
Verifica che le regole firewall che consentono il forwarding TCP di IAP siano limitate all'intervallo IP di Google IAP (35.235.240.0/20).
Registrazione dei log dei criteri firewall gerarchici di Compute

Gravità:
Media

Tag: Networking, Firewall, Security, CSPR

Asset: compute.googleapis.com/FirewallPolicy

Dettagli
Verifica che il logging sia abilitato per i criteri firewall gerarchici.
Bilanciatore del carico di Compute Engine con intervalli di origine mancanti

Gravità:
Alta

Tag: Networking, Firewall, LB, Security, CSPR

Asset: compute.googleapis.com/Firewall

Dettagli
Verifica che le regole firewall associate ai bilanciatori del carico definiscano esplicitamente gli intervalli IP di origine.
Compute region servizio di backend cdn

Gravità:
Media

Tag: Networking, Security, CDN, CSPR

Asset: compute.googleapis.com/RegionBackendService

Dettagli
Verifica che Cloud CDN sia abilitato per i servizi di backend regionali.

Best practice di Google Cloud - Servizio policy dell'organizzazione (58 risultati)

Policy dell'organizzazione appengine disable code download

Gravità:
Media

Tag: Criteri dell'organizzazione, Appengine, Sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione appengine.disableCodeDownload sia configurato nel progetto o nei relativi genitori per impedire download di codice non autorizzati e proteggere da potenziali rischi per la sicurezza.
Policy dell'organizzazione cloudbuild allowed integrations

Gravità:
Bassa

Tag: criteri dell'organizzazione, Cloud Build, sicurezza, CSPR, CoNa

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che la policy dell'organizzazione cloudbuild.allowedIntegrations sia configurata nel progetto o in qualsiasi progetto principale per limitare i servizi esterni che possono richiamare i trigger di build.
Policy dell'organizzazione cloudfunctions allowed ingress

Gravità:
Media

Tag: criteri dell'organizzazione, Cloud Functions, sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione cloudfunctions.allowedIngressSettings sia applicato al progetto o a qualsiasi progetto padre, limitando il traffico in entrata a Cloud Functions.
Policy dell'organizzazione compute disable guest attributes access

Gravità:
Alta

Tag: criteri dell'organizzazione, Compute Engine, sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione compute.disableGuestAttributesAccess sia applicato al progetto o a qualsiasi elemento principale, impedendo il potenziale accesso non autorizzato agli attributi guest.
compute.disableInternetEndpointGroup policy dell'organizzazione

Gravità:
Bassa

Tag: criteri dell'organizzazione, Compute Engine, sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione compute.disableInternetNetworkEndpointGroup sia applicato al progetto o ai relativi genitori, impedendo potenziali vulnerabilità di sicurezza.
Policy dell'organizzazione compute disable nested virtualization

Gravità:
Media

Tag: Criteri dell'organizzazione, Compute Engine, Sicurezza, CSPR, CoNa

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione compute.disableNestedVirtualization sia configurato nel progetto o in qualsiasi elemento padre, impedendo l'uso non autorizzato della virtualizzazione nidificata.
Criterio dell'organizzazione compute.disableSerialPortLogging

Gravità:
Bassa

Tag: policy dell'organizzazione, Compute Engine, sicurezza, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione compute.disableSerialPortLogging sia applicato al progetto o a qualsiasi elemento padre, impedendo potenziali rischi per la sicurezza derivanti dall'accesso non autorizzato alla porta seriale.
La policy dell'organizzazione compute disattiva l'accesso alla porta seriale

Gravità:
Alta

Tag: criteri dell'organizzazione, Compute Engine, sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione compute.disableSerialPortAccess sia applicato al progetto o ai relativi elementi padre, impedendo l'accesso non autorizzato alle porte seriali.
Policy dell'organizzazione compute require os login

Gravità:
Alta

Tag: criteri dell'organizzazione, Compute Engine, sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione compute.requireOsLogin sia applicato per garantire che OS Login sia attivato nel progetto o nei relativi genitori, impedendo l'accesso non autorizzato alle macchine virtuali.
Policy dell'organizzazione Compute richiede la VM schermata

Gravità:
Media

Tag: Criteri dell'organizzazione, Compute Engine, Sicurezza, CSPR, CoNa

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione compute.requireShieldedVm sia applicato al progetto o ai relativi elementi padre, garantendo che vengano create solo VM schermate, migliorando così la sicurezza.
Policy dell'organizzazione compute restrict dedicated interconnect

Gravità:
Bassa

Tag: criteri dell'organizzazione, Compute Engine, sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione compute.restrictDedicatedInterconnectUsage venga applicato al progetto o a qualsiasi elemento padre, evitando potenziali rischi associati all'utilizzo illimitato dell'interconnessione dedicata.
Policy dell'organizzazione compute restrict load balancer creation

Gravità:
Media

Tag: criteri dell'organizzazione, Compute Engine, sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che la policy dell'organizzazione compute.restrictLoadBalancerCreationForTypes sia applicata per impedire la creazione di bilanciatori del carico non sicuri nel progetto o nei relativi elementi padre.
Policy dell'organizzazione compute restrict protocol forward creation

Gravità:
Alta

Tag: criteri dell'organizzazione, Compute Engine, sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione compute.restrictProtocolForwardingCreationForTypes sia configurato nel progetto o in qualsiasi elemento padre per evitare potenziali vulnerabilità della sicurezza.
Policy dell'organizzazione compute restrict shared VPC host projects

Gravità:
Media

Tag: criteri dell'organizzazione, Compute Engine, sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione compute.restrictSharedVpcHostProjects sia configurato nel progetto o in qualsiasi elemento padre, evitando potenziali vulnerabilità della sicurezza.
Policy dell'organizzazione compute restrict shared VPC subnetworks

Gravità:
Bassa

Tag: criteri dell'organizzazione, Compute Engine, sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione compute.restrictSharedVpcSubnetworks sia applicato al progetto o ai relativi elementi padre, garantendo che vengano utilizzate solo le subnet approvate, migliorando così la sicurezza della rete.
Policy dell'organizzazione compute restrict VPC peering

Gravità:
Media

Tag: criteri dell'organizzazione, Compute Engine, sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione compute.restrictVpcPeering sia applicato al progetto o ai relativi elementi padre, impedendo il potenziale peering VPC non autorizzato.
Organization policy compute restrict vpn peer ips

Gravità:
Media

Tag: criteri dell'organizzazione, Compute Engine, sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione compute.restrictVpnPeerIPs sia configurato nel progetto o in qualsiasi elemento padre, impedendo l'accesso non autorizzato all'IP peer VPN.
Policy dell'organizzazione compute restrict xpn project lien removal

Gravità:
Media

Tag: criteri dell'organizzazione, Compute Engine, sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione compute.restrictXpnProjectLienRemoval sia applicato al progetto o ai relativi elementi padre, impedendo la rimozione non autorizzata dei blocchi del progetto.
Criterio dell'organizzazione compute skip default network creation

Gravità:
Media

Tag: policy dell'organizzazione, Compute Engine, sicurezza, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione compute.skipDefaultNetworkCreation venga applicato al progetto o ai relativi elementi padre, evitando potenziali vulnerabilità di sicurezza.
Limitazioni all'utilizzo delle risorse Cloud Storage per i criteri dell'organizzazione

Gravità:
Alta

Tag: policy dell'organizzazione, Compute Engine, sicurezza, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che venga applicata la policy dell'organizzazione compute.storageResourceUseRestrictions per garantire che le limitazioni all'utilizzo delle risorse di archiviazione siano configurate nel progetto o nei relativi genitori, evitando potenziali vulnerabilità della sicurezza.
Calcola i progetti con immagini attendibili della policy dell'organizzazione

Gravità:
Media

Tag: criteri dell'organizzazione, Compute Engine, sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione compute.trustedImageProjects sia configurato nel progetto o in qualsiasi elemento padre, impedendo l'utilizzo di immagini non attendibili.
Policy dell'organizzazione compute VM può inoltrare IP

Gravità:
Bassa

Tag: Criteri dell'organizzazione, Compute Engine, Sicurezza, CSPR, CoNa

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione compute.vmCanIpForward sia configurato nel progetto o nei relativi genitori per consentire alle VM di inoltrare il traffico IP, garantendo la corretta funzionalità di rete.
Criterio dell'organizzazione per l'accesso IP esterno alle VM di Compute

Gravità:
Alta

Tag: policy dell'organizzazione, Compute Engine, sicurezza, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione compute.vmExternalIpAccess sia applicato al progetto o ai relativi genitori, evitando potenziali vulnerabilità della sicurezza.
Policy dell'organizzazione essentialcontacts allowed domains

Gravità:
Media

Tag: Criteri dell'organizzazione, Contatti essenziali, Sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione essentialcontacts.allowedContactDomains sia applicato al progetto o a qualsiasi progetto padre, limitando i domini consentiti per i contatti essenziali.
Funzioni della policy dell'organizzazione per limitare il traffico in uscita del connettore VPC consentito

Gravità:
Alta

Tag: criteri dell'organizzazione, funzione Cloud Function, sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che la policy dell'organizzazione cloudfunctions.allowedVpcConnectorEgressSettings sia applicata al progetto o ai relativi genitori, impedendo impostazioni di traffico in uscita non autorizzate per Cloud Functions, migliorando così la sicurezza.
Le funzioni della policy dell'organizzazione richiedono il connettore VPC

Gravità:
Alta

Tag: criteri dell'organizzazione, funzione Cloud Function, sicurezza, CSPR, CoNa

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che la policy dell'organizzazione cloudfunctions.requireVPCConnector sia applicata per garantire che Cloud Functions utilizzi i connettori VPC, migliorando la sicurezza della rete.
Policy dell'organizzazione Compute Engine disable psc creation

Gravità:
Bassa

Tag: policy dell'organizzazione, Compute Engine, PSC, sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione compute.disablePrivateServiceConnectCreationForConsumers sia configurato per impedire la creazione non autorizzata di Private Service Connect.
Modalità audit logging dettagliato di Google Cloud per i criteri dell'organizzazione

Gravità:
Bassa

Tag: Policy dell'organizzazione, Cloud Logging, Sicurezza, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione gcp.detailedAuditLoggingMode sia configurato nel progetto o in qualsiasi elemento padre per attivare la registrazione degli audit dettagliata, contribuendo al monitoraggio della sicurezza e alla conformità completi.
Policy dell'organizzazione Google Cloud disabilita Cloud Logging

Gravità:
Bassa

Tag: Policy dell'organizzazione, Cloud Logging, Sicurezza, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che la policy dell'organizzazione gcp.disableCloudLogging sia configurata nel progetto o in qualsiasi elemento principale per garantire che Cloud Logging venga applicato correttamente.
Località delle risorse Google Cloud dei criteri dell'organizzazione

Gravità:
Media

Tag: Policy dell'organizzazione, Sicurezza, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione gcp.resourceLocations venga applicato al progetto o a qualsiasi elemento padre, garantendo che le risorse vengano create nelle posizioni geografiche designate, soddisfacendo così i requisiti di conformità.
Policy dell'organizzazione Google Cloud limita i servizi non CMEK

Gravità:
Media

Tag: policy dell'organizzazione, CMEK, KMS, sicurezza, crittografia, CSPR, CoNa

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione gcp.restrictNonCmekServices sia applicato al progetto o ai relativi elementi padre. Questa policy limita la creazione di risorse senza chiavi di crittografia gestite dal cliente (CMEK), garantendo che i dati inattivi siano criptati in base agli standard dell'organizzazione.
Criteri dell'organizzazione Google Cloud limitano la versione TLS

Gravità:
Bassa

Tag: policy dell'organizzazione, sicurezza, TLS, CSPR, CoNa

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione gcp.restrictTLSVersion sia configurato nel progetto o in qualsiasi elemento padre per limitare le versioni TLS supportate dalle API di Google.
Criterio dell'organizzazione IAM Consenti disattivazione creazione chiavi account di servizio

Gravità:
Alta

Tag: criteri dell'organizzazione, IAM, sicurezza, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Riduce la superficie di attacco identificando le regole firewall in entrata attive che espongono protocolli di rete non comuni (non TCP, UDP o ICMP) a internet, impedendo potenziali violazioni tramite servizi non monitorati.
Policy dell'organizzazione IAM Consenti estensione della durata delle credenziali del account di servizio

Gravità:
Media

Tag: criteri dell'organizzazione, IAM, sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che la policy dell'organizzazione iam.allowServiceAccountCredentialLifetimeExtension sia configurata nel progetto o in qualsiasi progetto padre, garantendo che le estensioni della durata delle credenziali del account di servizio siano gestite per mantenere la sicurezza.
Domini dei membri dei criteri IAM consentiti dei criteri dell'organizzazione

Gravità:
Critica

Tag: criteri dell'organizzazione, IAM, sicurezza, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione iam.allowedPolicyMemberDomains sia applicato al progetto o ai relativi genitori, garantendo che solo i domini approvati possano essere aggiunti come membri del criterio, migliorando la sicurezza impedendo l'accesso non autorizzato.
Concessioni automatiche IAM per i account di servizio predefiniti

Gravità:
Alta

Tag: criteri dell'organizzazione, IAM, sicurezza, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione iam.automaticIamGrantsForDefaultServiceAccounts sia applicato al progetto o a qualsiasi elemento principale per garantire che ai service account predefiniti non vengano concessi automaticamente ruoli IAM, migliorando la sicurezza.
Criterio dell'organizzazione IAM disattiva la creazione di account di servizio

Gravità:
Bassa

Tag: criteri dell'organizzazione, IAM, sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione iam.disableServiceAccountCreation sia applicato per impedire la creazione di service account, riducendo il rischio di accessi non autorizzati e potenziali violazioni della sicurezza.
Policy dell'organizzazione IAM disabilita caricamento chiavi account di servizio

Gravità:
Bassa

Tag: policy dell'organizzazione, IAM, sicurezza, CSPR, CoNa

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che la policy dell'organizzazione iam.disableServiceAccountKeyUpload sia applicata al progetto o a qualsiasi elemento principale, impedendo potenziali rischi per la sicurezza associati a caricamenti non autorizzati di chiavi del account di servizio.
Policy dell'organizzazione IAM disabilita cluster di identità del workload

Gravità:
Media

Tag: criteri dell'organizzazione, IAM, sicurezza, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione iam.disableWorkloadIdentityClusterCreation venga applicato al progetto o a qualsiasi elemento padre, impedendo la creazione di cluster di identità del workload se il criterio non è configurato.
Provider di pool di identità del workload IAM dei criteri dell'organizzazione

Gravità:
Media

Tag: criteri dell'organizzazione, IAM, sicurezza, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione iam.workloadIdentityPoolProviders sia applicato al progetto o a qualsiasi elemento padre, assicurando che i provider del pool di identità del workload siano configurati correttamente per impedire l'accesso non autorizzato.
Policy dell'organizzazione limita elementi non Confidential Computing

Gravità:
Bassa

Tag: criteri dell'organizzazione, Compute Engine, sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che la policy dell'organizzazione compute.restrictNonConfidentialComputing sia configurata nel progetto o nei relativi elementi padre, impedendo l'utilizzo di risorse di confidential computing non confidenziali che potrebbero comportare l'esposizione dei dati.
Policy dell'organizzazione Limita utilizzo dell'interconnessione partner

Gravità:
Bassa

Tag: policy dell'organizzazione, Compute Engine, sicurezza, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione compute.restrictPartnerInterconnectUsage venga applicato al progetto o a qualsiasi elemento padre, impedendo il potenziale utilizzo non autorizzato di Partner Interconnect.
Esecuzione della policy dell'organizzazione che consente l'accesso in entrata

Gravità:
Media

Tag: criteri dell'organizzazione, Cloud Run, sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione run.allowedIngress sia applicato al progetto o a qualsiasi elemento padre, limitando il traffico in entrata ai servizi Cloud Run.
Servizi utente del servizio Criteri dell'organizzazione

Gravità:
Bassa

Tag: criteri dell'organizzazione, servizi, sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il servizio serviceuser.services sia configurato nel progetto o nei relativi progetti padre, evitando potenziali vulnerabilità della sicurezza.
Policy dell'organizzazione sql.restrictAuthorizedNetworks

Gravità:
Alta

Tag: criteri dell'organizzazione, Cloud SQL, sicurezza, CSPR, CoNa

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione sql.restrictAuthorizedNetworks sia applicato al progetto o ai relativi genitori, impedendo l'accesso non autorizzato alle istanze Cloud SQL da reti non approvate.
Policy dell'organizzazione sql restrict public IP

Gravità:
Alta

Tag: policy dell'organizzazione, Cloud SQL, sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione sql.restrictPublicIp sia applicato al progetto o ai relativi genitori, impedendo potenziali vulnerabilità della sicurezza limitando l'accesso IP pubblico alle istanze Cloud SQL.
Policy dell'organizzazione Prevenzione dell'accesso pubblico a Cloud Storage

Gravità:
Alta

Tag: Norme dell'organizzazione, Cloud Storage, Storage, Sicurezza, CSPR

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione storage.publicAccessPrevention sia applicato al progetto o a qualsiasi elemento padre, impedendo l'accesso pubblico ai bucket Cloud Storage.
Policy di conservazione di Cloud Storage in secondi dei criteri dell'organizzazione

Gravità:
Media

Tag: criteri dell'organizzazione, Cloud Storage, sicurezza, CSPR, CoNa

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione storage.retentionPolicySeconds sia applicato al progetto o ai relativi elementi padre per garantire che i dati siano protetti da eliminazione accidentale o dolosa.
Criteri dell'organizzazione Accesso uniforme a livello di bucket Cloud Storage

Gravità:
Alta

Tag: Organization policy, Cloud Storage, Storage, Security, CSPR, CoNa, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_3

Dettagli
Verifica che il criterio dell'organizzazione storage.uniformBucketLevelAccess sia applicato al progetto o a qualsiasi elemento padre, garantendo un controllo dell'accesso coerente per tutti gli oggetti all'interno di un bucket e prevenendo potenziali violazioni dei dati.
Domini di contatto consentiti dai criteri dell'organizzazione

Gravità:
Alta

Tag: OrgPolicy, Security, Compliance, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Verifica che il criterio dell'organizzazione essentialcontacts.allowedContactDomains sia applicato.
Impostazioni di traffico in entrata consentite dalla policy dell'organizzazione

Gravità:
Alta

Tag: OrgPolicy, Security, Compliance, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Verifica che il criterio dell'organizzazione cloudfunctions.allowedIngressSettings sia applicato.
Worker pool consentiti dai criteri dell'organizzazione

Gravità:
Alta

Tag: OrgPolicy, Security, Compliance, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Verifica che il criterio dell'organizzazione cloudbuild.allowedWorkerPools sia applicato.
Policy dell'organizzazione disabilita l'esenzione per l'audit logging

Gravità:
Alta

Tag: OrgPolicy, Security, Compliance, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Verifica che il criterio dell'organizzazione iam.disableAuditLoggingExemption sia applicato.
Policy dell'organizzazione disabilita bq omni aws

Gravità:
Alta

Tag: OrgPolicy, Security, Compliance, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Verifica che il criterio dell'organizzazione bigquery.disableBQOmniAWS sia applicato.
Policy dell'organizzazione disattiva bq omni azure

Gravità:
Alta

Tag: OrgPolicy, Security, Compliance, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Verifica che il criterio dell'organizzazione bigquery.disableBQOmniAzure sia applicato.
Policy dell'organizzazione disattiva i tipi di macchina non FIPS

Gravità:
Alta

Tag: OrgPolicy, Security, Compliance, FIPS, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Verifica che il criterio dell'organizzazione compute.disableNonFIPSMachineTypes sia applicato. In questo modo, non è possibile creare tipi di macchine non conformi a FIPS.
Policy dell'organizzazione che limita l'utilizzo di Cloud NAT

Gravità:
Alta

Tag: OrgPolicy, Security, Compliance, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Verifica che il criterio dell'organizzazione compute.restrictCloudNATUsage sia applicato.
Policy dell'organizzazione Limita utilizzo del servizio

Gravità:
Alta

Tag: OrgPolicy, Security, Compliance, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Verifica che il criterio dell'organizzazione gcp.restrictServiceUsage sia applicato.

Best practice di Google Cloud - Resource Manager (3 risultati)

Contatti fondamentali

Gravità:
Media

Tag: Contatti fondamentali, Gestione, Conformità, CSPR, MVSP

Asset: cloudresourcemanager_Project_RESOURCE_4

Dettagli
Segnala i progetti Google Cloud per i quali non sono configurati contatti essenziali validi
Progetto senza cartella

Gravità:
Alta

Tag: progetto, gestione delle risorse, sicurezza, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Identifica i progetti creati direttamente in un'organizzazione, che bypassano l'ereditarietà dei criteri a livello di cartella essenziale per una governance, una postura di sicurezza e una gestione dei costi coerenti.
Progetti host di Resource Manager

Gravità:
Bassa

Tag: Compute, Project, SharedVPC, HostProject, Networking, Organization, CSPR

Asset: compute.googleapis.com/Project

Dettagli
Verifica se un progetto cloud Google Cloud è configurato come progetto host VPC condiviso. Un VPC condiviso consente a un'organizzazione di connettere risorse di più progetti a una rete VPC comune, ospitata in un progetto host designato. Ciò consente l'amministrazione centralizzata della rete. Questa regola identifica i progetti host controllando il campo xpnProjectStatus all'interno dei metadati di Compute Engine dei progetti. Lo stato HOST indica che si tratta di un progetto host VPC condiviso. Questa policy è informativa e identifica i progetti con questa configurazione specifica.

Best practice di Google Cloud - SecOps (1 risultato)

Log di accesso ai dati IAM

Gravità:
Alta

Tag: SecOps, Logging, IAM, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Project

Dettagli
Verifica che i log di accesso ai dati (ADMIN_READ, DATA_WRITE, DATA_READ) siano abilitati a livello globale a livello di progetto.

Best practice di Google Cloud - Secret Manager (2 risultati)

Rotazione di 90 giorni di Secret Manager

Gravità:
Media

Tag: SecretManager, Secret, Rotation, Security, Age, CSPR, CoNa

Asset: secretmanager.googleapis.com/SecretVersion

Dettagli
Controlla se un secret di Secret Manager è abilitato e risale a più di 90 giorni dalla data di creazione. La rotazione regolare dei secret è una best practice di sicurezza per ridurre al minimo l'impatto di una potenziale compromissione. Questa regola esamina due campi: 1. state Controlla se il segreto è nello stato ENABLED. 2. createTime Controlla se la data di creazione dei secret risale a più di 90 giorni fa. Viene generata una violazione se entrambe le condizioni sono vere: il secret è abilitato e la relativa data di creazione indica che è più vecchio di 90 giorni. La regola utilizza time.now_ns() e time.parse_rfc3339_ns() per confronti temporali accurati.
Replica multiregionale di Secret Manager

Gravità:
Media

Tag: Reliability, Security, SecretManager, HighAvailability, BCDR, CSPR, CoNa

Asset: secretmanager.googleapis.com/Secret

Dettagli
Verifica che i secret di Secret Manager siano configurati con un criterio di replica multiregionale (replica automatica o gestita dall'utente con almeno due regioni distinte). La replica dei secret in più regioni garantisce alta affidabilità e ripristino di emergenza.

Best practice di Google Cloud - Security Command Center (1 risultato)

Security Command Center non è abilitato nell'organizzazione

Gravità:
Alta

Tag: IAM, scc, Security, CSPR

Asset: cloudresourcemanager.googleapis.com/Organization

Dettagli
L'attivazione di Security Command Center (SCC) a livello di organizzazione fornisce visibilità centralizzata essenziale sui risultati di sicurezza e sullo stato di conformità, consentendo la mitigazione proattiva dei rischi per proteggere le risorse Google Cloud.

Best practice di Google Cloud - Sensitive Data Protection (1 risultato)

Servizio DLP di Google Cloud attivato

Gravità:
Media

Tag: DLP, Sensitive Data Protection, Security, ServiceUsage, Compliance, CoNa

Asset: serviceusage.googleapis.com/Service

Dettagli
Verifica se il servizio Sensitive Data Protection (DLP) (dlp.googleapis.com) è abilitato. Sensitive Data Protection ti aiuta a scoprire, classificare e proteggere i tuoi dati sensibili.

MySQL: General (7 results)

Verifica che l'agente Google Cloud per i carichi di lavoro di Compute sia configurato correttamente su tutte le istanze nell'ambito della valutazione

Gravità:
Critica

Dettagli
Le istanze nell'ambito della valutazione devono avere l'agente Google Cloud per i workload di calcolo configurato per eseguire le valutazioni di Workload Manager. Se non hai configurato correttamente l'agente, i risultati della valutazione possono essere incompleti o imprecisi. La versione minima consigliata è 1.2.
Ultimo aggiornamento: 27 agosto 2025
Abilita il riavvio automatico per le VM che eseguono workload MySQL

Gravità:
Critica

Dettagli
Per assicurarti che la VM si riavvii automaticamente in caso di errore, attiva la policy di riavvio automatico di Compute Engine per qualsiasi VM che esegue un carico di lavoro MySQL.
Ultimo aggiornamento: 27 agosto 2025
Esegui il provisioning di Hyperdisk con IOPS e throughput minimi

Gravità:
Alta

Dettagli
I valori predefiniti di IOPS e throughput sottoposti a provisioning per gli Hyperdisk di piccole dimensioni potrebbero essere troppo bassi per garantire prestazioni adeguate. Ti consigliamo di aumentare questi valori a un minimo di 10.000 IOPS e 1 GiB/s di throughput. A partire dal 10 novembre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta Prestazioni predefinite.
Ultimo aggiornamento: 10 novembre 2025
Imposta la policy di manutenzione delle VM su MIGRATE per i carichi di lavoro MySQL

Gravità:
Critica

Dettagli
Per impedire che gli eventi di manutenzione della piattaforma arrestino o riavviino una VM che esegue carichi di lavoro MySQL, il parametro onHostMaintenance per la VM deve essere impostato sull'opzione consigliata MIGRATE.
Per maggiori informazioni, consulta Imposta la policy di manutenzione dell'host della VM.
Ultimo aggiornamento: 27 agosto 2025
Non eseguire carichi di lavoro MySQL sui tipi di disco PD Standard o Hyperdisk Throughput

Gravità:
Alta

Dettagli
Google Cloud consiglia di non eseguire carichi di lavoro MySQL sui tipi di dischi PD Standard e Hyperdisk Throughput, perché si tratta di dischi basati su hard disk e potrebbero comportare un peggioramento delle prestazioni. A partire dal 10 novembre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta Tipi di dischi permanenti, Hyperdisk e Hyperdisk Throughput.
Ultimo aggiornamento: 10 novembre 2025
Assicurati che la replica venga inviata a una macchina in una zona o regione diversa

Gravità:
Alta

Dettagli
Per mantenere un'alta affidabilità adeguata, ti consigliamo vivamente di inviare la replica a una macchina in una zona o regione diversa dalla posizione principale. A partire dal 10 novembre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta Well-Architected Framework: pilastro dell'affidabilità.
Ultimo aggiornamento: 10 novembre 2025
Assicurati che innodb_buffer_pool_size occupi la maggior parte della memoria della macchina

Gravità:
Alta

Dettagli
Per prestazioni ottimizzate, Google Cloud consiglia di allocare al parametro innodb_buffer_pool_size una quota pari almeno al 50% della memoria della macchina. In questo modo, il buffer pool ha memoria sufficiente per archiviare i dati e migliorare le prestazioni. Questa linea guida non si applica alle VM più piccole con meno di 4 GB di memoria totale, dove una simile allocazione potrebbe non essere possibile. A partire dal 10 novembre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Ultimo aggiornamento: 10 novembre 2025

OpenShift: Ottimizzazione dei costi (1 risultato)

Controlla hd storagepool

Gravità:
Media

Tag: Openshift

Asset: Openshift_Cluster

Dettagli
Quando utilizzi la classe di archiviazione Google Cloud Hyperdisk con il tuo cluster OpenShift, ti consigliamo di utilizzare i pool di archiviazione. Ciò ti consente di ottenere una gestione più efficiente delle risorse del disco, una migliore prevedibilità delle prestazioni e una scalabilità semplificata dell'archiviazione a blocchi all'interno del tuo ambiente OpenShift.

OpenShift: efficienza operativa (6 risultati)

Controlla filestore

Gravità:
Media

Tag: Openshift

Asset: Openshift_Cluster

Dettagli
Se la capacità richiesta è superiore a 90 GiB, ti consigliamo di utilizzare Google Cloud Filestore per i carichi di lavoro di archiviazione condivisa (RWX) per un'integrazione perfetta dell'infrastruttura, un'affidabilità delle prestazioni e una gestione automatizzata del ciclo di vita su Google Cloud.
Controlla il monitoraggio di GMP

Gravità:
Media

Tag: Openshift, Observability, Operational Efficiency, GMP, Prometheus

Asset: Openshift_Cluster

Dettagli
Ti consigliamo di configurare lo scraping delle metriche delle applicazioni utilizzando Google Cloud
Controlla Cloud Storage dei blocchi gestiti

Gravità:
Media

Tag: Openshift

Asset: Openshift_Cluster

Dettagli
Per un'integrazione perfetta dell'infrastruttura, un'affidabilità delle prestazioni e una gestione automatizzata del ciclo di vita, ti consigliamo di utilizzare le soluzioni di archiviazione a blocchi gestite di Google Cloud con il tuo cluster OpenShift.
Controlla l'inserimento del sidecar di osservabilità

Gravità:
Media

Tag: Openshift, Observability, Operational Efficiency

Asset: Openshift_Cluster

Dettagli
Esegui il deployment di OpenTelemetry Collector in modalità Sidecar per la telemetria delle applicazioni per garantire un migliore isolamento della raccolta delle metriche tra le applicazioni
Controlla prod

Gravità:
Media

Tag: Openshift

Asset: Openshift_Cluster

Dettagli
Per implementare in modo coerente le norme, monitorare gli avvisi e allocare i costi per il cluster OpenShift, ti consigliamo di applicare l'etichetta production o non-production al cluster. Questa etichetta aiuta a comunicare se il cluster viene eseguito in un ambiente di produzione o non di produzione.
Controllare l'utilizzo della gestione dei secret

Gravità:
Media

Tag: Openshift

Asset: Openshift_Cluster

Dettagli
Per gestire le informazioni sensibili all'interno dei cluster OpenShift eseguiti su Google Cloud, utilizza Secret Manager. Questo servizio consente di centralizzare la gestione del ciclo di vita dei secret e migliorare la sicurezza fornendo il controllo dell'accesso basato su Identity and Access Management (IAM).

OpenShift: affidabilità (5 risultati)

Controlla Filestore regionale

Gravità:
Media

Tag: Openshift

Asset: Openshift_Cluster

Dettagli
Se utilizzi Filestore zonale, valuta la possibilità di utilizzare Filestore regionale se il costo lo consente. Filestore Regional replica i dati di Filestore tra le zone e garantisce la disponibilità dei dati in caso di errori circoscritti a una zona.
Controlla Filestore Zonal

Gravità:
Media

Tag: Openshift

Asset: Openshift_Cluster

Dettagli
Preferisci i livelli Filestore Zonal o Regional rispetto a Filestore Basic. Filestore Zonal/Regional non ha tempi di inattività durante la manutenzione (a differenza dei livelli Basic) e supporta NFSv4, prestazioni personalizzate, replica delle istanze e snapshot.
Controlla i nodi del control plane HA in più zone

Gravità:
Critica

Tag: Openshift

Asset: Openshift_Cluster

Dettagli
Per garantire l'alta disponibilità (HA) e le operazioni del livello di gestione anche durante le interruzioni zonali, è consigliabile distribuire i nodi del control plane OpenShift in almeno tre zone diverse all'interno di una regione Google Cloud.
Controlla i nodi worker HA in più zone

Gravità:
Critica

Tag: Openshift

Asset: Openshift_Cluster

Dettagli
È consigliabile eseguire il provisioning dei nodi di lavoro OpenShift in almeno tre zone diverse all'interno di una regione per creare un'infrastruttura resiliente in grado di resistere alle interruzioni zonali senza influire sulla disponibilità dei carichi di lavoro ospitati.
Controlla il timestamp dell'ultima metrica

Gravità:
Media

Tag: Openshift

Asset: Openshift_Cluster

Dettagli
Per garantire l'accuratezza dei risultati della valutazione, i dati di telemetria raccolti dal cluster OpenShift devono essere aggiornati. Se la telemetria raccolta ha 24 ore o più, è obsoleta e WLM non può utilizzarla per una valutazione affidabile. Le metriche obsolete in genere indicano che l'agente del workload è configurato in modo errato o non può connettersi a Google Cloud.

OpenShift: sicurezza (6 risultati)

Controlla il blocco della CMEK di Cloud Storage

Gravità:
Media

Tag: Openshift

Asset: Openshift_Cluster

Dettagli
Per un maggiore controllo sulla crittografia dei dati, è consigliabile utilizzare le chiavi di crittografia gestite dal cliente (CMEK) per l'archiviazione a blocchi gestita da Google Cloud, che supporta la revoca delle chiavi, le norme di rotazione e una migliore controllabilità per soddisfare i rigorosi requisiti di conformità.
Controlla la crittografia di eso etcd

Gravità:
Alta

Tag: Openshift

Asset: Openshift_Cluster

Dettagli
Se External Secrets Operator (ESO) è installato per l'utilizzo con Google Cloud Secret Manager, la crittografia etcd DEVE essere abilitata. ESO estrae i secret da origini esterne e può sincronizzarli con i secret di Kubernetes. Se etcd non è criptato, questi secret vengono archiviati in testo normale.
Controlla la pubblicazione del nodo Secret Manager

Gravità:
Alta

Tag: Openshift

Asset: Openshift_Cluster

Dettagli
Quando utilizzi Secret Manager con il driver CSI Secrets Store, non devi utilizzare l'opzione ALLOW_NODE_PUBLISH_SECRET nel DaemonSet del provider Secret Manager. Per evitare la perdita di token, devi utilizzare il servizio token di sicurezza.
Controlla la sincronizzazione della classe del fornitore di secret

Gravità:
Media

Tag: Openshift

Asset: Openshift_Cluster

Dettagli
Se utilizzi Google Cloud Secret Manager con il driver CSI Secrets Store, ti consigliamo di non includere un blocco secretObjects nelle risorse SecretProviderClass per garantire che i secret esistano solo nella memoria tmpfs e non tocchino il datastore del control plane.
Controlla l'osservabilità dell'autenticazione Wi-Fi

Gravità:
Critica

Tag: Openshift, Security

Asset: Openshift_Cluster

Dettagli
Ti consigliamo di utilizzare la federazione delle identità per i workload (WIF) per l'autenticazione OTLP/Google Cloud. Le chiavi JSON statiche (chiavi dell'account di servizio) sono credenziali "di lunga durata" ad alto rischio. WIF li sostituisce con token di breve durata proiettati direttamente nel pod.
Controlla la federazione delle identità per i workload

Gravità:
Critica

Tag: Openshift

Asset: Openshift_Cluster

Dettagli
Ti consigliamo di configurare il cluster OpenShift in modo che utilizzi la federazione delle identità per i workload come metodo sicuro per concedere agli account di servizio Kubernetes l'accesso alle risorse GCP senza chiavi di lunga durata.

Redis: generale (7 risultati)

Verifica che l'agente Google Cloud per i carichi di lavoro di Compute sia configurato correttamente su tutte le istanze nell'ambito della valutazione

Gravità:
Critica

Dettagli
Le istanze nell'ambito della valutazione devono avere l'agente Google Cloud per i workload di calcolo configurato per eseguire le valutazioni di Workload Manager. Se non hai configurato correttamente l'agente, i risultati della valutazione possono essere incompleti o imprecisi. La versione minima consigliata è 1.2.
Ultimo aggiornamento: 27 agosto 2025
Abilita il riavvio automatico per le VM che eseguono carichi di lavoro Redis

Gravità:
Critica

Dettagli
Per assicurarti che la VM si riavvii automaticamente in caso di errore, attiva il criterio di riavvio automatico di Compute Engine per qualsiasi VM che esegue un workload Redis.
Ultimo aggiornamento: 27 agosto 2025
Esegui il provisioning di Hyperdisk con IOPS e throughput minimi

Gravità:
Alta

Dettagli
I valori predefiniti di IOPS e throughput sottoposti a provisioning per gli Hyperdisk di piccole dimensioni potrebbero essere troppo bassi per garantire prestazioni adeguate. Ti consigliamo di aumentare questi valori a un minimo di 10.000 IOPS e 1 GiB/s di throughput. A partire dal 10 novembre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta Prestazioni predefinite.
Ultimo aggiornamento: 10 novembre 2025
Imposta la policy di manutenzione delle VM su MIGRATE per i carichi di lavoro Redis

Gravità:
Critica

Dettagli
Per impedire che gli eventi di manutenzione della piattaforma arrestino o riavviino una VM che esegue carichi di lavoro Redis, il parametro onHostMaintenance per la VM deve essere impostato sull'opzione consigliata MIGRATE.
Per maggiori informazioni, consulta Imposta la policy di manutenzione dell'host della VM.
Ultimo aggiornamento: 27 agosto 2025
Non eseguire carichi di lavoro Redis sui tipi di disco PD Standard o Hyperdisk Throughput

Gravità:
Alta

Dettagli
Google Cloud consiglia di non eseguire carichi di lavoro Redis sui tipi di disco PD Standard e Hyperdisk Throughput, perché si tratta di dischi basati su hard disk e potrebbero comportare un peggioramento delle prestazioni. A partire dal 10 novembre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta Tipi di dischi permanenti, Hyperdisk e Hyperdisk Throughput.
Ultimo aggiornamento: 10 novembre 2025
Assicurati che la replica venga inviata a una macchina in una zona o regione diversa

Gravità:
Alta

Dettagli
Per mantenere un'alta affidabilità adeguata, ti consigliamo vivamente di inviare la replica a una macchina in una zona o regione diversa dalla posizione principale. A partire dal 10 novembre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta Well-Architected Framework: pilastro dell'affidabilità.
Ultimo aggiornamento: 10 novembre 2025
Non utilizzare la replica senza persistenza

Gravità:
Alta

Dettagli
La persistenza garantisce che il sistema scriva i dati inviati all'istanza primaria in uno spazio di archiviazione durevole. In un sistema replicato, la scelta della strategia di persistenza corretta è fondamentale per evitare la perdita di dati in caso di errore. Se scegli di non utilizzare alcuna opzione di persistenza, Google Cloud consiglia di disattivare il riavvio automatico del servizio Redis systemd per evitare potenziali problemi di integrità dei dati. A partire dal 10 novembre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Ultimo aggiornamento: 10 novembre 2025

SAP: General (14 risultati)

DEPRECATO: installa l'agente di Google Cloud per SAP su tutte le VM che eseguono i workload SAP

Gravità:
Alta

Dettagli
Questa regola è obsoleta. È stata sostituita dalla regola: "Verifica che l'agente di Google Cloud per SAP sia configurato correttamente su tutte le istanze nell'ambito di valutazione", fornita per impostazione predefinita senza costi. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Ultimo aggiornamento: 27 ottobre 2025
SAP General: Configure OS settings for X4 instances

Gravità:
Critica

Dettagli
Per assicurarti che le istanze X4 siano ottimizzate per supportare i carichi di lavoro SAP, devi eseguire l'utilità della riga di comando fornita dall'agente per SAP di Google Cloud per verificare che la configurazione del sistema operativo corrisponda ai suggerimenti delle best practice. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media a Critica. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta Attività post-deployment nella guida alla pianificazione di SAP HANA.
Ultimo aggiornamento: 27 ottobre 2025
Verifica che l'agente di Google Cloud per SAP sia configurato correttamente su tutte le istanze nell'ambito della valutazione

Gravità:
Critica

Dettagli
Le istanze nell'ambito della valutazione devono avere l'agente per SAP configurato per la valutazione di Workload Manager. Se l'agente non è stato configurato correttamente, i risultati della valutazione potrebbero essere incompleti o imprecisi. Questo controllo è incluso per impostazione predefinita, senza costi aggiuntivi.
Per ulteriori informazioni, consulta la guida alla pianificazione dell'agente per SAP di Google Cloud e poi verifica la versione dell'agente.
Ultimo aggiornamento: 18 marzo 2026
SAP General: Ensure that SAP application servers and SAP Central Services are in different zones

Gravità:
Alta

Dettagli
Per proteggerti da errori di zona, Google Cloud consiglia di eseguire almeno un'istanza che ospita un server delle applicazioni SAP in una zona diversa da SAP Central Services. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta la Guida alla pianificazione del ripristino di emergenza di SAP HANA.
Ultimo aggiornamento: 27 ottobre 2025
SAP General: Allow full access to all API Cloud

Gravità:
Media

Dettagli
Google Cloud consiglia di impostare l'ambito di accesso all'API Cloud su Allow full access to all Cloud APIs per le istanze Compute Engine e di utilizzare le autorizzazioni IAM del account di servizio dell'istanza per controllare l'accesso alle risorse Google Cloud. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Avviso a Media. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta la sezione Abilitare l'accesso alle API Google Cloud nella guida all'installazione di Agent for SAP.
Ultimo aggiornamento: 27 ottobre 2025
SAP General: Enable deletion protection on all VMs that run SAP workloads

Gravità:
Alta

Dettagli
Le istanze di computing per cui è abilitata l'opzione deletionProtection sono protette dall'eliminazione accidentale. Google Cloud consiglia di attivare la protezione dall'eliminazione per tutte le istanze fondamentali per l'esecuzione dei workload SAP. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per ulteriori informazioni, consulta Impedire l'eliminazione accidentale di VM nella documentazione di Compute Engine.
Ultimo aggiornamento: 27 ottobre 2025
SAP General: SAP application server processes must not be running on Compute Engine instances serving as the (A)SCS or ERS

Gravità:
Alta

Dettagli
Per ridurre i potenziali problemi di prestazioni e proteggerti da determinati scenari di errore in un cluster ad alta disponibilità gestito da Pacemaker, Google Cloud consiglia di non eseguire i processi del server delle applicazioni SAP sulle stesse istanze di Compute che ospitano SAP Central Services o Enqueue Replication Server (ERS). Questo perché i server delle applicazioni non sono gestiti dal cluster Pacemaker e non vengono migrati a una nuova VM in caso di interruzione. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Avviso ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta la sezione Deployment distribuito con alta affidabilità nell'architettura di riferimento per SAP su Google Cloud.
Ultimo aggiornamento: 27 ottobre 2025
SAP General: Enable automatic restart for SAP workloads

Gravità:
Critica

Dettagli
Per assicurarti che la VM si riavvii automaticamente in caso di errore, attiva la policy di riavvio automatico di Compute Engine per qualsiasi VM che esegue un workload SAP.
Per maggiori informazioni, consulta Imposta la policy di manutenzione dell'host della VM.
Ultimo aggiornamento: 18 aprile 2025
SAP General: Set VM maintenance policy to MIGRATE for SAP workloads

Gravità:
Critica

MIGRATE for SAP workloads">Details
Per impedire che gli eventi di manutenzione della piattaforma arrestino o riavviino una VM che esegue carichi di lavoro SAP, il parametro onHostMaintenance per la VM deve essere impostato sull'opzione consigliata MIGRATE. Questo consiglio non si applica alle istanze X4 o C3 Metal.
Per maggiori informazioni, consulta Imposta la policy di manutenzione dell'host della VM.
Ultimo aggiornamento: 18 aprile 2025
SAP General: per le migrazioni di istanze Compute Engine tra serie di macchine, imposta la piattaforma CPU su Automatico.

Gravità:
Media

Dettagli
Per le migrazioni di istanze Compute Engine tra serie di macchine, Google Cloud consiglia di impostare la piattaforma CPU su "Automatica" prima della migrazione. L'impostazione di una piattaforma CPU specifica è consigliata solo se vuoi utilizzare lo stesso tipo per la macchina di destinazione per motivi di prestazioni o compatibilità avanzata del set di istruzioni. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Avviso a Media. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta le guide di Compute Engine per le piattaforme CPU, come specificare una piattaforma CPU minima per le istanze VM e come rimuovere un'impostazione della piattaforma CPU minima.
Ultimo aggiornamento: 27 ottobre 2025
SAP General: UEFI enabled OS images are mandatory for newer generation servers

Gravità:
Alta

Dettagli
Attiva l'avvio UEFI per la VM creando un'immagine personalizzata con la funzionalità del sistema operativo guest UEFI_COMPATIBLE o selezionando un'immagine preconfigurata compatibile con UEFI. La compatibilità UEFI è un prerequisito per i tipi di macchine di nuova generazione in Google Cloud. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Avviso a Elevata. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta le guide di Compute Engine per Dettagli del sistema operativo, Famiglia di macchine ottimizzate per la memoria per Compute Engine e Attivare le funzionalità del sistema operativo guest.
Ultimo aggiornamento: 27 ottobre 2025
SAP General: Ensure that the swap space follows SAP recommendations

Gravità:
Alta

Dettagli
La configurazione dello spazio di swap sui sistemi SAP basati su Linux migliora le prestazioni gestendo la memoria in modo più efficiente. I consigli di SAP per lo spazio di swap si basano sulla memoria fisica disponibile e sul ruolo del sistema come parte del database o del livello applicativo. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per ulteriori informazioni, consulta le note SAP per Swap-space recommendation for Linux e HANA services use large SWAP memory.
Ultimo aggiornamento: 27 ottobre 2025
SAP General: Check SELinux configuration for Compute Engine instances running SAP workloads

Gravità:
Critica

Dettagli
Linux può utilizzare SELinux per una maggiore sicurezza, ma può interferire con i componenti del server SAP. Per le implementazioni SAP, imposta SELinux sulla modalità Disabled o Permissive. La disattivazione di SELinux richiede il riavvio del sistema, mentre la modalità permissiva può essere impostata senza riavvio. Questa configurazione garantisce la compatibilità con gli strumenti SAP che non sono compatibili con SELinux.
Per maggiori informazioni, consulta L'avvio dell'istanza SAP o dell'agente host non riesce a causa di SELinux e Modifica di SELinux in modalità permissiva.
Ultimo aggiornamento: 12 giugno 2025
SAP General: Enable a system tuning solution on all VMs that run SAP workloads

Gravità:
Alta
Dettagli
Su Linux, i servizi di ottimizzazione del sistema possono contribuire a ottimizzare le prestazioni e la stabilità dei carichi di lavoro SAP impostando i parametri consigliati per il sistema SAP. Google Cloud consiglia di attivare il servizio sapconf o saptune su SUSE Linux Enterprise Server oppure il servizio tuned su Red Hat Enterprise Linux. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta la guida per il tuo sistema operativo:
- Per RHEL, consulta la nota SAP Red Hat tuned-profiles for SAP.
- Per SLES, consulta la guida SUSE Tuning systems with saptune.
Ultimo aggiornamento: 27 ottobre 2025

SAP: HANA (10 risultati)

SAP HANA: utilizza un sistema operativo certificato

Gravità:
Critica

Dettagli
Per ricevere assistenza da SAP e Google Cloud per SAP HANA su una VM Compute Engine, devi utilizzare una versione del sistema operativo certificata da SAP e Google Cloud per l'utilizzo con SAP HANA.
Per ulteriori informazioni, vedi Supporto dei sistemi operativi per SAP HANA su Google Cloud.
Ultimo aggiornamento: 18 febbraio 2026
SAP HANA: utilizza un tipo di VM personalizzato certificato

Gravità:
Critica

Dettagli
Per ricevere assistenza da SAP e Google Cloud per SAP HANA su una VM personalizzata di Compute Engine, devi utilizzare un tipo di VM personalizzato certificato da SAP e Google Cloud per l'utilizzo con SAP HANA.
Per saperne di più, consulta Tipi di macchina personalizzati certificati per SAP HANA.
Ultimo aggiornamento: 9 aprile 2025
SAP HANA: mappa i volumi di dati e log SAP HANA allo stesso tipo di disco permanente basato su SSD

Gravità:
Critica

Dettagli
Per motivi di prestazioni, i volumi /hana/data e /hana/log di SAP HANA devono essere mappati allo stesso tipo di disco permanente basato su SSD. Puoi mappare entrambi i volumi allo stesso disco permanente singolo oppure, se viene utilizzato lo stesso tipo di disco permanente per ciascuno, puoi mappare ogni volume a un disco permanente separato.
Per ulteriori informazioni, consulta la Guida alla pianificazione di SAP HANA.
Ultimo aggiornamento: 9 aprile 2025
SAP HANA: utilizza un tipo di VM certificato

Gravità:
Critica

Dettagli
Per ricevere assistenza da SAP e Google Cloud per SAP HANA su una VM Compute Engine, devi utilizzare un tipo di VM certificato da SAP e Google Cloud per l'utilizzo con SAP HANA.
Per ulteriori informazioni, consulta la pagina VM Compute Engine certificate per SAP HANA.
Ultimo aggiornamento: 18 febbraio 2026
SAP HANA: dimensioni minime consentite da SAP per le opzioni di disco permanente basate su SSD

Gravità:
Critica

Dettagli
Per lo spazio di archiviazione a blocchi, SAP HANA richiede un throughput minimo di 400 MB al secondo. Se utilizzi dischi permanenti SSD o bilanciati, utilizza la dimensione minima per quel tipo di disco permanente per fornire il throughput necessario. Se utilizzi dischi permanenti con carico estremo, esegui il provisioning di un minimo di 20.000 IOPS.
Per ulteriori informazioni, consulta Archiviazione su disco permanente nella guida alla pianificazione di SAP HANA.
Ultimo aggiornamento: 18 aprile 2025
SAP HANA: verifica la presenza di backup del database SAP HANA

Gravità:
Critica

Dettagli
La creazione regolare di backup e l'implementazione di una strategia di backup adeguata consentono di recuperare il database SAP HANA in situazioni come il danneggiamento o la perdita di dati a causa di un'interruzione o di un guasto non pianificato dell'infrastruttura. Google Cloud consiglia di seguire una strategia di backup che includa la creazione di almeno un backup completo del sistema del database SAP HANA ogni settimana e la creazione di almeno un backup differenziale o basato su snapshot del volume di dati SAP HANA ogni giorno. I backup completi giornalieri del sistema possono essere utilizzati anche come sostituto dei backup basati su delta o snapshot. Potrebbe essere necessario eseguire backup più frequenti per soddisfare requisiti RPO specifici.
Per ulteriori informazioni, consulta Backup e ripristino nella guida alle operazioni di SAP HANA o Backup e ripristino per SAP HANA su istanze bare metal.
Ultimo aggiornamento: 18 aprile 2025
SAP HANA: assicurati che i siti SAP Primary e RE si trovino in regioni diverse

Gravità:
Alta

Dettagli
Per proteggerti da interruzioni a livello di regione e mantenere la continuità operativa, il nodo primario SAP HANA e i siti di ripristino di emergenza devono essere implementati in regioni geografiche diverse. Questo approccio mitiga il rischio di eventi catastrofici che interessano i componenti di cui è stato eseguito il deployment in una singola regione, riducendo la potenziale perdita di dati e i tempi di inattività oltre a quanto può offrire la ridondanza a livello di zona. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Critica a Elevata. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta la Guida alla pianificazione del ripristino di emergenza di SAP HANA.
SAP HANA: Enable SAP HANA Fast Restart

Gravità:
Alta

Dettagli
Compute Engine include funzionalità basate su Memory RAS di Intel che possono ridurre significativamente l'impatto di tutti gli errori di memoria che altrimenti causerebbero arresti anomali delle VM. Se combinati con la funzionalità di riavvio rapido di SAP HANA (disponibile a partire da HANA 2.0 SP04), i sistemi SAP HANA sono in grado di ripristinarsi da questi eventi di errore. Questa configurazione è consigliata per tutte le famiglie di macchine virtuali ottimizzate per la memoria. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Critica a Elevata. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per ulteriori informazioni, consulta Opzione di riavvio rapido di SAP HANA.
Ultimo aggiornamento: 27 ottobre 2025
SAP HANA: utilizza le impostazioni di configurazione consigliate per Hyperdisk

Gravità:
Critica

Dettagli
Per ottenere le migliori prestazioni dei volumi Hyperdisk utilizzati con SAP HANA, devi impostare i valori consigliati da Google Cloud per le seguenti proprietà SAP HANA: num_completion_queues, num_submit_queues, tables_preloaded_in_parallel e load_table_numa_aware.
Per ulteriori informazioni, consulta Prestazioni di Hyperdisk nella Guida alla pianificazione di SAP HANA.
Ultimo aggiornamento: 18 aprile 2025
SAP HANA: utilizza un disco separato per ogni file system SAP HANA

Gravità:
Alta

Dettagli
Per prestazioni ottimali del sistema SAP HANA, Google Cloud consiglia di utilizzare un disco separato per ogni file system SAP HANA. In particolare, i dischi che ospitano i volumi di dati e log SAP HANA non devono essere utilizzati per altre funzioni, ad esempio come percorso di installazione o percorso dell'istanza di sistema. Questo consiglio si applica anche al volume di backup SAP HANA, se salvi i backup su un disco. È inoltre consigliabile ospitare i file system su dischi separati per poter utilizzare gli snapshot dei dati come opzione di backup e ripristino. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per ulteriori informazioni, consulta la sezione Archiviazione su disco permanente nella guida alla pianificazione di SAP HANA.
Ultimo aggiornamento: 27 ottobre 2025

SAP: HANA Insights (18 risultati)

Manutenzione di SAP HANA: verifica la configurazione appropriata del parametro log_disk_usage_reclaim_threshold

Gravità:
Alta

Parametro log_disk_usage_reclaim_threshold">Dettagli
Se l'utilizzo del disco del file system della partizione di log ("usedDiskSpace" in percentuale di "totalDiskSpace") è superiore alla soglia specificata, il logger attiverà automaticamente un "rilascio log" interno (0 = disattivato). Per impostazione predefinita, il logger mantiene in cache tutti i segmenti di log senza costi per il riutilizzo. I segmenti vengono rimossi solo se viene attivato un recupero in modo esplicito tramite "ALTER SYSTEM RECLAIM LOG" o se viene rilevato un evento "DiskFull"/"LogFull" a livello di logger. Questo parametro di soglia può essere utilizzato per attivare il recupero internamente prima che si verifichi una situazione di tipo "DiskFull"/"LogFull". A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per ulteriori informazioni, consulta log_disk_usage_reclaim_threshold nel riferimento ai parametri di configurazione di SAP HANA.
Ultimo aggiornamento: 27 ottobre 2025
Manutenzione di SAP HANA: è necessaria una pulizia regolare del catalogo di backup per migliorare le prestazioni del backup

Gravità:
Alta

Dettagli
Il catalogo dei backup può diventare piuttosto grande nel tempo, soprattutto se non viene pulito regolarmente. Ciò può causare problemi di prestazioni e rendere difficile trovare i backup necessari. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta SAP HANA multiple issue caused by large Log Backups due to large Backup Catalog size nella knowledge base SAP.
Ultimo aggiornamento: 27 ottobre 2025
Alta disponibilità e ripristino di emergenza di SAP HANA: abilita la compressione di dati e log

Gravità:
Alta

Dettagli
La compressione di dati e log può essere utilizzata per la spedizione iniziale dei dati completi, per la spedizione successiva dei dati delta e per la spedizione continua dei log. La compressione di dati e log può essere configurata per ridurre la quantità di traffico tra i sistemi, soprattutto su lunghe distanze (ad esempio, quando si utilizza la modalità di replica ASYNC). A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per ulteriori informazioni, consulta Compressione di dati e log nella guida alla replica del sistema SAP HANA.
Ultimo aggiornamento: 27 ottobre 2025
Alta disponibilità e ripristino di emergenza di SAP HANA: utilizza il valore consigliato per il parametro datashipping_parallel_channels

Gravità:
Alta

Parametro datashipping_parallel_channels">Dettagli
Il parametro SAP HANA datashipping_parallel_channels definisce il numero di canali di rete utilizzati per il trasferimento completo o differenziale dei dati. Il valore predefinito è 4, il che significa che vengono utilizzati quattro canali di rete per la spedizione dei dati. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta datashipping_parallel_channels nella guida all'amministrazione di SAP HANA.
Ultimo aggiornamento: 27 ottobre 2025
Prestazioni di SAP HANA: verifica la configurazione appropriata dei parametri di Garbage Collection

Gravità:
Alta

Dettagli
Nei database con un limite di allocazione superiore a 235 GB, è necessario configurare i parametri gc_unused_memory_threshold_rel e gc_unused_memory_threshold_abs. Questi parametri contribuiscono a ridurre il rischio di problemi (ad es. a causa di attese MemoryReclaim) quando la garbage collection viene eseguita in modo reattivo. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta SAP HANA Garbage Collection nella knowledge base SAP.
Ultimo aggiornamento: 27 ottobre 2025
Prestazioni SAP HANA: attiva il parametro load_table_numa_aware

Gravità:
Alta

Parametro load_table_numa_aware">Dettagli
Per migliorare le prestazioni dei sistemi SAP HANA basati su NUMA, attiva il parametro load_table_numa_aware. Quando questo parametro è abilitato, SAP HANA ottimizza il posizionamento dei dati nei nodi NUMA durante il caricamento della tabella. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per ulteriori informazioni, consulta SAP HANA Non-Uniform Memory Access (NUMA) nella knowledge base SAP.
Ultimo aggiornamento: 27 ottobre 2025
Manutenzione SAP HANA: controlla lo stato della licenza HANA

Gravità:
Alta

Dettagli
Per operare su un sistema HANA è necessario un codice licenza permanente. Se una codice licenza permanente scade, viene generata automaticamente una (seconda) codice licenza temporanea, valida per 28 giorni. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per ulteriori informazioni, consulta License Keys for SAP HANA Database nella knowledge base SAP.
Ultimo aggiornamento: 27 ottobre 2025
Manutenzione di SAP HANA: controlla la modalità di log

Gravità:
Critica

Dettagli
Se log_mode è impostato su "normal", HANA crea backup regolari dei log, consentendo il recupero point-in-time (ripristino fino al momento precedente un errore). Se log_mode è impostato su "sovrascrivi" , non vengono creati backup dei log; puoi recuperare il database solo con l'ultimo backup dei dati. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media a Critica. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per ulteriori informazioni, consulta Log Modes nella guida all'amministrazione di SAP HANA.
Ultimo aggiornamento: 27 ottobre 2025
Alta disponibilità e ripristino di emergenza di SAP HANA: imposta logshipping_async_buffer_size sul sito principale

Gravità:
Alta

logshipping_async_buffer_size sul sito principale">Dettagli
Se la replica del sistema viene interrotta durante una spedizione completa dei dati, deve essere riavviata da zero. Per ridurre il rischio di situazioni di buffer pieno, il parametro logshipping_async_buffer_size può essere impostato sul valore 1 GB sul sito principale. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta SAP HANA System Replication nella knowledge base di SAP.
Ultimo aggiornamento: 27 ottobre 2025
Alta disponibilità e ripristino di emergenza di SAP HANA: utilizza il valore consigliato per il parametro logshipping_max_retention_size

Gravità:
Media

Parametro logshipping_max_retention_size">Dettagli
Nel contesto delle modalità di operazione di logreplay, il parametro logshipping_max_retention_size SAP HANA definisce la quantità massima di log di ripristino mantenuti nel sito principale per la sincronizzazione con il sito secondario (valore predefinito: 1 TB). Se il file system sottostante non è abbastanza grande da contenere le dimensioni di conservazione configurate complete, nel peggiore dei casi il file system si riempie e il sito principale si blocca.
Per saperne di più, consulta SAP HANA System Replication nella knowledge base di SAP.
Ultimo aggiornamento: 17 aprile 2025
Prestazioni SAP HANA: verifica la configurazione appropriata del parametro max_cpuload_for_parallel_merge

Gravità:
Alta

Parametro max_cpuload_for_parallel_merge">Dettagli
Per impostazione predefinita, è possibile eseguire più unioni automatiche (fino a num_merge_threads) di tabelle o partizioni diverse fino a un limite di utilizzo della CPU del 45%, ma non appena questo limite viene superato, viene eseguita al massimo un'unione automatica alla volta. Nel peggiore dei casi, ciò può comportare un aumento del backlog di unioni automatiche, anche se sarebbero comunque disponibili risorse di sistema sufficienti per gestire le unioni automatiche parallele. In questo caso, puoi valutare la possibilità di aumentare questo parametro a un valore superiore all'utilizzo della CPU abituale e inferiore a un limite critico che consentirebbe le unioni automatiche per introdurre colli di bottiglia delle risorse. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per ulteriori informazioni, consulta SAP HANA Delta Merges nella knowledge base di SAP.
Ultimo aggiornamento: 27 ottobre 2025
Scalabilità orizzontale di SAP HANA: verifica che tutti gli host in un ambiente di scalabilità orizzontale abbiano una versione del sistema operativo e una versione del kernel coerenti

Gravità:
Critica

Dettagli
In un ambiente SAP HANA di scalabilità orizzontale, mantenere la coerenza del sistema operativo e del kernel in tutti i nodi del sistema è fondamentale per prestazioni e stabilità ottimali. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media a Critica. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta SAP HANA: Supported Operating Systems nella knowledge base di SAP.
Ultimo aggiornamento: 27 ottobre 2025
Prestazioni SAP HANA: verifica la configurazione appropriata del parametro parallel_merge_threads

Gravità:
Alta

parametro parallel_merge_threads">Dettagli
Se parallel_merge_threads è impostato su un valore specifico, questo valore viene utilizzato per il parallelismo, mentre token_per_table definisce il numero di token utilizzati. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per ulteriori informazioni, consulta SAP HANA Delta Merges nella knowledge base di SAP.
Ultimo aggiornamento: 27 ottobre 2025
Manutenzione di SAP HANA: verifica la configurazione appropriata del parametro automatic_reorg_threshold

Gravità:
Media

parametro automatic_reorg_threshold">Dettagli
Il parametro automatic_reorg_threshold specifica quando viene attivata la riorganizzazione automatica delle tabelle rowstore. Se il valore è impostato su 30(impostazione predefinita), la riorganizzazione automatica non verrà attivata con la frequenza possibile.
Per saperne di più, consulta Incorrect SAP HANA Alert 71: 'Row store fragmentation' nella knowledge base di SAP.
Ultimo aggiornamento: 21 aprile 2025
Prestazioni SAP HANA: verifica i parametri predefiniti e delle dimensioni dello stack di lavoro

Gravità:
Media

Dettagli
I parametri dello stack di thread default_stack_size_kb e worker_stack_size_kb determinano la quantità di dati a cui può accedere un thread appena creato.
Per ulteriori informazioni, consulta l'articolo Indexserver Crash Due to STACK OVERFLOW in Evaluator::ExpressionParser nella knowledge base di SAP.
Ultimo aggiornamento: 22 aprile 2025
Manutenzione SAP HANA: verifica l'ora dell'ultimo controllo di coerenza della tabella

Gravità:
Alta

Dettagli
Per rilevare le corruzioni nascoste il prima possibile, sono necessari controlli di coerenza regolari. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per ulteriori informazioni, consulta SAP HANA Consistency Checks and Corruptions nella knowledge base SAP.
Ultimo aggiornamento: 27 ottobre 2025
Prestazioni SAP HANA: verifica la configurazione appropriata del parametro tables_preloaded_in_parallel nelle VM X4

Gravità:
Media

parametro tables_preloaded_in_parallel nelle VM X4">Dettagli
Il parametro tables_preloaded_in_parallel ti consente di controllare il numero di tabelle caricate in parallelo dopo l'avvio del sistema SAP HANA, offrendo flessibilità per l'ottimizzazione delle prestazioni. Consigliamo un valore minimo di 32.
Per saperne di più, consulta SAP HANA Loads and Unloads nella knowledge base SAP.
Ultimo aggiornamento: 22 aprile 2025
Scalabilità orizzontale di SAP HANA: verifica che tutti gli host in un ambiente di scalabilità orizzontale abbiano un fuso orario coerente

Gravità:
Critica

Dettagli
In un ambiente SAP HANA di scalabilità orizzontale, mantenere la coerenza dei fusi orari è fondamentale per mantenere la stabilità del sistema. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media a Critica. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta l'articolo Check HANA DB for DST switch nella knowledge base di SAP.
Ultimo aggiornamento: 27 ottobre 2025

SAP: HANA Security Best Practices (19 risultati)

Sicurezza SAP HANA: abilita la crittografia per i backup di dati e log

Gravità:
Alta

Dettagli
La crittografia protegge i backup da accessi non autorizzati crittografando i dati di backup prima che vengano trasferiti nella posizione di backup. Ciò significa che anche se un utente non autorizzato ottiene l'accesso ai dati di backup, non può leggerli senza la chiave di decrittografia. Ciò vale sia per i backup basati su file sia per quelli creati utilizzando strumenti di backup di terze parti. Google Cloud consiglia di attivare la crittografia dei backup nel sistema SAP HANA. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per ulteriori informazioni, consulta la dichiarazione di crittografia del backup del sistema nella guida di riferimento di SAP HANA.
Ultimo aggiornamento: 27 ottobre 2025
SAP HANA Security: Safeguard against users with DEVELOPMENT privileges in a production environment

Gravità:
Alta

Privilegi SVILUPPO in un ambiente di produzione">Dettagli
Almeno un utente o ruolo dispone del privilegio DEVELOPMENT nel database di produzione. Google Cloud consiglia di non avere utenti con questo privilegio. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta la sezione Privilegio SVILUPPO negli elenchi di controllo e nei consigli per la sicurezza di SAP HANA.
Ultimo aggiornamento: 27 ottobre 2025
SAP HANA Security: Require users to change their initial password

Gravità:
Media

Dettagli
Il parametro force_first_password_change in SAP HANA specifica se gli utenti sono tenuti a cambiare la password dopo la creazione. Google Cloud consiglia di abilitare il parametro force_first_password_change.
Per saperne di più, consulta le opzioni di configurazione delle norme relative alle password nella guida alla sicurezza di SAP HANA One.
Ultimo aggiornamento: 23 aprile 2025
Sicurezza SAP HANA: protezione dagli utenti con privilegi SAP_INTERNAL_HANA_SUPPORT nell'ambiente di produzione

Gravità:
Alta

SAP_INTERNAL_HANA_SUPPORT privileges in ambiente di produzione">Dettagli
Almeno un account ha il ruolo SAP_INTERNAL_HANA_SUPPORT. Google Cloud consiglia di non avere utenti con questo privilegio. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta il ruolo SAP_INTERNAL_HANA_SUPPORT negli elenchi di controllo e nei consigli per la sicurezza di SAP HANA.
Ultimo aggiornamento: 27 ottobre 2025
SAP HANA Security: verifica la configurazione appropriata del parametro last_used_passwords

Gravità:
Media

Parametro last_used_passwords">Dettagli
Il riutilizzo delle password è una vulnerabilità di sicurezza comune. Il parametro last_used_passwords in SAP HANA impedisce agli utenti di riutilizzare le password più recenti. Il parametro specifica il numero di password precedenti che un utente non può utilizzare quando cambia la password attuale. Google Cloud consiglia di impostare last_used_passwords su un valore pari o superiore a 5.
Per saperne di più, consulta le opzioni di configurazione delle norme relative alle password nella guida alla sicurezza di SAP HANA One.
Ultimo aggiornamento: 23 aprile 2025
SAP HANA Security: Enable encryption of log volumes

Gravità:
Alta

Dettagli
La crittografia protegge i log SAP HANA da accessi non autorizzati. Un modo per farlo è criptare i log a livello di sistema operativo. SAP HANA supporta anche la crittografia nel livello di persistenza, che può fornire ulteriore sicurezza. Google Cloud consiglia di criptare i volumi dei log. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per ulteriori informazioni, consulta i consigli per la crittografia dei dati negli elenchi di controllo e nei consigli per la sicurezza di SAP HANA.
Ultimo aggiornamento: 27 ottobre 2025
SAP HANA Security: verifica la configurazione appropriata del parametro maximum_invalid_connect_attempts

Gravità:
Media

parametro maximum_invalid_connect_attempts">Dettagli
Il parametro maximum_invalid_connect_attempts in SAP HANA specifica il numero massimo di tentativi di accesso non riusciti possibili; l'utente viene bloccato non appena viene raggiunto questo numero. Google Cloud consiglia di impostare maximum_invalid_connect_attempts su un valore pari o superiore a 6.
Per saperne di più, consulta le opzioni di configurazione delle norme relative alle password nella guida alla sicurezza di SAP HANA One.
Ultimo aggiornamento: 23 aprile 2025
SAP HANA Security: verifica la configurazione appropriata del parametro maximum_password_lifetime

Gravità:
Media

parametro maximum_password_lifetime">Dettagli
Il parametro maximum_password_lifetime in SAP HANA specifica il numero di giorni dopo i quali scade la password di un utente. Il parametro applicherà misure di sicurezza per modificare periodicamente la password utente. Google Cloud consiglia di impostare maximum_password_lifetime su un valore pari o inferiore a 182.
Per saperne di più, consulta le opzioni di configurazione delle norme relative alle password nella guida alla sicurezza di SAP HANA One.
Ultimo aggiornamento: 23 aprile 2025
SAP HANA Security: verifica la configurazione appropriata del parametro maximum_unused_initial_password_lifetime

Gravità:
Media

parametro maximum_unused_initial_password_lifetime">Dettagli
La password iniziale ha solo uno scopo temporaneo. Il parametro maximum_unused_initial_password_lifetime in SAP HANA specifica il numero di giorni per i quali è valida la password iniziale o qualsiasi password impostata da un amministratore utente per un utente. Google Cloud consiglia di impostare maximum_unused_initial_password_lifetime su un valore pari o inferiore a 7.
Per saperne di più, consulta le opzioni di configurazione delle norme relative alle password nella guida alla sicurezza di SAP HANA One.
Ultimo aggiornamento: 23 aprile 2025
SAP HANA Security: verifica la configurazione appropriata del parametro maximum_unused_productive_password_lifetime

Gravità:
Media

parametro maximum_unused_productive_password_lifetime">Dettagli
Il parametro maximum_unused_productive_password_lifetime in SAP HANA specifica il numero di giorni dopo i quali una password scade se l'utente non ha eseguito l'accesso. Contribuisce a ridurre il rischio di compromissione degli account a causa di inattività prolungata della password. Google Cloud consiglia di impostare maximum_unused_productive_password_lifetime su un valore pari o inferiore a 365.
Per saperne di più, consulta le opzioni di configurazione delle norme relative alle password nella guida alla sicurezza di SAP HANA One.
Ultimo aggiornamento: 23 aprile 2025
SAP HANA Security: verifica la configurazione appropriata del parametro minimal_password_length

Gravità:
Media

Parametro minimal_password_length">Dettagli
Il parametro minimal_password_length in SAP HANA specifica il numero minimo di caratteri che deve contenere una password. È importante notare che il parametro minimal_password_length è fondamentale per migliorare la sicurezza di SAP HANA. Una password più breve di 8 caratteri ha maggiori probabilità di essere indovinata o decifrata, il che potrebbe consentire a un utente non autorizzato di accedere al tuo sistema. Per migliorare la sicurezza del sistema SAP HANA, Google Cloud consiglia di aumentare il valore del parametro minimal_password_length a un valore pari o superiore a 8.
Per saperne di più, consulta le opzioni di configurazione delle norme relative alle password nella guida alla sicurezza di SAP HANA One.
Ultimo aggiornamento: 23 aprile 2025
SAP HANA Security: verifica la configurazione appropriata del parametro minimum_password_lifetime

Gravità:
Media

parametro minimum_password_lifetime">Dettagli
Il parametro minimum_password_lifetime in SAP HANA specifica il numero minimo di giorni che devono trascorrere prima che un utente possa modificare la propria password. Questo parametro contribuisce a far rispettare le policy di scadenza delle password e a migliorare la sicurezza del sistema impedendo agli utenti di modificare frequentemente le proprie password.
Per saperne di più, consulta le opzioni di configurazione delle norme relative alle password nella guida alla sicurezza di SAP HANA One.
Ultimo aggiornamento: 25 aprile 2025
SAP HANA Security: verifica la configurazione appropriata del parametro password_expire_warning_time

Gravità:
Media

Parametro password_expire_warning_time">Dettagli
Il parametro password_expire_warning_time in SAP HANA specifica il numero di giorni prima della scadenza di una password in cui l'utente riceve una notifica. È importante comunicare agli utenti i tempi di scadenza delle password per assicurarsi che le cambino prima della scadenza. Il valore predefinito per il tempo di avviso di scadenza della password è 14 giorni.
Per saperne di più, consulta le opzioni di configurazione delle norme relative alle password nella guida alla sicurezza di SAP HANA One.
Ultimo aggiornamento: 25 aprile 2025
SAP HANA Security: verifica la configurazione appropriata del parametro password_layout

Gravità:
Media

Parametro password_layout">Dettagli
Il parametro password_layout in SAP HANA specifica i tipi di caratteri che la password deve contenere almeno un carattere di ogni tipo selezionato.
Per saperne di più, consulta le opzioni di configurazione delle norme relative alle password nella guida alla sicurezza di SAP HANA One.
Ultimo aggiornamento: 25 aprile 2025
SAP HANA Security: verifica la configurazione appropriata del parametro password_lock_time

Gravità:
Media

Parametro password_lock_time">Dettagli
Il parametro password_lock_time in SAP HANA specifica il numero di minuti per cui un utente viene bloccato dopo il numero massimo di tentativi di accesso non riusciti. Google Cloud consiglia di impostare password_lock_time su un valore pari a 1440 o superiore.
Per saperne di più, consulta le opzioni di configurazione delle norme relative alle password nella guida alla sicurezza di SAP HANA One.
Ultimo aggiornamento: 25 aprile 2025
Sicurezza SAP HANA: abilita la crittografia del volume permanente (dati)

Gravità:
Alta

Dettagli
Ti consigliamo di proteggere i dati SAP HANA da accessi non autorizzati. Un modo per farlo è criptare i dati a livello di sistema operativo. SAP HANA supporta anche la crittografia nel livello di persistenza, che può fornire ulteriore sicurezza. Ti consigliamo di criptare i volumi di dati. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per ulteriori informazioni, consulta i consigli per la crittografia dei dati negli elenchi di controllo e nei consigli per la sicurezza di SAP HANA.
Ultimo aggiornamento: 27 ottobre 2025
SAP HANA Security: HANA versions affected by CVE-2019-0357

Gravità:
Critica

Dettagli
CVE-2019-0357 è una vulnerabilità che consente agli utenti del database con privilegi di amministratore di eseguire comandi del sistema operativo come root su determinate versioni di SAP HANA.
Per saperne di più, consulta la nota di sicurezza SAP per CVE-2019-0357.
Ultimo aggiornamento: 25 aprile 2025
SAP HANA Security: Safeguard against users with debug privileges in production environment

Gravità:
Alta

Dettagli
Almeno un utente dispone del privilegio DEBUG o ATTACH DEBUGGER nel sistema. Google Cloud consiglia di non avere utenti con questo privilegio. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta i consigli per gli utenti del database negli elenchi di controllo e nei consigli per la sicurezza di SAP HANA.
Ultimo aggiornamento: 27 ottobre 2025
Sicurezza SAP HANA: limita i mittenti nella configurazione della replica del sistema

Gravità:
Alta

Dettagli
La replica di sistema è configurata con allowed_sender quando l'interfaccia di ascolto è global. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta i suggerimenti per le configurazioni di rete negli elenchi di controllo e nei suggerimenti per la sicurezza di SAP HANA.
Ultimo aggiornamento: 27 ottobre 2025

SAP: High Availability (33 risultati)

Corosync: utilizza il valore consigliato per il parametro consensus

Gravità:
Alta

parametro di consenso">Dettagli
In un cluster ad alta disponibilità Linux Pacemaker per SAP su Google Cloud, il valore predefinito del parametro consensus è impostato su 1,2 volte il valore del parametro token. Ti consigliamo di non modificare questo valore. Se modifichi il valore predefinito, assicurati che sia almeno 1,2 volte il valore di token. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Avviso a Elevata. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per ulteriori informazioni, consulta Valori dei parametri di configurazione di Corosync nella guida alla pianificazione dell'alta disponibilità di SAP HANA.
Ultimo aggiornamento: 27 ottobre 2025
Corosync: utilizza il valore consigliato per il parametro join

Gravità:
Alta

join parameter">Dettagli
In un cluster ad alta disponibilità Linux Pacemaker per SAP su Google Cloud, imposta il parametro Corosync join su un valore di 60 per rispettare le best practice di Google Cloud. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Avviso a Elevata. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per ulteriori informazioni, consulta Valori dei parametri di configurazione di Corosync nella guida alla pianificazione dell'alta disponibilità di SAP HANA.
Ultimo aggiornamento: 27 ottobre 2025
Corosync: utilizza il valore consigliato per il parametro max_messages

Gravità:
Media

Parametro max_messages">Dettagli
In un cluster ad alta disponibilità Linux Pacemaker per SAP su Google Cloud, per evitare l'inondazione di messaggi tra i nodi del cluster durante l'elaborazione dei token, imposta il parametro Corosync max_messages sul valore 20. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Avviso a Media. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per ulteriori informazioni, consulta Valori dei parametri di configurazione di Corosync nella guida alla pianificazione dell'alta disponibilità di SAP HANA.
Ultimo aggiornamento: 27 ottobre 2025
Corosync: utilizza il valore consigliato per il parametro token_retransmits_before_loss_const

Gravità:
Critica

token_retransmits_before_loss_const parameter">Dettagli
In un cluster ad alta disponibilità Linux Pacemaker per SAP su Google Cloud, imposta il parametro Corosync token_retransmits_before_loss_const su un valore pari o superiore a 10 per rispettare le best practice di Google Cloud.
Per ulteriori informazioni, consulta Valori dei parametri di configurazione di Corosync nella guida alla pianificazione dell'alta disponibilità di SAP HANA.
Ultimo aggiornamento: 14 aprile 2025
Corosync: utilizza il valore consigliato per il parametro token

Gravità:
Critica

token parameter">Dettagli
In un cluster ad alta disponibilità Linux Pacemaker per SAP su Google Cloud, imposta il valore del parametro Corosync token sul valore di timeout consigliato di 20000 per rispettare la best practice di Google Cloud per il rilevamento degli errori.
Per ulteriori informazioni, consulta Valori dei parametri di configurazione di Corosync nella guida alla pianificazione dell'alta disponibilità di SAP HANA.
Ultimo aggiornamento: 14 aprile 2025
Corosync: utilizza il valore consigliato per il parametro transport

Gravità:
Critica
parametro di trasporto">Dettagli
In un cluster ad alta disponibilità Linux Pacemaker per SAP su Google Cloud, imposta il valore del protocollo Corosync transport in base al tuo sistema operativo. Per i sistemi Red Hat versione 8 e successive, il parametro deve essere impostato su knet. Per gli altri sistemi operativi supportati, è previsto un valore di udpu.
Per saperne di più, consulta la guida per il tuo sistema operativo:
- Per RHEL, consulta la Guida alla configurazione del cluster HA per SAP HANA su RHEL.
- Per SLES, consulta la Guida alla configurazione del cluster HA per SAP HANA su SLES.
Ultimo aggiornamento: 14 aprile 2025
Pacemaker: imposta pcmk_delay_max sulla risorsa cluster del dispositivo di isolamento

Gravità:
Critica

pcmk_delay_max on the fencing device cluster resource">Details
Per evitare condizioni di competizione di recinzione nei cluster Linux Pacemaker ad alta disponibilità per SAP, il parametro pcmk_delay_max deve essere specificato con un valore pari a 30 o superiore nella definizione della risorsa di recinzione.
Per saperne di più, consulta Opzioni speciali per il fencing delle risorse.
Ultimo aggiornamento: 14 aprile 2025
Pacemaker: utilizza il valore di timeout consigliato per le operazioni SAPHana

Gravità:
Critica
Operazioni SAPHana">Dettagli
La definizione della risorsa SAPHana in un cluster HA Linux Pacemaker contiene un valore di timeout per le operazioni stop, start, promote e demote. Per i cluster HA Linux Pacemaker per SAP su Google Cloud, consigliamo un valore di almeno 3600 per ogni operazione.
Per saperne di più, consulta la guida per il tuo sistema operativo:
- Per RHEL, consulta la Guida alla configurazione del cluster HA per SAP HANA su RHEL.
- Per SLES, consulta la Guida alla configurazione del cluster HA per SAP HANA su SLES.
Ultimo aggiornamento: 14 aprile 2025
Pacemaker: verifica che non sia in uso un'implementazione IP alias

Gravità:
Critica

Dettagli
In un cluster ad alta affidabilità Linux Pacemaker per SAP su Google Cloud, l'utilizzo di indirizzi IP alias che si spostano tra le istanze di Compute Engine è sconsigliato come meccanismo di failover perché non soddisfa i requisiti di alta affidabilità. In alcuni scenari di errore, ad esempio un evento di errore zonale, potresti non essere in grado di rimuovere un indirizzo IP alias da un'istanza di computing. Di conseguenza, potresti non essere in grado di spostare l'indirizzo IP alias in un'altra istanza di Compute, rendendo impossibile il failover.
Per ulteriori informazioni, consulta Implementazioni VIP IP alias nella guida alla pianificazione dell'alta disponibilità di SAP HANA.
Ultimo aggiornamento: 14 aprile 2025
Pacemaker: assicurati che tutte le risorse del cluster siano in stato integro

Gravità:
Critica

Dettagli
Per garantire l'alta affidabilità del sistema SAP e salvaguardarlo da eventi host imprevisti, tutte le risorse nel cluster gestito da Pacemaker devono essere nello stato Avviato.
Per ulteriori informazioni, consulta L'agente di risorse è arrestato nella guida alla risoluzione dei problemi delle configurazioni ad alta disponibilità per SAP.
Ultimo aggiornamento: 12 giugno 2025
Pacemaker: utilizza le impostazioni consigliate per il timeout predefinito dell'operazione del cluster

Gravità:
Alta
Dettagli
In un cluster Pacemaker, il parametro timeout in op_defaults imposta un valore predefinito globale per la durata delle operazioni prima che vengano considerate non riuscite. Se per una singola risorsa è configurato un timeout specifico, questo avrà la precedenza sul valore predefinito globale. Google Cloud consiglia di impostare un valore di timeout predefinito di 600. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta la guida per il tuo sistema operativo:
- Per RHEL, vedi Impostare i valori predefiniti del cluster.
- Per SLES, vedi Bootstrap del cluster e altro ancora.
Ultimo aggiornamento: 27 ottobre 2025
Pacemaker: utilizza le proprietà del cluster consigliate per la risorsa ASCS

Gravità:
Critica
Dettagli
In un cluster ad alta disponibilità Linux Pacemaker per SAP su Google Cloud, meta_attributes sono parametri di configurazione che influiscono sul comportamento di una risorsa all'interno del cluster. Per la risorsa ASCS, SUSE e Red Hat consigliano di impostare resource-stickiness su un valore di 5000. Inoltre, per ENSA1, imposta migration-threshold su un valore di 1 e failure-timeout su un valore di 60. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media a Critica. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta la guida per il tuo sistema operativo:
- Per RHEL, vedi Creazione di una risorsa per la gestione dell'istanza (A)SCS.
- Per SLES - ENSA1, vedi Configurazione delle risorse per ASCS.
- Per SLES - ENSA2, vedi Configurazione delle risorse per ASCS.
Ultimo aggiornamento: 27 ottobre 2025
Pacemaker: utilizza l'impostazione della risorsa ERS consigliata per ENSA1

Gravità:
Critica
Dettagli
In un cluster SAP Central Services ad alta affidabilità (ABAP o Java), l'impostazione di IS_ERS=true per la risorsa ERS è obbligatoria per una configurazione di Enqueue Replication Server (ENSA1) perché viene utilizzata per identificare il nodo in cui il servizio ERS è attivo. Per una configurazione ENSA2, questa impostazione è facoltativa, ma consigliata.
Per saperne di più, consulta le guide seguenti:
- Per RHEL, consulta Creazione di una risorsa per la gestione dell'istanza ERS o visualizza la knowledge base di Red Hat.
- Per SLES, vedi Configurazione delle risorse del cluster.
- Per il cluster di alta disponibilità di replica 1 di SAP NetWeaver Enqueue - SAP NetWeaver 7.40 e 7.50, consulta Configurazione delle risorse per ERS.
- Per SAP S/4 HANA - Enqueue Replication 2 High Availability Cluster, vedi Configurazione delle risorse per l'istanza ERS.
Ultimo aggiornamento: 15 aprile 2025
Pacemaker: utilizza i valori predefiniti delle risorse consigliati per il cluster SAP CS

Gravità:
Alta
Dettagli
In un cluster ad alta disponibilità Linux Pacemaker, per gestire il comportamento delle risorse e le policy di failover, la primitiva rsc_defaults imposta il valore predefinito meta_attributes per tutte le risorse. SUSE e Red Hat consigliano di impostare resource-stickiness su un valore di 1, indicando una bassa preferenza per le risorse che rimangono sul nodo corrente, e migration-threshold su un valore di 3, consentendo fino a tre errori su un nodo prima che una risorsa venga spostata su un altro nodo. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta la guida per il tuo sistema operativo:
- Per RHEL 9, vedi Configurazione delle proprietà generali del cluster.
- Per RHEL 8, vedi Configurazione delle proprietà generali del cluster.
- Per SLES, vedi Configurazione della base del cluster.
Ultimo aggiornamento: 27 ottobre 2025
Pacemaker: utilizza la configurazione consigliata di monitoraggio e recupero automatico di SAPInstance di NetWeaver HA

Gravità:
Critica
Dettagli
La primitiva SAPInstance in Pacemaker gestisce le istanze dell'applicazione SAP, garantendone l'avvio, l'arresto e il monitoraggio corretti. Per migliorare la stabilità delle istanze SAP, Google Cloud consiglia di impostare l'attributo dell'istanza per AUTOMATIC_RECOVER=false. Inoltre, ti consigliamo di impostare l'operazione monitor in modo che abbia un valore timeout pari a 60 e un valore dell'intervallo impostato su 11 per SLES e 20 per RHEL. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media a Critica. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta la guida per il tuo sistema operativo:
- Per RHEL, vedi Creazione di una risorsa per la gestione dell'istanza (A)SCS.
- Per SLES, vedi Configurazione delle risorse per ASCS.
Ultimo aggiornamento: 27 ottobre 2025
Alta disponibilità: verifica il nome host virtuale configurato per gli host dei servizi centrali SAP

Gravità:
Critica
Dettagli
Per garantire l'alta affidabilità di SAP Central Services, nel file DEFAULT.PFL, i valori dei parametri serverhost e replicatorhost devono essere allineati alla configurazione del cluster Pacemaker. Questa configurazione garantisce il funzionamento continuo anche se uno degli host subisce un errore, perché il cluster può eseguire automaticamente il failover sull'altro host. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media a Critica. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per maggiori informazioni, visualizza i parametri del profilo per la versione ENSA installata:
- Per ENSA1, vedi Parametri del profilo per i client di accodamento
- Per ENSA2, vedi Parametri del profilo di Enqueue Replicator 2
Ultimo aggiornamento: 27 ottobre 2025
Pacemaker: esegui la migrazione dall'agente di isolamento legacy gcpstonith

Gravità:
Alta
gcpstonith fence agent">Dettagli
Il modulo di recinzione gcpstonith è deprecato. Esegui la migrazione all'agente di isolamento fence_gce incluso nel sistema operativo per ottenere affidabilità e funzionalità ottimali con il cluster Pacemaker su Google Cloud. fence_gce è incluso nelle distribuzioni Linux supportate con l'estensione o il componente aggiuntivo High Availability (HA). A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta le guide seguenti:
- Per configurare il fencing per un cluster HA su RHEL, vedi Configurare il fencing.
- Per configurare il fencing per un cluster HA su SLES, vedi Configurare il fencing.
- Per eseguire la migrazione da gcpstonith a fence_gce, consulta L'agente di isolamento gcpstonith è ritirato.
Ultimo aggiornamento: 27 ottobre 2025
Pacemaker: imposta il parametro del cluster ad alta disponibilità migration-threshold sul valore consigliato per SAP HANA

Gravità:
Alta
migration-threshold parameter to the recommended value for SAP HANA">Details
Per eseguire la migrazione della risorsa SAP HANA a un nuovo nodo del cluster in caso di errore in un cluster ad alta disponibilità Linux Pacemaker, la definizione della risorsa SAP HANA deve specificare il parametro migration-threshold con il valore consigliato di 5000. Questo parametro determina il numero di errori prima che si verifichi un failover e contrassegna il nodo del cluster come non idoneo a ospitare la risorsa SAP HANA. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Avviso a Elevata. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta la guida per il tuo sistema operativo:
- Per RHEL, consulta la Guida alla configurazione del cluster HA per SAP HANA su RHEL.
- Per SLES, consulta la Guida alla configurazione del cluster HA per SAP HANA su SLES.
Ultimo aggiornamento: 27 ottobre 2025
Pacemaker: utilizza le impostazioni di monitoraggio consigliate per il controllo di integrità e il bilanciamento del carico interno

Gravità:
Alta
Dettagli
In una configurazione Pacemaker su Google Cloud Platform, la primitiva di controllo di integrità e la primitiva del bilanciatore del carico interno (ILB) funzionano insieme per garantire l'alta affidabilità. Il controllo di integrità monitora lo stato dell'istanza ascoltando su una porta specifica, mentre il bilanciamento del carico interno gestisce il routing del traffico. Le impostazioni di monitoraggio consigliate per il controllo di integrità sono un interval di 10 secondi e un timeout di 20 secondi. Le impostazioni di monitoraggio consigliate per il bilanciamento del carico interno sono un interval di 3600 secondi e un timeout di 60 secondi. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta la guida per il tuo sistema operativo:
- Per RHEL, vedi Crea una risorsa indirizzo IP virtuale.
- Per SLES, vedi Creare una risorsa IP cluster locale per l'indirizzo VIP.
Ultimo aggiornamento: 27 ottobre 2025
Pacemaker: aggiorna i vincoli delle preferenze di posizione delle risorse

Gravità:
Critica
Dettagli
Un cluster HA Linux Pacemaker contiene un vincolo di preferenza di località impostato su una o più risorse. Per i cluster Linux Pacemaker HA per SAP su Google Cloud, i vincoli di posizione potrebbero impedire il corretto failover delle risorse del cluster in caso di errore. Questi vincoli si verificano spesso quando una risorsa viene spostata manualmente tra i nodi del cluster.
Per saperne di più, consulta la guida per il tuo sistema operativo:
- Per RHEL, vedi Gestione delle risorse del cluster.
- Per SLES, vedi Migrazione manuale delle risorse.
Ultimo aggiornamento: 16 aprile 2025
Pacemaker: disattiva la modalità di manutenzione

Gravità:
Critica
Dettagli
Per consentire a una configurazione del cluster ad alta disponibilità Linux Pacemaker di monitorare e gestire le risorse dell'applicazione, i nodi del cluster che ospitano queste risorse non devono essere in modalità di manutenzione.
Per saperne di più, consulta la guida per il tuo sistema operativo:
- Per RHEL, vedi Esecuzione della manutenzione del cluster.
- Per SLES, vedi Attivare e disattivare la modalità di manutenzione in un cluster ad alta disponibilità.
Ultimo aggiornamento: 16 aprile 2025
Pacemaker: utilizza il valore consigliato per il parametro resource-stickiness per SAP HANA

Gravità:
Alta
resource-stickiness parameter for SAP HANA">Dettagli
In un cluster Linux Pacemaker ad alta disponibilità per SAP HANA, imposta il parametro resource-stickiness sul valore consigliato di 1000. Questo parametro definisce la preferenza di una risorsa a rimanere sul nodo corrente. Il valore di 1000 è sufficientemente alto da ridurre al minimo la migrazione non necessaria della risorsa a un altro nodo. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta la guida per il tuo sistema operativo:
- Per RHEL, vedi Configurazione delle proprietà generali del cluster HA.
- Per SLES, vedi Configurazione di proprietà e risorse del cluster.
Ultimo aggiornamento: 27 ottobre 2025
Pacemaker: utilizza i valori consigliati per le risorse primaria e secondaria SAP HANA

Gravità:
Alta
Dettagli
In un cluster Linux Pacemaker ad alta affidabilità per SAP HANA su Google Cloud, gli attributi meta all'interno della risorsa SAP HANA msl (classificata come primaria o secondaria) determinano la modalità di gestione di questa risorsa all'interno del cluster. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta la guida per il tuo sistema operativo:
- Per RHEL, vedi Creazione di una risorsa SAPHana promuovibile.
- Per SLES, vedi Crea risorsa SAPHana.
Ultimo aggiornamento: 27 ottobre 2025
Pacemaker: utilizza le impostazioni di failover SAP HANA consigliate

Gravità:
Critica
Dettagli
In un cluster ad alta disponibilità Linux Pacemaker per SAP HANA su Google Cloud, la risorsa SAPHana contiene la configurazione per controllare la disponibilità e la protezione dei dati della replica del sistema SAP HANA gestita dal cluster HA. Google Cloud consiglia di impostare i valori per gli attributi dell'istanza come segue: AUTOMATED_REGISTER=true, DUPLICATE_PRIMARY_TIMEOUT=7200 e PREFER_SITE_TAKEOVER=true. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media a Critica. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta la guida per il tuo sistema operativo:
- Per RHEL, vedi Creazione di una risorsa SAPHana promuovibile.
- Per SLES, vedi Crea risorsa SAPHana.
Ultimo aggiornamento: 27 ottobre 2025
Pacemaker: utilizza i valori consigliati per l'operazione di monitoraggio delle risorse SAP HANA

Gravità:
Alta
Dettagli
La risorsa SAPHana gestisce le istanze che fanno parte della coppia SAP HANA replicata. In caso di errore dell'istanza di replica primaria SAP HANA, l'agente di risorse SAPHana può attivare un takeover della replica del sistema SAP HANA in base a come sono stati impostati i parametri dell'agente di risorse. I valori interval e timeout per l'operazione di monitoraggio devono essere impostati sui valori consigliati in base al fornitore del sistema operativo. Per Red Hat, il monitor principale deve avere una interval di 59 e una timeout di 700, mentre il monitor secondario deve avere una interval di 61 e una timeout di 700. Per SUSE, il monitor principale deve avere una interval di 60 e un timeout di 700, mentre il monitor secondario deve avere una interval di 61 e un timeout di 700. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta la guida per il tuo sistema operativo:
- Per RHEL, vedi Creazione di una risorsa SAPHana promuovibile.
- Per SLES, consulta Creazione della risorsa SAPHana.
Ultimo aggiornamento: 27 ottobre 2025
Pacemaker: esegui l'upgrade del cluster SUSE HA e degli hook del provider HA/RE SAP HANA per utilizzare SAPHanaSR-angi

Gravità:
Alta
Dettagli
Per garantire supporto e stabilità a lungo termine per il cluster HA basato su SLES che esegue SAP HANA, Google Cloud consiglia vivamente di utilizzare il pacchetto di agenti di risorse SAPHanaSR-angi su SLES per SAP 15 SP6 o versioni successive. Su SLES for SAP 16, SAPHanaSR-angi sostituisce i pacchetti SAPHana e SAPHanaSR-ScaleOut.
Per saperne di più, consulta le guide seguenti:
- Esegui l'upgrade a SAPHanaSR-angi in un cluster HA scalabile verticalmente.
- Articoli SUSE su Che cos'è SAPHanaSR-angi e Come eseguire l'upgrade a SAPHanaSR-angi.
Ultimo aggiornamento: 12 marzo 2026
Pacemaker: utilizza le impostazioni consigliate per la proprietà del cluster Stonith

Gravità:
Critica
Dettagli
Per preservare l'integrità e l'alta affidabilità del cluster, la configurazione di Pacemaker deve consentire a STONITH di attivare l'isolamento dei nodi e avere un timeout appropriato impostato per garantire il completamento tempestivo delle operazioni STONITH. Queste impostazioni sono essenziali per isolare i nodi non riusciti e impedire che interrompano le operazioni del cluster. Per ottenere risultati ottimali, ti consigliamo di impostare stonith-enabled=true e stonith-timeout su un valore pari a 300. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media a Critica. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta la guida per il tuo sistema operativo:
- Per RHEL, vedi Impostare i valori predefiniti del cluster.
- Per SLES, vedi Configurare le proprietà generali del cluster.
Ultimo aggiornamento: 27 ottobre 2025
Pacemaker: utilizza i valori consigliati per la risorsa clone della topologia SAP HANA

Gravità:
Alta
Dettagli
In un cluster ad alta affidabilità Linux Pacemaker per SAP HANA su Google Cloud, gli attributi meta all'interno della risorsa clone della topologia SAP HANA determinano la modalità di gestione di questa risorsa all'interno del cluster. Le impostazioni consigliate per una risorsa di topologia SAP HANA sono un valore clone_node_max di 1 e un valore interleave di true. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta la guida per il tuo sistema operativo:
- Per RHEL, vedi Creazione della risorsa SAPHanaTopology clonata.
- Per SLES, consulta Creazione di SAPHanaTopology.
Ultimo aggiornamento: 27 ottobre 2025
Pacemaker: utilizza i valori consigliati per l'impostazione del monitoraggio della topologia SAP HANA

Gravità:
Critica
Dettagli
Un cluster HA Linux Pacemaker contiene una risorsa SAPHanaTopology che include un'operazione di monitoraggio con un valore interval e un valore timeout. Per i cluster HA Linux Pacemaker per SAP su Google Cloud, consigliamo un valore compreso tra 10 e 60 secondi per interval e un valore di 600 secondi per timeout.
Per saperne di più, consulta la guida per il tuo sistema operativo:
- Per RHEL, vedi Crea la risorsa SAPHanaTopology.
- Per SLES, vedi Crea la risorsa primitiva SAPHanaTopology.
Ultimo aggiornamento: 16 aprile 2025
Pacemaker: utilizza i valori di timeout consigliati per l'operazione di avvio/arresto della topologia SAP HANA

Gravità:
Alta
Dettagli
Il parametro timeout definisce il tempo massimo consentito per il completamento di un'operazione (ad esempio l'avvio o l'arresto di una risorsa). Se l'operazione non viene completata entro questo periodo di tempo specificato, viene considerata non riuscita. Le impostazioni consigliate per una risorsa di topologia SAP HANA sono un valore di timeout start di 600 e un valore di timeout stop di 300. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per saperne di più, consulta la guida per il tuo sistema operativo:
- Per RHEL, vedi Crea la risorsa SAPHanaTopology.
- Per SLES, vedi SAPHanaTopology.
Ultimo aggiornamento: 27 ottobre 2025
Alta disponibilità: utilizza i parametri ENSA2 per Enqueue Replicator

Gravità:
Alta

Dettagli
Nei sistemi in cui la versione di SAP NetWeaver supporta ENSA2, ma il file DEFAULT.PFL contiene ancora parametri ENSA1, questa mancata corrispondenza potrebbe causare problemi con la funzionalità del server di accodamento e il comportamento del cluster. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per ulteriori informazioni, consulta Profile Parameters of Enqueue Replicator 2 nel portale di assistenza SAP.
Ultimo aggiornamento: 27 ottobre 2025
Alta disponibilità: assicurati la configurazione multizona per SAP HANA

Gravità:
Alta

Dettagli
Per garantire la resilienza di una configurazione ad alta disponibilità SAP HANA, i nodi primario e secondario devono esistere in zone diverse della stessa regione. A partire dal 27 ottobre 2025, la gravità di questa regola di valutazione è stata aggiornata da Media ad Alta. Questa modifica si applica anche alle valutazioni esistenti che includono questa regola.
Per ulteriori informazioni, consulta la Guida alla pianificazione di SAP HANA.
Ultimo aggiornamento: 27 ottobre 2025
Alta disponibilità: imposta l'hook di replica del sistema per SAP HANA

Gravità:
Critica
Dettagli
In una configurazione ad alta affidabilità SAP HANA, gli hook HA/RE monitorano la replica e i singoli servizi, ad esempio indexserver, forniti dal fornitore del sistema operativo. Queste configurazioni influiscono su SAP HANA, impedendogli di segnalare tempestivamente al cluster se l'istanza secondaria non è più sincronizzata o se i servizi SAP HANA si arrestano in modo anomalo.
Per saperne di più, consulta la guida per il tuo sistema operativo:
- Per RHEL, consulta Abilitare l'hook del provider HA/RE SAP HANA.
- Per SLES, consulta Attivare l'hook del provider HA/RE SAP HANA.
Ultimo aggiornamento: 17 marzo 2026

SAP: NetWeaver (3 risultati)

SAP NetWeaver: utilizza un tipo di VM personalizzato certificato

Gravità:
Critica

Dettagli
Per ricevere assistenza da SAP e Google Cloud per SAP NetWeaver su una VM personalizzata di Compute Engine, devi utilizzare un tipo di VM personalizzato certificato da SAP e Google Cloud per l'utilizzo con SAP NetWeaver.
Per saperne di più, consulta Macchine certificate nella guida alla pianificazione di SAP NetWeaver.
Ultimo aggiornamento: 9 aprile 2025
SAP NetWeaver: utilizza un sistema operativo certificato

Gravità:
Critica

Dettagli
Per ricevere assistenza da SAP e Google Cloud per SAP NetWeaver su una VM Compute Engine, devi utilizzare una versione del sistema operativo certificata da SAP e Google Cloud per l'utilizzo con SAP NetWeaver.
Per ulteriori informazioni, consulta Supporto dei sistemi operativi per SAP NetWeaver su Google Cloud.
Ultimo aggiornamento: 18 febbraio 2026
SAP NetWeaver: utilizza un tipo di VM certificato

Gravità:
Critica

Dettagli
Per ricevere assistenza da SAP e Google Cloud per SAP NetWeaver su una VM Compute Engine, devi utilizzare un tipo di VM e una piattaforma CPU certificati da SAP e Google Cloud per l'utilizzo con SAP NetWeaver.
Per saperne di più, consulta Tipi di macchine nella guida alla pianificazione di SAP NetWeaver.
Ultimo aggiornamento: 3 marzo 2026

SQL Server: ottimizzazione dei costi (2 risultati)

SQL: 4-core consolidation

Gravità:
Media

Dettagli
Puoi risparmiare sui costi di licenza di SQL Server per core consolidando le VM con meno di 4 core. Per ulteriori informazioni, consulta il tuo contratto di licenza.
Licenze SQL Server.
Ultimo aggiornamento: 18 marzo 2024
SQL: Disabilita il multi-threading simultaneo (SMT)

Gravità:
Media

Dettagli
La disattivazione di SMT riduce della metà il numero di vCPU per ogni core, il che potrebbe ridurre i costi di licenza. Per ulteriori informazioni, consulta il tuo contratto di licenza.
Una best practice del settore per un TCO ottimale per la maggior parte dei workload SQL Server consiste nell'impostare il numero di thread per core su uno e quindi dimensionare correttamente la forma della VM in base ai requisiti del workload. È possibile controllare ulteriormente il numero di core utilizzando i core visibili personalizzati. Per ulteriori dettagli, rivolgiti al tuo Technical Account Manager.
come impostare il numero di thread per core.
Ultimo aggiornamento: 7 febbraio 2024

SQL Server: Failover Cluster (2 risultati)

SQL: Enable failover clustering

Gravità:
Critica

Dettagli
Per abilitare il clustering di failover nell'agente di Compute Engine, devi aggiungere il flag enable-wsfc=true ai metadati della VM.
Abilitazione del clustering di failover in Compute Engine.
Ultimo aggiornamento: 11 gennaio 2024
SQL: Tag di rete presenti

Gravità:
Bassa

Dettagli
Per consentire ai client di connettersi a SQL Server, ai nodi WSFC di comunicare tra loro e al bilanciatore del carico di eseguire controlli di integrità, le regole firewall vengono applicate alle VM con questi tag di rete.
Configura l'istanza del cluster di failover.
Ultimo aggiornamento: 6 ottobre 2025

SQL Server: prestazioni (10 risultati)

SQL: attiva l'estensione del pool di buffer

Gravità:
Media

Dettagli
La funzionalità di estensione del pool di buffer ti consente di inviare, anziché eliminare, pagine pulite a un'unità SSD locale. Questa funziona come la memoria virtuale, ovvero tramite sostituzione, il che ti consente di accedere alle pagine pulite sull'SSD locale, un processo più rapido rispetto al recupero dei dati sul disco normale.
Abilitazione dell'estensione del buffer pool in Best practice per le VM SQL Server.
Ultimo aggiornamento: 11 gennaio 2024
SQL: Format secondary disks

Gravità:
Media

Dettagli
La formattazione di un disco con un'unità di allocazione da 64 KB consente a SQL Server di leggere e scrivere le estensioni in modo più efficiente, aumentando le prestazioni I/O dal disco.
Ultimo aggiornamento: 11 gennaio 2024
SQL: evita la frammentazione dell'indice

Gravità:
Media

Dettagli
Se uno o più indici sono frammentati al 95%o più, consiglia di pianificare i job di deframmentazione.
Ultimo aggiornamento: 11 gennaio 2024
SQL: sposta i file di dati e i file di log su un nuovo disco

Gravità:
Media

Dettagli
Per impostazione predefinita, l'immagine preconfigurata per SQL Server include tutto ciò che è installato sul disco permanente di avvio, che viene montato come unità C:. Valuta la possibilità di collegare un disco permanente SSD secondario e di spostare i file di log e di dati sul nuovo disco.
Posiziona i file di dati e di log su unità separate nella documentazione di SQL Server.
Ultimo aggiornamento: 11 gennaio 2024
SQL: imposta il profilo di alimentazione su Alte prestazioni

Gravità:
Media

Dettagli
Per configurare SQL Server in modo da ottenere prestazioni ottimali su Google Cloud, ti consigliamo di impostare il profilo di alimentazione su Prestazioni elevate anziché Bilanciato.
Impostazione del profilo di alimentazione.
Ultimo aggiornamento: 11 gennaio 2024
SQL: corrispondenza del grado massimo di parallelismo con il numero di CPU sul server

Gravità:
Media

Dettagli
L'impostazione predefinita consigliata per il parallelismo massimo è di farlo corrispondere al numero di CPU sul server. In pratica, 8 è un valore predefinito ottimale.
Elaborazione parallela delle query in Best practice per le VM SQL Server.
Ultimo aggiornamento: 11 gennaio 2024
SQL: utilizza tabelle compresse

Gravità:
Media

Dettagli
La compressione delle tabelle potrebbe migliorare le prestazioni del sistema.
Utilizzo di tabelle compresse in Best practice per le VM SQL Server.
Ultimo aggiornamento: 11 gennaio 2024
SQL: utilizza gli SSD locali per tempDB

Gravità:
Bassa

Dettagli
Crea nuove istanze SQL Server con uno o più SSD locali per archiviare i file di paging tempdb e Windows.
Ultimo aggiornamento: 6 ottobre 2025
SQL: imposta il file di log su un importo fisso e pianifica backup regolari

Gravità:
Media

Dettagli
Valuta la possibilità di disattivare l'aumento automatico e di impostare il file di log su una dimensione fissa.
Ultimo aggiornamento: 11 gennaio 2024
SQL: Optimize Virtual Log Files

Gravità:
Bassa

Dettagli
Monitora la crescita del file di log virtuale e intervieni per evitarne la frammentazione.
Ottimizzazione dei file di log virtuali in Best practice per le VM SQL Server.
Ultimo aggiornamento: 6 ottobre 2025

SQL Server: stabilità (3 risultati)

SQL: esegui regolarmente il backup

Gravità:
Media

Dettagli
Quando esegui backup regolari del database, fai attenzione a non consumare troppe IOPS del disco permanente. Utilizza l'SSD locale per preparare i backup e poi trasferiscili in un bucket Cloud Storage.
Backup in Best practice per le VM SQL Server.
Ultimo aggiornamento: 11 gennaio 2024
SQL: agente di backup e ripristino di emergenza di Google Cloud non rilevato

Gravità:
Media

Dettagli
Per una protezione ottimale, valuta le soluzioni di backup e ripristino di emergenza di Google.
Servizio di backup e DR.
Ultimo aggiornamento: 25 giugno 2024
SQL: Match max server memory setting with available physical memory on the instance

Gravità:
Media

Dettagli
L'impostazione Memoria massima del server corrisponde alla memoria fisica disponibile nell'istanza.
Ultimo aggiornamento: 11 gennaio 2024

Riferimento alle best practice di Google Cloud Mantieni tutto organizzato con le raccolte Salva e classifica i contenuti in base alle tue preferenze.

Livelli di gravità

Best practice supportate

Conteggio delle regole per best practice

Best practice di Google Cloud - Chiavi API (4 risultati)

Chiave API senza limitazioni link

Chiave API senza limitazioni del servizio link

Chiave API più vecchia di 90 giorni link

Chiavi API link

Best practice di Google Cloud - Access Transparency (1 risultato)

Access Transparency per l'organizzazione attivato link

Best practice di Google Cloud - AlloyDB per PostgreSQL (4 risultati)

Backup automatici del cluster Alloy non abilitati link

Backup continui del cluster Alloy non abilitati link

Policy di manutenzione del cluster Alloy link

IP pubblico dell'istanza Alloy link

Best practice di Google Cloud - Apigee X (1 risultato)

Istanze multiregionali Apigee link

Best practice di Google Cloud - Artifact Registry (1 risultato)

Artifact Registry multiregionale link

Best practice di Google Cloud - BigQuery (10 risultati)

CMEK set di dati BigQuery disabilitata link

Set di dati BigQuery con etichette mancanti link

Set di dati BigQuery con tag risorsa mancanti link

Multiregione del set di dati BigQuery link

Set di dati BigQuery pubblico link

CMEK tabella BigQuery link

Scadenza della tabella BigQuery link

Tabella BigQuery con etichette mancanti link

Tag risorsa mancanti nella tabella BigQuery link

Partizione della tabella BigQuery link

Best practice di Google Cloud - Cloud Bigtable (3 risultati)

Ridondanza del cluster Bigtable link

Replica dell'istanza Bigtable abilitata link

Routing multi-cluster del profilo Bigtable link

Best practice di Google Cloud - Cloud Build (1 risultato)

Ridondanza del pool Cloudbuild link

Best practice di Google Cloud - Cloud DNS (3 risultati)

Logging delle policy DNS link

DNS zone public dnssec link

Logging pubblico della zona DNS link

Best practice di Google Cloud - Cloud Functions (3 risultati)

Cloudfunctions ingress gclb link

Numero minimo di istanze di funzione link

Funzioni multiregionali del progetto link

Best practice di Google Cloud - Cloud Key Management Service (14 risultati)

Livello di protezione della chiave di crittografia Cloud KMS hsm link

Software di livello di protezione della chiave di crittografia Cloud KMS link

Rotazione simmetrica della chiave di crittografia Cloud KMS link

Cloud KMS ekm connection redundant resolvers link

Cartella della chiave Cloud KMS esposta pubblicamente link

Organizzazione della chiave Cloud KMS esposta pubblicamente link

Progetto chiave Cloud KMS esposto pubblicamente link

Chiave Cloud KMS esposta pubblicamente link

Cloud KMS key purpose symmetric link

Raccolta di chiavi Cloud KMS esposta pubblicamente link

Rotazione della chiave Cloud KMS disabilitata link

Rotazione della chiave Cloud KMS abilitata per 1 anno link

Keyring multiregionale Cloud KMS link

Ruolo Proprietario Cloud KMS link

Best practice di Google Cloud - Cloud Load Balancing (4 risultati)

Livello di rete della regola di forwarding Compute link

Calcola la distribuzione delle zone del servizio di backend regionale link

Distribuzione del backend globale link

Controllo di integrità del pool di destinazione abilitato link

Best practice di Google Cloud - Cloud Logging (3 risultati)

Sink di log link

Multi-regione del bucket di logging link

Sink di logging non aggregato a livello di cartella o organizzazione link

Best practice di Google Cloud - Cloud Pub/Sub (7 risultati)

Backoff subesponenziale di Pub/Sub link

Argomento messaggi non recapitabili della sottoscrizione Pub/Sub configurato link

Pub/Sub subscription deadletter link

Criterio di ripetizione della sottoscrizione Pub/Sub configurato link

Conservazione dei messaggi dell'argomento Pub/Sub link

Policy Cloud Storage per i messaggi dell'argomento Pub/Sub link

Schema dell'argomento Pub/Sub link

Best practice di Google Cloud - router Cloud (6 risultati)

Il router di Compute annuncia tutte le subnet link

Compute router bfd enabled link

Riferimento alle best practice di Google Cloud

Chiave API senza limitazioni

Chiave API senza limitazioni del servizio

Chiave API più vecchia di 90 giorni

Chiavi API

Access Transparency per l'organizzazione attivato

Backup automatici del cluster Alloy non abilitati

Backup continui del cluster Alloy non abilitati

Policy di manutenzione del cluster Alloy

IP pubblico dell'istanza Alloy

Istanze multiregionali Apigee

Artifact Registry multiregionale

CMEK set di dati BigQuery disabilitata

Set di dati BigQuery con etichette mancanti

Set di dati BigQuery con tag risorsa mancanti

Multiregione del set di dati BigQuery

Set di dati BigQuery pubblico

CMEK tabella BigQuery

Scadenza della tabella BigQuery

Tabella BigQuery con etichette mancanti

Tag risorsa mancanti nella tabella BigQuery

Partizione della tabella BigQuery

Ridondanza del cluster Bigtable

Replica dell'istanza Bigtable abilitata

Routing multi-cluster del profilo Bigtable

Ridondanza del pool Cloudbuild

Logging delle policy DNS

DNS zone public dnssec

Logging pubblico della zona DNS

Cloudfunctions ingress gclb

Numero minimo di istanze di funzione

Funzioni multiregionali del progetto

Livello di protezione della chiave di crittografia Cloud KMS hsm

Software di livello di protezione della chiave di crittografia Cloud KMS

Rotazione simmetrica della chiave di crittografia Cloud KMS

Cloud KMS ekm connection redundant resolvers

Cartella della chiave Cloud KMS esposta pubblicamente

Organizzazione della chiave Cloud KMS esposta pubblicamente

Progetto chiave Cloud KMS esposto pubblicamente

Chiave Cloud KMS esposta pubblicamente

Cloud KMS key purpose symmetric

Raccolta di chiavi Cloud KMS esposta pubblicamente

Rotazione della chiave Cloud KMS disabilitata

Rotazione della chiave Cloud KMS abilitata per 1 anno

Keyring multiregionale Cloud KMS

Ruolo Proprietario Cloud KMS

Livello di rete della regola di forwarding Compute

Calcola la distribuzione delle zone del servizio di backend regionale

Distribuzione del backend globale

Controllo di integrità del pool di destinazione abilitato

Sink di log

Multi-regione del bucket di logging

Sink di logging non aggregato a livello di cartella o organizzazione

Backoff subesponenziale di Pub/Sub

Argomento messaggi non recapitabili della sottoscrizione Pub/Sub configurato

Pub/Sub subscription deadletter

Criterio di ripetizione della sottoscrizione Pub/Sub configurato

Conservazione dei messaggi dell'argomento Pub/Sub

Policy Cloud Storage per i messaggi dell'argomento Pub/Sub

Schema dell'argomento Pub/Sub

Il router di Compute annuncia tutte le subnet

Compute router bfd enabled

Compute router bgp keepalive

Ridondanza peer BGP del router Compute

Router multiregionali del progetto

Ridondanza dei router regionali del progetto

Esegui l'ingresso del bilanciatore del carico globale

Esegui il numero minimo di istanze di servizio

Esegui il servizio senza traffico in uscita VPC

Cloudsql backup multi region

Cloudsql instance ca cert invalid

Protezione da eliminazione delle istanze Cloud SQL

Periodo di manutenzione dell'istanza Cloud SQL

Cloudsql instance pitr disabled

Cloudsql instance Cloud Storage autoresize

Cloudsql mysql local infile enabled

Cloudsql mysql skip show database

Cloudsql mysql slow query log disabled

Cloudsql no auto backup

Policy delle password CloudSQL non abilitata