A execução de cargas de trabalho críticas para a empresa no Cloud Build requer que várias partes assumam responsabilidades diferentes. O modelo de responsabilidade partilhada descrito neste documento esclarece que a Google Cloud é responsável pela segurança do próprio serviço Cloud Build e da respetiva infraestrutura subjacente, enquanto o cliente é responsável pela segurança na forma como o Cloud Build é usado, incluindo as suas compilações, configurações, dados e imagens de contentores específicos que executa através do Cloud Build.
Embora não seja uma lista exaustiva, esta página apresenta as responsabilidades respetivas do Google Cloud e do cliente.
Responsabilidades do Google Cloud
Proteger a infraestrutura subjacente, incluindo hardware, firmware, kernel, sistema operativo, armazenamento e rede.
Isto inclui o seguinte:
- Proteção da segurança física dos centros de dados, encriptação predefinida dos dados inativos e em movimento, e componentes de rede seguros.
- Fornecer proteção de rede através dos VPC Service Controls.
- Seguir práticas de programação de software seguras.
- Gerir e proteger o plano de controlo do serviço Cloud Build (API, back-end, programadores, etc.), incluindo a aplicação de patches e a proteção.
- Fornecer ambientes de compilação isolados e efémeros para cada invocação de compilação.
Fornecer integrações do Google Cloud para a gestão de identidade e de acesso (IAM), registos de auditoria do Cloud, Cloud Key Management Service e outros.
Restringir o acesso administrativo do Google Cloud aos recursos do cliente para fins de apoio técnico contratual, com a Transparência de acesso e a aprovação de acesso, e registar todo esse acesso.
Produzir proveniência da SLSA autêntica quando configurada para o fazer.
Responsabilidades do cliente
Proteger o código-fonte da aplicação, os ficheiros de configuração de compilação e todas as imagens de contentores usadas nas suas compilações.
Isto inclui a avaliação da adequação das imagens aos seus padrões de segurança, a tiragem de partido das versões de imagens suportadas mais recentes e o seguimento das práticas recomendadas para componentes de código aberto e a configuração de compilação geral.
Para cenários que exigem o mais elevado grau de segurança, considere usar as suas próprias imagens reforçadas para executar compilações.
Garantir que todos os tokens de integração de terceiros (como os fornecidos para estabelecer um link de repositório) estão devidamente protegidos.
Configurar o IAM para todos os utilizadores, grupos e contas de serviço que interagem com o Cloud Build, de acordo com o princípio do menor privilégio.
Recomendamos que use contas de serviço dedicadas especificadas pelo utilizador para compilações, em vez das predefinidas.
Certifique-se de que os seus scripts de compilação usam adequadamente as credenciais de compilação fornecidas, os tokens de integração de terceiros e os segredos disponibilizados para a compilação, e proteja-se contra a exfiltração.
Ativar e agir na análise de vulnerabilidades para artefactos de compilação (por exemplo, através da análise de artefactos), gerar dados de proveniência de compilação e implementar políticas de implementação (por exemplo, através da autorização binária) para garantir que apenas são implementadas imagens autorizadas e validadas.
Fornecer à Google detalhes ambientais quando solicitados para fins de resolução de problemas.
O que se segue?
- Leia mais acerca do modelo de responsabilidade partilhada do Google Cloud.