安全共責聲明

在 Cloud Build 上執行業務關鍵工作負載時，需要多方承擔不同責任。本文說明的共同責任模式指出，Google Cloud 負責 Cloud Build 服務本身及其基礎架構的安全性，而您 (客戶) 則負責 Cloud Build 的使用安全性，包括特定建構作業、設定、資料，以及您使用 Cloud Build 執行的容器映像檔。

本頁面列出 Google Cloud 和客戶各自的責任，但並未詳列所有責任。

Google Cloud 責任

  • 保護底層基礎架構，包括硬體、韌體、核心、作業系統、儲存空間和網路。

    包含下列項目：

    • 保護資料中心的實體安全、預設加密靜態和傳輸中的資料，以及確保網路元件安全。
    • 使用 VPC Service Controls 提供網路防護。
    • 遵循安全的軟體開發做法。
    • 管理及保護 Cloud Build 服務控制層 (API、後端、排程器等)，包括修補及強化。
    • 為每次建構作業叫用提供臨時的獨立建構環境。

  • 提供 Google Cloud 整合功能，適用於身分與存取權管理 (IAM)、Cloud 稽核記錄、Cloud Key Management Service 等服務。

  • 限制 Google Cloud 管理員存取客戶資源，僅限於合約支援用途，並透過資料存取透明化控管機制和存取權核准記錄所有這類存取行為。

  • 設定後，即可產生真實的 SLSA 來源。

客戶的責任

  • 保護應用程式原始碼、建構設定檔，以及建構作業中使用的所有容器映像檔。

    包括評估映像檔是否符合安全標準、採用最新支援的映像檔版本，以及遵循開放原始碼元件和整體建構設定的最佳做法。

    如果需要最高等級的安全性，建議您自備強化映像檔來執行建構作業。

  • 確保妥善保護所有第三方整合權杖 (例如用於建立存放區連結的權杖)。

  • 根據最少權限原則，為所有與 Cloud Build 互動的使用者、群組和服務帳戶設定 IAM。

    建議您使用專屬的使用者指定服務帳戶進行建構，而非預設帳戶。

    請確保建構指令碼適當使用提供的建構憑證、第三方整合權杖和建構可用的密鑰，並防範外洩。

  • 啟用及處理建構構件的安全漏洞掃描 (例如使用 Artifact Analysis)、產生建構出處資料，以及實作部署政策 (例如使用二進位授權)，確保只部署經過授權和驗證的映像檔。

  • 在 Google 要求提供環境詳細資料時，配合提供相關資訊，以利進行疑難排解。

後續步驟