Este documento descreve as práticas recomendadas que lhe permitem implementar um conjunto fundamental de recursos no Google Cloud. Uma base na nuvem é a base de recursos, configurações e capacidades que permitem às empresas adotar Google Cloud para as necessidades da sua empresa. Uma base bem concebida permite uma governação consistente, controlos de segurança, escalabilidade, visibilidade e acesso a serviços partilhados em todas as cargas de trabalho no seu ambiente Google Cloud . Depois de implementar os controlos e a governação descritos neste documento, pode implementar cargas de trabalho no Google Cloud.
O projeto de base empresarial (anteriormente conhecido como o projeto de base de segurança) destina-se a arquitetos, profissionais de segurança e equipas de engenharia de plataformas responsáveis pela conceção de um ambiente pronto para a empresa na Google Cloud. Este plano detalhado consiste no seguinte:
- Um repositório do GitHub de exemplo de base do Terraform que contém os recursos do Terraform implementáveis.
- Um guia que descreve a arquitetura, o design e os controlos que implementa com o plano (este documento).
Pode usar este guia de duas formas:
- Para criar uma base completa com base nas práticas recomendadas da Google. Pode implementar todas as recomendações deste guia como ponto de partida e, em seguida, personalizar o ambiente para satisfazer os requisitos específicos da sua empresa.
- Para rever um ambiente existente no Google Cloud. Pode comparar componentes específicos do seu design com as práticas recomendadas da Google.
Exemplos de utilização suportados
O plano de base empresarial oferece uma camada de base de recursos e configurações que ajudam a ativar todos os tipos de cargas de trabalho no Google Cloud. Quer esteja a migrar cargas de trabalho de computação existentes para o Google Cloud, criar aplicações Web contentorizadas ou criar cargas de trabalho de big data e aprendizagem automática, o projeto de base empresarial ajuda a criar o seu ambiente para suportar cargas de trabalho empresariais em grande escala.
Depois de implementar o esquema empresarial básico, pode implementar cargas de trabalho diretamente ou implementar esquemas adicionais para suportar cargas de trabalho complexas que requerem capacidades adicionais.
Um modelo de segurança de defesa em profundidade
Google Cloud Os serviços beneficiam do design de segurança da infraestrutura da Google subjacente. É da sua responsabilidade conceber a segurança nos sistemas que cria com base na plataforma Google Cloud. O modelo de base empresarial ajuda a implementar um modelo de segurança de defesa em profundidade para os seus Google Cloud serviços e cargas de trabalho.
O diagrama seguinte mostra um modelo de segurança de defesa em profundidade para a sua organização que combina controlos de arquitetura, controlos de políticas e controlos de deteção.Google Cloud
O diagrama descreve os seguintes controlos:
- Os controlos de políticas são restrições programáticas que aplicam configurações de recursos aceitáveis e evitam configurações arriscadas. O esquema usa uma combinação de controlos de políticas, incluindo a validação de infraestrutura como código (IaC) no seu pipeline e restrições de políticas da organização.
- Os controlos de arquitetura são a configuração de Google Cloud recursos como redes e hierarquia de recursos. A arquitetura do projeto baseia-se nas práticas recomendadas de segurança.
- Os controlos de deteção permitem-lhe detetar comportamentos anómalos ou maliciosos na organização. O modelo usa funcionalidades da plataforma, como o Security Command Center, integra-se com os seus controlos de deteção e fluxos de trabalho existentes, como um centro de operações de segurança (SOC), e oferece capacidades para aplicar controlos de deteção personalizados.
Principais decisões
Esta secção resume as decisões de arquitetura de alto nível do projeto.
O diagrama descreve como os Google Cloud serviços contribuem para as principais decisões de arquitetura:
- Cloud Build: os recursos de infraestrutura são geridos através de um modelo GitOps. A IaC declarativa é escrita em Terraform e gerida num sistema de controlo de versões para revisão e aprovação, e os recursos são implementados através do Cloud Build como ferramenta de automatização de integração contínua e implementação contínua (CI/CD). O pipeline também aplica verificações de políticas como código para validar se os recursos cumprem as configurações esperadas antes da implementação.
- Cloud Identity: os utilizadores e a associação a grupos são sincronizados a partir do seu fornecedor de identidade existente. Os controlos para a gestão do ciclo de vida das contas de utilizador e o Início de sessão único (SSO) baseiam-se nos controlos e processos existentes do seu fornecedor de identidade.
- Gestão de identidade e de acesso (IAM): as políticas de autorização (anteriormente conhecidas como políticas IAM) permitem o acesso aos recursos e são aplicadas a grupos com base na função profissional. Os utilizadores são adicionados aos grupos adequados para receberem acesso só de visualização aos recursos básicos. Todas as alterações aos recursos fundamentais são implementadas através do pipeline de CI/CD que usa identidades de contas de serviço privilegiadas.
- Resource Manager: todos os recursos são geridos numa única organização, com uma hierarquia de recursos de pastas que organiza os projetos por ambientes. Os projetos são etiquetados com metadados para a governação, incluindo a atribuição de custos.
- Redes: as topologias de rede usam a VPC partilhada para fornecer recursos de rede para cargas de trabalho em várias regiões e zonas, separadas por ambiente e geridas centralmente. Todos os caminhos de rede entre anfitriões no local, Google Cloud recursos nas redes da VPC e Google Cloud serviços são privados. Por predefinição, não é permitido tráfego de saída nem tráfego de entrada da Internet pública.
- Cloud Logging: os destinos de registos agregados são configurados para recolher registos relevantes para segurança e auditoria num projeto centralizado para retenção, análise e exportação a longo prazo para sistemas externos.
- Serviço de políticas da organização: as restrições de políticas da organização são configuradas para impedir várias configurações de alto risco.
- Secret Manager: são criados projetos centralizados para uma equipa responsável pela gestão e auditoria da utilização de segredos de aplicações confidenciais para ajudar a cumprir os requisitos de conformidade.
- Cloud Key Management Service (Cloud KMS): os projetos centralizados são criados para uma equipa responsável pela gestão e auditoria das chaves de encriptação para ajudar a cumprir os requisitos de conformidade.
- Security Command Center: as capacidades de deteção e monitorização de ameaças são fornecidas através de uma combinação de controlos de segurança incorporados do Security Command Center e soluções personalizadas que lhe permitem detetar e responder a eventos de segurança.
Para ver alternativas a estas decisões importantes, consulte as alternativas.
O que se segue?
- Leia acerca da autenticação e autorização (próximo documento desta série).