Declaración de responsabilidad compartida en materia de seguridad

Para ejecutar cargas de trabajo críticas para la empresa en Cloud Build, es necesario que varias partes asuman diferentes responsabilidades. El modelo de responsabilidad compartida que se describe en este documento aclara que Google Cloud es responsable de la seguridad del servicio Cloud Build y de su infraestructura subyacente, mientras que tú, el cliente, eres responsable de la seguridad del uso de Cloud Build, incluidas tus compilaciones, configuraciones y datos específicos, así como las imágenes de contenedor que ejecutes con Cloud Build.

Aunque no es una lista exhaustiva, en esta página se indican las responsabilidades de Google Cloud y del cliente.

Responsabilidades de Google Cloud

  • Protección de la infraestructura subyacente, incluido el hardware, el firmware, el kernel, el sistema operativo, el almacenamiento y la red.

    En otros, se incluyen problemas relacionados con lo siguiente:

    • Protección de la seguridad física de los centros de datos, cifrado predeterminado de los datos en reposo y en tránsito, y componentes de red seguros.
    • Proporcionar protección de red mediante Controles de Servicio de VPC.
    • Seguir prácticas de desarrollo de software seguras.
    • Gestionar y proteger el plano de control del servicio Cloud Build (API, backend, programadores, etc.), lo que incluye aplicar parches y reforzar la seguridad.
    • Proporcionar entornos de compilación efímeros y aislados para cada invocación de compilación.

  • Proporcionar integraciones de Google Cloud para Gestión de Identidades y Accesos (IAM), Registros de auditoría de Cloud, Cloud Key Management Service y otros.

  • Restringir el acceso administrativo de Google Cloud a los recursos de los clientes para ofrecer asistencia contractual, con Transparencia de acceso y Aprobación de acceso, así como registrar todos los accesos.

  • Generar procedencia de SLSA auténtica cuando se configure para ello.

Responsabilidades del Cliente

  • Proteger el código fuente de tu aplicación, los archivos de configuración de compilación y todas las imágenes de contenedor que se usen en tus compilaciones.

    Esto incluye evaluar la idoneidad de las imágenes para tus estándares de seguridad, aprovechar las versiones de imagen compatibles más recientes y seguir las prácticas recomendadas para los componentes de código abierto y la configuración general de la compilación.

    En los casos en los que se requiera el máximo nivel de seguridad, puedes usar tus propias imágenes reforzadas para ejecutar compilaciones.

  • Asegurarse de que los tokens de integración de terceros (como los que se proporcionan para establecer un enlace de repositorio) estén protegidos adecuadamente.

  • Configurar IAM para todos los usuarios, grupos y cuentas de servicio que interactúen con Cloud Build, de acuerdo con el principio del mínimo privilegio.

    Te recomendamos que uses cuentas de servicio específicas y definidas por el usuario para las compilaciones en lugar de las predeterminadas.

    Asegúrate de que tus secuencias de comandos de compilación hagan un uso adecuado de las credenciales de compilación, los tokens de integración de terceros y los secretos que se ponen a disposición de la compilación, y protégete contra la exfiltración.

  • Habilitar y tomar medidas en función del análisis de vulnerabilidades de los artefactos de compilación (por ejemplo, mediante Artifact Analysis), generar datos de procedencia de la compilación e implementar políticas de despliegue (por ejemplo, mediante la autorización binaria) para asegurarse de que solo se desplieguen imágenes autorizadas y verificadas.

  • Proporcionar a Google detalles sobre el entorno cuando se soliciten para solucionar problemas.

Siguientes pasos