针对“从设计上保证安全”的预定义状态，必需

本页介绍了“默认安全”基本要求 v1.0 版预定义状态中包含的预防性政策。这种状态有助于防止由默认设置导致的常见错误配置和常见安全问题。

您可以使用此预定义态势来配置有助于保护 Google Cloud 资源的安全态势。您无需进行任何更改即可部署此预定义状态。

政策 说明 合规性标准
iam.disableServiceAccountKeyCreation

此限制条件会阻止用户为服务账号创建永久密钥，以降低服务账号凭据泄露的风险。

值为 true 表示停用服务账号密钥创建功能。

 NIST SP 800-53 控制措施：AC-2
iam.automaticIamGrantsForDefaultServiceAccounts

此约束条件可防止默认服务账号在创建时获得权限过高的 Identity and Access Management (IAM) 角色 Editor。

值为 false 表示为默认服务账号停用自动 IAM 授权。

 NIST SP 800-53 控制措施：AC-3
iam.disableServiceAccountKeyUpload

此限制条件可避免服务账号密钥中的自定义密钥材料泄露和重复使用。

值为 true 表示停用服务账号密钥上传。

 NIST SP 800-53 控制措施：AC-6
storage.publicAccessPrevention

此政策可防止 Cloud Storage 存储分区向未经身份验证的公众开放。

值为 true 表示禁止对存储分区进行公开访问。

 NIST SP 800-53 控制措施：AC-3 和 AC-6
storage.uniformBucketLevelAccess

此政策可防止 Cloud Storage 存储分区使用按对象 ACL（与 IAM 政策不同的系统）来提供访问权限，从而强制执行访问权限管理和审核的一致性。

值为 true 表示强制执行统一存储桶级访问权限。

 NIST SP 800-53 控制措施：AC-3 和 AC-6
compute.requireOsLogin

此政策要求新创建的虚拟机使用 OS Login，以便更轻松地管理 SSH 密钥、使用 IAM 政策提供资源级权限，以及记录用户访问情况。

值为 true 表示要求 OS Login。

 NIST SP 800-53 控制措施：AC-3 和 AU-12
compute.disableSerialPortAccess

此政策可防止用户访问虚拟机串行端口，该端口可用于通过 Compute Engine API 控制平面进行后门访问。

值为 true 表示停用虚拟机串行端口访问权限。

 NIST SP 800-53 控制措施：AC-3 和 AC-6
compute.restrictXpnProjectLienRemoval

此政策通过限制项目安全锁的移除，可防止意外删除共享 VPC 宿主项目。

值为 true 表示限制共享 VPC 项目安全锁移除。

 NIST SP 800-53 控制措施：AC-3 和 AC-6
compute.vmExternalIpAccess

此政策会阻止创建具有公共 IP 地址的 Compute Engine 实例，此类地址可能会向传入互联网流量和传出互联网流量开放实例。

值为 denyAll 表示关闭来自公共 IP 地址的所有访问。如果您想将其更改为允许某些虚拟机实例拥有公共访问权限，请设置允许的值：

policy_rules:
    - values:
      allowed_values:
      - is:projects/PROJECT_ID/zones/ZONE/instances/INSTANCE
NIST SP 800-53 控制措施：AC-3 和 AC-6
compute.skipDefaultNetworkCreation

此政策会停用在每个新项目中自动创建默认 VPC 网络和默认防火墙规则的功能，以确保有意创建网络和防火墙规则。

值为 true，以避免创建默认 VPC 网络。

 NIST SP 800-53 控制措施：AC-3 和 AC-6
compute.setNewProjectDefaultToZonalDNSOnly

此政策限制应用开发者为 Compute Engine 实例选择旧版 DNS 设置，因为旧版 DNS 设置的服务可靠性低于新版 DNS 设置。

对于新项目，该值为 Zonal DNS only。

 NIST SP 800-53 控制措施：AC-3 和 AC-6
sql.restrictPublicIp

此政策可防止创建具有公共 IP 地址的 Cloud SQL 实例，此类地址可能会向传入互联网流量和传出互联网流量开放实例。

值为 true 表示限制通过公共 IP 地址访问 Cloud SQL 实例。

 NIST SP 800-53 控制措施：AC-3 和 AC-6
sql.restrictAuthorizedNetworks

此政策可阻止公共或非 RFC 1918 网络范围访问 Cloud SQL 数据库。

值为 true 时，表示限制 Cloud SQL 实例的已授权网络。

 NIST SP 800-53 控制措施：AC-3 和 AC-6
compute.restrictProtocolForwardingCreationForTypes

此政策仅允许为内部 IP 地址转发虚拟机协议。

值为 INTERNAL 表示根据 IP 地址类型限制协议转发。

 NIST SP 800-53 控制措施：AC-3 和 AC-6
compute.disableVpcExternalIpv6

此政策会阻止创建外部 IPv6 子网，此类子网可能向传入和传出互联网流量开放。

值为 true 表示停用外部 IPv6 子网。

 NIST SP 800-53 控制措施：AC-3 和 AC-6
compute.disableNestedVirtualization

此政策会为所有 Compute Engine 虚拟机停用嵌套虚拟化，以降低与不受监控的嵌套实例相关的安全风险。

值为 true 表示关闭虚拟机嵌套虚拟化。

 NIST SP 800-53 控制措施：AC-3 和 AC-6

查看安全状况模板

如需查看“默认安全”基本要求的状态模板，请执行以下操作：

gcloud

在使用下面的命令数据之前，请先进行以下替换：

  • ORGANIZATION_ID：组织的数字 ID

执行 gcloud scc posture-templates describe 命令：

Linux、macOS 或 Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_essential

Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_essential

Windows (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_essential

响应包含配置状态模板。

REST

在使用任何请求数据之前，请先进行以下替换：

  • ORGANIZATION_ID：组织的数字 ID

HTTP 方法和网址：

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_essential

如需发送您的请求，请展开以下选项之一：

响应包含配置状态模板。

后续步骤