Ce contenu a été mis à jour pour la dernière fois en Décembre 2023, et correspond à l'état des connaissances à sa date de rédaction. Les règles et les systèmes de sécurité Google peuvent changer par la suite, car nous améliorons continuellement la protection de nos clients.
Ce document décrit les bonnes pratiques qui vous permettent de déployer un ensemble de ressources de base dans Google Cloud. Une base cloud repose sur une base de ressources, de configurations et de fonctionnalités qui permet aux entreprises d'adopter Google Cloud pour répondre à leurs besoins commerciaux. Une base bien conçue permet une gouvernance, des contrôles de sécurité, une évolutivité, une visibilité et un accès cohérents à tous les services partagés de toutes les charges de travail de votre environnement Google Cloud. Après avoir déployé les contrôles et la gouvernance décrits dans ce document, vous pouvez déployer des charges de travail sur Google Cloud.
Le plan de base de l'entreprise (anciennement appelé plan de base de sécurité) est destiné aux architectes, aux professionnels de la sécurité et aux équipes d'ingénieurs chargés de la conception d'un environnement adapté pour les entreprises sur Google Cloud. Ce plan comprend les éléments suivants:
- Un dépôt GitHub Terraform-example-Foundation contenant les éléments Terraform déployables.
- Un guide décrivant l'architecture, la conception et les contrôles que vous mettez en œuvre avec le plan (ce document).
Vous pouvez utiliser ce guide de deux manières:
- Créer une base complète basée sur les bonnes pratiques de Google. Vous pouvez déployer toutes les recommandations de ce guide comme point de départ, puis personnaliser l'environnement pour répondre aux exigences spécifiques de votre entreprise.
- Pour examiner un environnement existant sur Google Cloud, procédez comme suit : Vous pouvez comparer des composants spécifiques de votre conception aux bonnes pratiques recommandées par Google.
Cas d'utilisation compatibles
Le plan de base de l'entreprise fournit une couche de base de ressources et de configurations permettant d'activer tous les types de charges de travail sur Google Cloud. Que vous souhaitiez migrer des charges de travail de calcul existantes vers Google Cloud, créer des applications Web conteneurisées ou créer des charges de travail de big data et de machine learning, le plan de base de l'entreprise vous aide à créer votre environnement pour gérer les charges de travail d'entreprise à grande échelle.
Une fois le plan de base de l'entreprise déployé, vous pouvez déployer directement les charges de travail ou déployer des plans supplémentaires pour gérer des charges de travail complexes nécessitant des fonctionnalités supplémentaires.
Modèle de sécurité de défense en profondeur
Les services Google Cloud bénéficient de la conception de sécurité de l'infrastructure Google sous-jacente. Il vous incombe de concevoir la sécurité dans les systèmes que vous créez sur Google Cloud. Le plan de base de l'entreprise vous aide à mettre en œuvre un modèle de défense en profondeur pour vos services et charges de travail Google Cloud.
Le schéma suivant illustre un modèle de sécurité de défense en profondeur pour votre organisation Google Cloud qui combine des contrôles d'architecture, des contrôles de règles et des contrôles de détection.
Le schéma décrit les commandes suivantes:
- Les contrôles de règles sont des contraintes automatisées qui appliquent des configurations de ressources acceptables et empêchent les configurations risquées. Le plan utilise une combinaison de contrôles de règles, tels que la validation IaC (Infrastructure as Code) dans votre pipeline et les contraintes de vos règles d'administration.
- Les contrôles d'architecture sont la configuration des ressources Google Cloud telles que les réseaux et la hiérarchie des ressources. L'architecture du plan est basée sur les bonnes pratiques de sécurité.
- Les contrôles de détection vous permettent de détecter les anomalies ou les comportements malveillants au sein de l'organisation. Le plan utilise des fonctionnalités de la plate-forme telles que Security Command Center, s'intègre à vos contrôles de détection et workflows existants, tels qu'un centre d'opérations de sécurité (SOC), et fournit des fonctionnalités permettant d'appliquer des contrôles de détection personnalisés.
Principales décisions à prendre
Cette section récapitule les décisions générales relatives à l'architecture du plan.
Le schéma décrit la façon dont les services Google Cloud contribuent aux décisions architecturales clés:
- Cloud Build: les ressources d'infrastructure sont gérées à l'aide d'un modèle GitOps. L'IaC déclaratif est écrit dans Terraform et géré dans un système de contrôle des versions pour examen et approbation. Les ressources sont déployées à l'aide de Cloud Build en tant qu'outil d'intégration et de déploiement continus (CI/CD). Le pipeline applique également des contrôles de type "règle en tant que code" pour vérifier que les ressources répondent aux configurations attendues avant le déploiement.
- Cloud Identity: les utilisateurs et les membres des groupes sont synchronisés à partir de votre fournisseur d'identité existant. Les contrôles liés à la gestion du cycle de vie des comptes utilisateur et à l'authentification unique (SSO) reposent sur les contrôles et processus existants de votre fournisseur d'identité.
- Identity and Access Management (IAM) : les stratégies d'autorisation (anciennement stratégies IAM) permettent l'accès aux ressources et sont appliquées aux groupes en fonction de la fonction. Les utilisateurs sont ajoutés aux groupes appropriés pour recevoir un accès en lecture seule aux ressources de base. Toutes les modifications apportées aux ressources de base sont déployées via le pipeline CI/CD qui utilise des identités de compte de service privilégiées.
- Resource Manager: toutes les ressources sont gérées sous une organisation unique avec une hiérarchie de ressources qui organise les projets par environnement. Les projets sont associés à des métadonnées de gouvernance, y compris à l'attribution des coûts.
- Mise en réseau: les topologies de réseaux utilisent un VPC partagé pour fournir des ressources réseau aux charges de travail dans plusieurs régions et zones, séparées par environnement et gérées de manière centralisée. Tous les chemins réseau entre les hôtes sur site, les ressources Google Cloud dans les réseaux VPC et les services Google Cloud sont privés. Aucun trafic sortant vers le réseau Internet public ou entrant depuis le réseau Internet public n'est autorisé par défaut.
- Cloud Logging: les récepteurs de journaux agrégés sont configurés pour collecter les journaux pertinents à la sécurité et aux audits dans un projet centralisé pour la conservation, l'analyse et l'exportation à long terme vers des systèmes externes.
- Cloud Monitoring: les projets de champ d'application de Monitoring sont configurés pour afficher les métriques de performances des applications de plusieurs projets au même endroit.
- Service de règles d'administration: les contraintes de règles d'administration sont configurées pour empêcher diverses configurations à haut risque.
- Secret Manager: les projets centralisés sont créés pour une équipe chargée de la gestion et de l'audit de l'utilisation des secrets d'application sensibles afin de répondre aux exigences de conformité.
- Cloud Key Management Service (Cloud KMS) : les projets centralisés sont créés pour une équipe chargée de la gestion et de l'audit des clés de chiffrement afin de répondre aux exigences de conformité.
- Security Command Center: des fonctionnalités de détection et de surveillance des menaces sont fournies à l'aide d'une combinaison de contrôles de sécurité intégrés dans Security Command Center et de solutions personnalisées qui vous permettent de détecter les événements de sécurité et d'y répondre.
Pour trouver des alternatives à ces décisions clés, consultez la section Alternatives.
Étapes suivantes
- Découvrez l'authentification et l'autorisation (document suivant de cette série).