安全 AI 的预定义态势 - 必备知识

注意：此功能适用于 Security Command Center 的企业层级或付费层级。

本页介绍了“安全 AI 必备”预定义状态 v1.0.0 版中包含的预防和检测政策。这个 安全状况包括两个政策集：

• 一组政策，其中包含应用于 Vertex AI 工作负载。

• 一组政策，其中包含适用于 Vertex AI 工作负载。

您可以使用此状态配置安全状态，以帮助保护 Gemini 和 Vertex AI 资源。您可以部署此预定义的安全状况，而无需 进行更改。

政策	说明	合规性标准
ainotebooks.disableFileDownloads	此限制条件 阻止使用该文件创建 Vertex AI Workbench 实例 下载选项已启用。默认情况下，您可在以下位置启用文件下载选项： 任何 Vertex AI Workbench 实例。 该值介于 true 到 关闭新的 Vertex AI Workbench 实例上的文件下载功能。	NIST SP 800-53 对照组：AC-3(1)
ainotebooks.disableRootAccess	此限制条件可防止 新创建的 Vertex AI Workbench 用户管理的笔记本和实例 无法启用 root 访问权限。默认情况下，Vertex AI Workbench 由用户管理 可以启用 root 访问权限。 值为 true 表示停用对新的 Vertex AI Workbench 用户管理的笔记本和实例的根访问权限。	NIST SP 800-53 控制措施：AC-3 和 AC-6(2)
ainotebooks.disableTerminal	此限制条件会阻止在终端启用的情况下创建 Vertex AI Workbench 实例。默认情况下，终端可以启用 Vertex AI Workbench 实例。 值为 true 表示在新的 Vertex AI Workbench 实例上停用终端。	NIST SP 800-53 控件：AC-3、AC-6 和 CM-2
ainotebooks.requireAutoUpgradeSchedule	此限制条件 要求新创建的 Vertex AI Workbench 用户管理的笔记本 具有自动升级时间表。 该值为 true，要求对新的 Vertex AI Workbench 用户管理的笔记本和实例。	NIST SP 800-53 对照组：AU-9、CM-2 和 CM-6
ainotebooks.restrictPublicIp	此限制条件会限制公共 IP 对新创建的 Vertex AI Workbench 笔记本和实例的访问权限。默认情况下，公共 IP 地址可以访问 Vertex AI Workbench 笔记本 和实例 值为 true，用于限制公共 IP 访问 新的 Vertex AI Workbench 笔记本和实例。	NIST SP 800-53 对照组：AC-3、AC-4 和 SC-7

Security Health Analytics 检测器

下表介绍了 。

检测器名称	适用的资源	说明	合规性标准
vertexAIDataSetCMEKDisabled	aiplatform.googleapis.com/Dataset	此检测器会检查是否有任何数据集未使用客户管理的加密密钥 (CMEK) 进行加密。 如需解决此发现结果，请验证您是否创建了密钥并 创建密钥环时，设置权限，并在创建密钥时提供密钥 数据集。有关说明，请参阅为您的 资源	NIST SP 800-53 控制措施：SC12 和 SC13
vertexAIModelCMEKDisabled	aiplatform.googleapis.com/Model	此检测器会检查模型是否未使用 CMEK 加密。 如需解决此发现结果，请验证您是否创建了密钥并 创建密钥环时，设置权限，并在创建密钥时提供密钥 模型。如需了解相关说明，请参阅为您的资源配置 CMEK。	NIST SP 800-53 对照组：SC12 和 SC13
vertexAIEndpointCMEKDisabled	aiplatform.googleapis.com/Endpoint	此检测器会检查端点是否未使用 CMEK 进行加密。 如需解决此问题，请验证您是否在创建端点时创建了密钥和密钥环、设置了权限并提供了密钥。如需了解相关说明，请参阅为您的资源配置 CMEK。	NIST SP 800-53 对照组：SC12 和 SC13
vertexAITrainingPipelineCMEKDisabled	aiplatform.googleapis.com/TrainingPipeline	此检测器会检查训练流水线是否未使用 CMEK 加密。 如需解决此问题，请验证您是否在创建训练流水线时创建了密钥和密钥环、设置了权限并提供了密钥。如需了解相关说明，请参阅为您的资源配置 CMEK。	NIST SP 800-53 对照组：SC12 和 SC13
vertexAIDataLabelingJobCMEKDisabled	aiplatform.googleapis.com/DataLabelingJob	此检测器用于检查数据标签是否未使用 CMEK 加密。 如需解决此发现结果，请验证您是否创建了密钥并 创建密钥环时，设置权限，并在创建密钥时提供密钥 数据标签。有关说明，请参阅为您的 资源。	NIST SP 800-53 对照组：SC12 和 SC13
vertexAICustomJobCMEKDisabled	aiplatform.googleapis.com/CustomJob	此检测器会检查运行自定义工作负载的作业是否未使用 CMEK 进行加密。 如需解决此发现结果，请验证您是否创建了密钥并 创建密钥环时，设置权限，并在创建密钥时提供密钥 自定义作业。如需了解相关说明，请参阅为您的资源配置 CMEK。	NIST SP 800-53 控制措施：SC12 和 SC13
vertexAIDataLabelingJobHyperparameterTuningJobCMEKDisabled	aiplatform.googleapis.com/HyperparameterTuningJob	此检测器会检查超参数调节作业是否未使用 CMEK 加密。 如需解决此问题，请验证您是否在创建超参数调节作业时创建了密钥和密钥串、设置了权限并提供了密钥。有关说明，请参阅为您的 资源。	NIST SP 800-53 对照组：SC12 和 SC13

查看状况模板

如需查看安全 AI（必需品）的安全状况模板，请执行以下操作：

gcloud

在使用下面的命令数据之前，请先进行以下替换：

• ORGANIZATION_ID：组织的数字 ID

执行 gcloud scc posture-templates describe 命令：

Linux、macOS 或 Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_essential

Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_essential

Windows (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_essential

响应包含状况模板。

REST

在使用任何请求数据之前，请先进行以下替换：

• ORGANIZATION_ID：组织的数字 ID

HTTP 方法和网址：

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_essential

如需发送您的请求，请展开以下选项之一：

curl（Linux、macOS 或 Cloud Shell）

注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI，或者使用了 Cloud Shell，这会使您自动登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

执行以下命令：

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_essential"

PowerShell (Windows)

注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

执行以下命令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_essential" | Select-Object -Expand Content

响应包含状况模板。

后续步骤

• 使用此预定义的安全状况创建安全状况。