Pernyataan tanggung jawab bersama untuk keamanan

Menjalankan workload penting bisnis di Cloud Build mengharuskan beberapa pihak mengemban tanggung jawab yang berbeda-beda. Model tanggung jawab bersama yang dijelaskan dalam dokumen ini menjelaskan bahwa Google Cloud bertanggung jawab atas keamanan layanan Cloud Build itu sendiri dan infrastruktur dasarnya, sementara Anda, sebagai pelanggan, bertanggung jawab atas keamanan dalam cara Cloud Build digunakan, termasuk build, konfigurasi, data, dan image container spesifik yang Anda jalankan menggunakan Cloud Build.

Meskipun bukan daftar lengkap, halaman ini mencantumkan tanggung jawab masing-masing Google Cloud dan pelanggan.

Tanggung Jawab Google Cloud

  • Melindungi infrastruktur dasar, termasuk hardware, firmware, kernel, sistem operasi, penyimpanan, dan jaringan.

    Ini mencakup hal-hal berikut:

    • Melindungi keamanan fisik pusat data, enkripsi default data dalam penyimpanan dan dalam pengiriman, serta komponen jaringan yang aman.
    • Menyediakan perlindungan jaringan menggunakan Kontrol Layanan VPC.
    • Mengikuti praktik pengembangan software yang aman.
    • Mengelola dan mengamankan bidang kontrol layanan Cloud Build (API, backend, scheduler, dll.), termasuk patching dan penguatan.
    • Menyediakan lingkungan build sementara dan terisolasi untuk setiap pemanggilan build.

  • Menyediakan integrasi Google Cloud untuk Identity and Access Management (IAM), Cloud Audit Logs, Cloud Key Management Service, dan lainnya.

  • Membatasi akses administratif Google Cloud ke resource pelanggan untuk tujuan dukungan kontraktual, dengan Transparansi Akses dan Persetujuan Akses, serta mencatat semua akses tersebut.

  • Menghasilkan provenance SLSA yang autentik, jika dikonfigurasi untuk melakukannya.

Tanggung Jawab Pelanggan

  • Mengamankan kode sumber aplikasi, file konfigurasi build, dan semua image container yang digunakan dalam build Anda.

    Hal ini mencakup mengevaluasi kesesuaian gambar dengan standar keamanan Anda, memanfaatkan versi gambar terbaru yang didukung, dan mengikuti praktik terbaik untuk komponen open source dan konfigurasi build secara keseluruhan.

    Untuk skenario yang memerlukan tingkat keamanan tertinggi, pertimbangkan untuk menggunakan image yang telah di-hardening milik Anda sendiri untuk menjalankan build.

  • Memastikan semua token integrasi pihak ketiga (seperti yang diberikan untuk membuat link repositori) dilindungi dengan tepat.

  • Mengonfigurasi IAM untuk semua pengguna, grup, dan akun layanan yang berinteraksi dengan Cloud Build, sesuai dengan prinsip hak istimewa terendah.

    Sebaiknya gunakan akun layanan khusus yang ditentukan pengguna untuk build, bukan akun layanan default.

    Pastikan skrip build Anda menggunakan kredensial build, token integrasi pihak ketiga, dan rahasia yang disediakan dengan tepat untuk build, serta lindungi dari eksfiltrasi.

  • Mengaktifkan dan menindaklanjuti pemindaian kerentanan untuk artefak build (misalnya, menggunakan Container Analysis), membuat data asal build, dan menerapkan kebijakan deployment (misalnya, menggunakan Otorisasi Biner) untuk memastikan hanya image yang diizinkan dan terverifikasi yang di-deploy.

  • Memberikan detail lingkungan kepada Google saat diminta untuk tujuan pemecahan masalah.

Langkah berikutnya