A execução de cargas de trabalho essenciais para os negócios no Cloud Build exige que várias partes assumam responsabilidades diferentes. O modelo de responsabilidade compartilhada descrito neste documento esclarece que o Google Cloud é responsável pela segurança do serviço Cloud Build e da infraestrutura subjacente. Já você, o cliente, é responsável pela segurança de como o Cloud Build é usado, incluindo builds, configurações, dados e imagens de contêiner específicos que você executa usando o Cloud Build.
Embora não seja uma lista completa, esta página lista as responsabilidades do Google Cloud e do cliente.
Responsabilidades do Google Cloud
Proteger a infraestrutura subjacente, incluindo hardware, firmware, kernel, sistema operacional, armazenamento e rede.
Isso inclui o seguinte:
- Proteção da segurança física dos data centers, criptografia padrão de dados em repouso e em trânsito e componentes de rede seguros.
- Como oferecer proteção de rede usando o VPC Service Controls.
- Seguir práticas de desenvolvimento de software seguro.
- Gerenciar e proteger o plano de controle do serviço Cloud Build (API, back-end, programadores etc.), incluindo aplicação de patches e proteção.
- Fornecer ambientes de build isolados e temporários para cada invocação de build.
Fornecer integrações do Google Cloud para Identity and Access Management (IAM), Registros de auditoria do Cloud, Cloud Key Management Service e outros.
Restringir o acesso administrativo do Google aos recursos do cliente para fins de suporte contratual, com a Transparência no acesso e a Aprovação de acesso, e registrar todo esse acesso.
Produzir prova de origem da SLSA autêntica, quando configurada para isso.
Responsabilidades do cliente
Proteção do código-fonte do aplicativo, dos arquivos de configuração do build e de todas as imagens de contêiner usadas nos builds.
Isso inclui avaliar a adequação da imagem aos seus padrões de segurança, aproveitar as versões mais recentes de imagens compatíveis e seguir as práticas recomendadas para componentes de código aberto e configuração geral de build.
Para cenários que exigem o mais alto grau de segurança, considere trazer suas próprias imagens reforçadas para executar builds.
Verifique se os tokens de integração de terceiros (como os fornecidos para estabelecer um link de repositório) estão protegidos adequadamente.
Configurar o IAM para todos os usuários, grupos e contas de serviço que interagem com o Cloud Build, de acordo com o princípio do menor privilégio.
Recomendamos que você use contas de serviço dedicadas e especificadas pelo usuário para builds em vez das padrão.
Verifique se os scripts de build usam adequadamente as credenciais de build, os tokens de integração de terceiros e os secrets disponibilizados para o build, além de proteger contra exfiltração.
Ativar e agir na verificação de vulnerabilidades para artefatos de build (por exemplo, usando o Artifact Analysis), gerar dados de procedência do build e implementar políticas de implantação (por exemplo, usando a autorização binária) para garantir que apenas imagens autorizadas e verificadas sejam implantadas.
Fornecer ao Google detalhes ambientais quando solicitado para a solução de problemas
A seguir
- Leia mais sobre o modelo de responsabilidade compartilhada do Google Cloud.