Der Inhalt dieses Dokuments wurde im Dezember 2023 zum letzten Mal aktualisiert und stellt den Stand bei der Erstellung dar. Die Sicherheitsrichtlinien und -systeme von Google Cloud können sich aber in Zukunft ändern, da wir den Schutz unserer Kundinnen und Kunden kontinuierlich verbessern.
In diesem Dokument werden die Best Practices beschrieben, mit denen Sie ein grundlegendes Ressourcenset in Google Cloud bereitstellen können. Eine Cloud-Grundlage ist die Basis für Ressourcen, Konfigurationen und Funktionen, mit denen Unternehmen Google Cloud für ihre Geschäftsanforderungen nutzen können. Eine gut konzipierte Grundlage ermöglicht konsistente Governance, Sicherheitskontrollen, Skalierung, Sichtbarkeit und Zugriff auf freigegebene Dienste für alle Arbeitslasten in Ihrer Google Cloud-Umgebung. Nachdem Sie die in diesem Dokument beschriebenen Steuerungen und Governance bereitgestellt haben, können Sie Arbeitslasten in Google Cloud bereitstellen.
Der Enterprise Foundations-Blueprint (ehemals Blueprint zu Sicherheitsgrundlagen) richtet sich an Architekten, Sicherheitsexperten und Plattformentwicklerteams, die für das Design einer für Unternehmen geeigneten Umgebung in Google Cloud verantwortlich sind. Dieser Blueprint enthält Folgendes:
- Ein GitHub-Repository "terraform-example-foundation", das die bereitstellbaren Terraform-Assets enthält.
- Eine Anleitung, die die Architektur, das Design und die Steuerelemente beschreibt, die Sie mit dem Blueprint implementieren (dieses Dokument).
Sie haben zwei Möglichkeiten zur Verwendung dieser Anleitung:
- Zum Erstellen einer vollständigen Grundlage basierend auf den Best Practices von Google. Sie können alle Empfehlungen aus diesem Leitfaden als Ausgangspunkt bereitstellen und dann die Umgebung an die spezifischen Anforderungen Ihres Unternehmens anpassen.
- So prüfen Sie eine vorhandene Umgebung in Google Cloud: Sie können bestimmte Komponenten Ihres Designs mit den von Google empfohlenen Best Practices vergleichen.
Unterstützte Anwendungsfälle
Der Blueprint zur Unternehmensgrundlage bietet eine grundlegende Ebene von Ressourcen und Konfigurationen, mit denen Sie alle Arten von Arbeitslasten in Google Cloud aktivieren können. Egal, ob Sie vorhandene Computing-Arbeitslasten zu Google Cloud migrieren, Container-Webanwendungen erstellen oder Big-Data- und ML-Arbeitslasten erstellen – mit dem Blueprint für Unternehmensgrundlagen können Sie Ihre Umgebung zur Unterstützung von Unternehmensarbeitslasten im großen Maßstab erstellen.
Nachdem Sie den Blueprint zur Unternehmensgrundlage bereitgestellt haben, können Sie Arbeitslasten direkt bereitstellen oder zusätzliche Blueprints bereitstellen, um komplexe Arbeitslasten zu unterstützen, die zusätzliche Funktionen erfordern.
Ein Defense-in-Depth-Sicherheitsmodell
Google Cloud-Dienste profitieren vom zugrunde liegenden Sicherheitsdesign der Infrastruktur von Google. Es liegt in Ihrer Verantwortung, Sicherheit in die Systeme zu integrieren, die Sie auf Google Cloud aufbauen. Mit dem Blueprint zur Unternehmensgrundlage können Sie ein Defense-in-Depth-Sicherheitsmodell für Ihre Google Cloud-Dienste und -Arbeitslasten implementieren.
Das folgende Diagramm zeigt ein gestaffeltes Sicherheitsmodell für Ihre Google Cloud-Organisation, das Architekturkontrollen, Richtlinienkontrollen und Aufdeckungskontrollen kombiniert.
Das Diagramm beschreibt die folgenden Steuerelemente:
- Richtliniensteuerungen sind programmatische Einschränkungen, die akzeptable Ressourcenkonfigurationen erzwingen und riskante Konfigurationen verhindern. Der Blueprint verwendet eine Kombination aus Richtlinienkontrollen, einschließlich der IaC-Validierung (Infrastructure as Code) in den Pipeline- und Organisationsrichtlinieneinschränkungen.
- Architekturkontrollen sind die Konfiguration von Google Cloud-Ressourcen wie Netzwerke und Ressourcenhierarchie. Die Blueprint-Architektur basiert auf Best Practices für die Sicherheit.
- Mit Aufdeckungskontrollen können Sie ungewöhnliches oder böswilliges Verhalten innerhalb der Organisation erkennen. Der Blueprint verwendet Plattformfeatures wie Security Command Center, lässt sich in Ihre vorhandenen Aufdeckungskontrollen und Workflows wie ein Security Operations Center (SOC) einbinden und bietet Funktionen zum Erzwingen benutzerdefinierter Aufdeckungskontrollen.
Wichtige Entscheidungen
In diesem Abschnitt werden die allgemeinen Architekturentscheidungen des Blueprints zusammengefasst.
Das Diagramm zeigt, wie Google Cloud-Dienste zu wichtigen Architekturentscheidungen beitragen:
- Cloud Build: Infrastrukturressourcen werden über ein GitOps-Modell verwaltet. Ein deklarativer IaC wird in Terraform geschrieben und in einem Versionsverwaltungssystem zur Überprüfung und Genehmigung verwaltet. Ressourcen werden mit Cloud Build als CI/CD-Automatisierungstool (Continuous Integration and Continuous Deployment) bereitgestellt. Die Pipeline erzwingt auch Richtlinien-als-Code-Prüfungen, um zu prüfen, ob Ressourcen vor der Bereitstellung die erwarteten Konfigurationen erfüllen.
- Cloud Identity: Nutzer und Gruppenmitgliedschaft werden von Ihrem vorhandenen Identitätsanbieter synchronisiert. Die Steuerelemente für die Lebenszyklusverwaltung von Nutzerkonten und die Einmalanmeldung (SSO) basieren auf den vorhandenen Steuerelementen und Prozessen Ihres Identitätsanbieters.
- Identity and Access Management, IAM: Zulassungsrichtlinien (früher IAM-Richtlinien) ermöglichen den Zugriff auf Ressourcen und werden basierend auf der Jobfunktion auf Gruppen angewendet. Nutzer werden den entsprechenden Gruppen hinzugefügt, um nur Lesezugriff auf Grundlagenressourcen zu erhalten. Alle Änderungen an Grundlagenressourcen werden über die CI/CD-Pipeline bereitgestellt, die privilegierte Dienstkontoidentitäten verwendet.
- Resource Manager: Alle Ressourcen werden unter einer einzelnen Organisation verwaltet, mit einer Ressourcenhierarchie von Ordnern, die Projekte nach Umgebungen organisieren. Projekte sind mit Metadaten für Governance verknüpft, einschließlich der Kostenzuordnung.
- Netzwerk: Netzwerktopologien verwenden eine freigegebene VPC, um Netzwerkressourcen für Arbeitslasten in mehreren Regionen und Zonen bereitzustellen, getrennt nach Umgebung und zentral verwaltet. Alle Netzwerkpfade zwischen lokalen Hosts, Google Cloud-Ressourcen in den VPC-Netzwerken und Google Cloud-Diensten sind privat. Standardmäßig ist kein ausgehender Traffic vom oder eingehender Traffic aus dem öffentlichen Internet zulässig.
- Cloud Logging: Aggregierte Logsenken sind so konfiguriert, dass Logs, die für Sicherheit und Auditing relevant sind, zur langfristigen Aufbewahrung, Analyse und zum Export in externe Systeme in einem zentralen Projekt erfasst werden.
- Cloud Monitoring: Scoping-Projekte sind so konfiguriert, dass die Messwerte zur Anwendungsleistung für mehrere Projekte an einem Ort angezeigt werden.
- Organisationsrichtliniendienst: Einschränkungen für Organisationsrichtlinien sind so konfiguriert, dass verschiedene risikoreiche Konfigurationen verhindert werden.
- Secret Manager: Zentralisierte Projekte werden für ein Team erstellt, das für die Verwaltung und Prüfung der Verwendung vertraulicher Anwendungs-Secrets zuständig ist, um die Compliance-Anforderungen zu erfüllen.
- Cloud Key Management Service (Cloud KMS): Zentralisierte Projekte werden für ein Team erstellt, das für die Verwaltung und Prüfung von Verschlüsselungsschlüsseln zuständig ist, um die Compliance-Anforderungen zu erfüllen.
- Security Command Center: Bedrohungserkennungs- und Monitoring-Funktionen werden mit einer Kombination aus integrierten Sicherheitskontrollen aus dem Security Command Center und benutzerdefinierten Lösungen bereitgestellt, mit denen Sie Sicherheitsereignisse erkennen und darauf reagieren können.
Alternativen zu diesen Schlüsselentscheidungen finden Sie unter Alternativen.
Nächste Schritte
- Authentifizierung und Autorisierung (nächstes Dokument in dieser Reihe).