Konten ini terakhir diperbarui pada Desember 2023, dan merepresentasikan status quo pada saat konten tersebut ditulis. Kebijakan dan sistem keamanan Google dapat berubah di masa mendatang, seiring upaya kami untuk terus meningkatkan perlindungan bagi pelanggan.
Dokumen ini menjelaskan praktik terbaik yang memungkinkan Anda men-deploy sekumpulan dasar resource di Google Cloud. Fondasi cloud adalah dasar dari resource, konfigurasi, dan kemampuan yang memungkinkan perusahaan menggunakan Google Cloud untuk kebutuhan bisnis mereka. Fondasi yang dirancang dengan baik memungkinkan tata kelola, kontrol keamanan, skala, visibilitas, dan akses yang konsisten ke layanan bersama di semua workload di lingkungan Google Cloud Anda. Setelah men-deploy kontrol dan tata kelola yang dijelaskan dalam dokumen ini, Anda dapat men-deploy workload ke Google Cloud.
Blueprint dasar-dasar perusahaan (sebelumnya dikenal sebagai blueprint fondasi keamanan) ditujukan untuk arsitek, praktisi keamanan, dan tim engineering platform yang bertanggung jawab untuk merancang lingkungan yang siap digunakan perusahaan di Google Cloud. Cetak biru ini terdiri dari:
- Repositori GitHub terraform-example-foundation yang berisi aset Terraform yang dapat di-deploy.
- Panduan yang menjelaskan arsitektur, desain, dan kontrol yang Anda terapkan dengan cetak biru (dokumen ini).
Anda dapat menggunakan panduan ini dengan salah satu dari dua cara berikut:
- Untuk membuat fondasi lengkap berdasarkan praktik terbaik Google. Anda dapat menerapkan semua rekomendasi dari panduan ini sebagai titik awal, lalu menyesuaikan lingkungannya untuk memenuhi persyaratan khusus bisnis Anda.
- Untuk meninjau lingkungan yang ada di Google Cloud. Anda dapat membandingkan komponen desain tertentu dengan praktik terbaik yang direkomendasikan Google.
Kasus penggunaan yang didukung
Blueprint fondasi perusahaan menyediakan lapisan dasar resource dan konfigurasi yang membantu mengaktifkan semua jenis workload di Google Cloud. Baik Anda memigrasikan workload komputasi yang ada ke Google Cloud, membangun aplikasi web dalam container, atau membuat big data dan workload machine learning, blueprint dasar perusahaan akan membantu Anda membangun lingkungan untuk mendukung workload perusahaan dalam skala besar.
Setelah men-deploy blueprint dasar perusahaan, Anda dapat men-deploy workload secara langsung atau men-deploy blueprint tambahan untuk mendukung workload kompleks yang memerlukan kemampuan tambahan.
Model keamanan pertahanan mendalam
Layanan Google Cloud mendapatkan manfaat dari desain keamanan infrastruktur Google yang mendasarinya. Anda bertanggung jawab untuk mendesain keamanan ke dalam sistem yang Anda bangun di Google Cloud. Blueprint fondasi perusahaan membantu Anda menerapkan model keamanan defense in depth untuk layanan dan workload Google Cloud.
Diagram berikut menunjukkan model keamanan defense in depth untuk organisasi Google Cloud Anda yang menggabungkan kontrol arsitektur, kontrol kebijakan, dan kontrol detektif.
Diagram menjelaskan kontrol berikut:
- Kontrol kebijakan adalah batasan terprogram yang menerapkan konfigurasi resource yang dapat diterima dan mencegah konfigurasi yang berisiko. Blueprint menggunakan kombinasi kontrol kebijakan, termasuk validasi infrastruktur sebagai kode (IaC) di pipeline dan batasan kebijakan organisasi Anda.
- Kontrol arsitektur adalah konfigurasi resource Google Cloud seperti jaringan dan hierarki resource. Arsitektur cetak biru didasarkan pada praktik terbaik keamanan.
- Kontrol detektif memungkinkan Anda mendeteksi perilaku anomali atau berbahaya dalam organisasi. Blueprint ini menggunakan fitur platform seperti Security Command Center, terintegrasi dengan kontrol detektif yang sudah ada dan alur kerja seperti pusat operasi keamanan (SOC), serta menyediakan kemampuan untuk menerapkan kontrol detektif kustom.
Keputusan penting
Bagian ini merangkum keputusan arsitektur tingkat tinggi dari blueprint.
Diagram ini menjelaskan kontribusi layanan Google Cloud terhadap keputusan arsitektur utama:
- Cloud Build: Resource infrastruktur dikelola menggunakan model GitOps. Declarative IaC ditulis dalam Terraform dan dikelola dalam sistem kontrol versi untuk ditinjau dan disetujui, serta resource di-deploy menggunakan Cloud Build sebagai alat otomatisasi continuous integration dan continuous deployment (CI/CD). Pipeline ini juga menerapkan pemeriksaan kebijakan sebagai kode untuk memvalidasi bahwa resource memenuhi konfigurasi yang diharapkan sebelum deployment.
- Cloud Identity: Keanggotaan pengguna dan grup disinkronkan dari penyedia identitas Anda yang sudah ada. Kontrol untuk pengelolaan siklus proses akun pengguna dan single sign-on (SSO) mengandalkan kontrol dan proses penyedia identitas Anda yang sudah ada.
- Identity and Access Management (IAM): Mengizinkan kebijakan (sebelumnya dikenal sebagai kebijakan IAM) mengizinkan akses ke resource dan diterapkan ke grup berdasarkan fungsi tugas. Pengguna ditambahkan ke grup yang sesuai untuk menerima akses hanya lihat ke resource dasar. Semua perubahan pada resource yayasan di-deploy melalui pipeline CI/CD yang menggunakan identitas akun layanan dengan hak istimewa.
- Resource Manager: Semua resource dikelola dalam satu organisasi, dengan hierarki resource folder yang mengatur project berdasarkan lingkungan. Project diberi label dengan metadata untuk tata kelola, termasuk atribusi biaya.
- Networking: Topologi jaringan menggunakan VPC Bersama guna menyediakan resource jaringan untuk workload di beberapa region dan zona, dipisahkan oleh lingkungan, dan dikelola secara terpusat. Semua jalur jaringan antara host lokal, resource Google Cloud di jaringan VPC, dan layanan Google Cloud bersifat pribadi. Traffic keluar atau traffic masuk dari internet publik tidak diizinkan secara default.
- Cloud Logging: Gabungan sink log dikonfigurasi untuk mengumpulkan log yang relevan dengan keamanan dan pengauditan ke dalam project terpusat untuk retensi, analisis, dan ekspor jangka panjang ke sistem eksternal.
- Cloud Monitoring: Project cakupan Monitoring dikonfigurasi untuk melihat metrik performa aplikasi di beberapa project di satu tempat.
- Layanan Kebijakan Organisasi: Batasan kebijakan organisasi dikonfigurasi untuk mencegah berbagai konfigurasi berisiko tinggi.
- Secret Manager: Project terpusat dibuat untuk tim yang bertanggung jawab mengelola dan mengaudit penggunaan secret aplikasi yang sensitif guna membantu memenuhi persyaratan kepatuhan.
- Cloud Key Management Service (Cloud KMS): Project terpusat dibuat untuk tim yang bertanggung jawab mengelola dan mengaudit kunci enkripsi guna membantu memenuhi persyaratan kepatuhan.
- Security Command Center: Kemampuan deteksi dan pemantauan ancaman disediakan menggunakan kombinasi kontrol keamanan bawaan dari Security Command Center dan solusi kustom yang memungkinkan Anda mendeteksi dan merespons peristiwa keamanan.
Untuk mengetahui alternatif selain keputusan penting ini, lihat alternatif.
Langkah selanjutnya
- Baca autentikasi dan otorisasi (dokumen berikutnya dalam seri ini).