针对“从设计上保证安全”和“基本要求”的预定义状态

本页介绍了 v1.0 中包含的预防性政策。 预定义安全状况的预定义安全状况版本。这种状态有助于防止由默认设置导致的常见配置错误和常见安全问题。

您可以使用此预定义的安全状况来配置安全状况，以帮助 保护 Google Cloud 资源。您可以部署此预定义的安全状况，而无需 进行更改。

政策 说明 合规性标准
iam.disableServiceAccountKeyCreation

此限制条件可防止用户为服务创建永久性密钥 降低服务账号凭据遭泄露的风险。

值为 true 表示停用服务账号密钥创建功能。

 NIST SP 800-53 对照组：AC-2
iam.automaticIamGrantsForDefaultServiceAccounts

此约束条件可防止默认服务账号在创建时获得权限过高的 Identity and Access Management (IAM) 角色 Editor。

通过 值为 false，表示为默认服务停用自动 IAM 授权 账号。

 NIST SP 800-53 控制措施：AC-3
iam.disableServiceAccountKeyUpload

此约束条件可避免服务账号密钥中的自定义密钥材料泄露和重复使用。

值为 true 表示停用服务账号密钥上传。

 NIST SP 800-53 对照组：AC-6
storage.publicAccessPrevention

此政策可防止 Cloud Storage 存储分区从开放到未经身份验证的公开 访问权限。

值为 true 表示禁止对存储桶进行公开访问。

 NIST SP 800-53 控制措施：AC-3 和 AC-6
storage.uniformBucketLevelAccess

此政策可防止 Cloud Storage 存储桶使用按对象 ACL（与 IAM 政策不同的系统）来提供访问权限，从而强制执行访问权限管理和审核的一致性。

值为 true，以强制执行 统一存储桶级访问权限。

 NIST SP 800-53 对照组：AC-3 和 AC-6
compute.requireOsLogin

这个 政策要求针对新创建的项目使用 OS Login 以便更轻松地管理 SSH 密钥， IAM 政策，并记录用户访问权限。

该值为 true，用于要求使用 OS Login。

 NIST SP 800-53 对照组：AC-3 和 AU-12
compute.disableSerialPortAccess

本政策 禁止用户访问可用于后门程序的虚拟机串行端口 访问 Compute Engine API 控制平面

值为 true 时，禁止访问虚拟机串行端口。

 NIST SP 800-53 对照组：AC-3 和 AC-6
compute.restrictXpnProjectLienRemoval

此政策可防止意外删除共享 VPC 主机 来限制项目安全锁的移除。

该值为 true 用于限制共享 VPC 项目安全锁移除。

 NIST SP 800-53 控制措施：AC-3 和 AC-6
compute.vmExternalIpAccess

此政策可防止 创建具有公共 IP 地址的 Compute Engine 实例， 将它们公开给传入的互联网流量和传出的互联网 流量。

值为 denyAll 表示关闭来自公共 IP 地址的所有访问。如果要进行更改以允许某些虚拟机实例具有公共访问权限，请设置允许的值：

policy_rules:
    - values:
      allowed_values:
      - is:projects/PROJECT_ID/zones/ZONE/instances/INSTANCE
NIST SP 800-53 控制措施：AC-3 和 AC-6
compute.skipDefaultNetworkCreation

这个 政策会禁止自动创建默认 VPC 网络， 防火墙规则，确保网络和防火墙规则 。

值为 true，以避免创建默认 VPC 网络。

 NIST SP 800-53 对照组：AC-3 和 AC-6
compute.setNewProjectDefaultToZonalDNSOnly

此政策限制应用开发者选择旧版 DNS 为服务可靠性低于 新型 DNS 设置。

对于新订单，该值为 Zonal DNS only 项目。

 NIST SP 800-53 控制措施：AC-3 和 AC-6
sql.restrictPublicIp

此政策可防止 创建具有公共 IP 地址的 Cloud SQL 实例， 将它们公开给传入的互联网流量和传出的互联网 流量。

值为 true 时，系统会限制通过公共 IP 地址访问 Cloud SQL 实例。

 NIST SP 800-53 对照组：AC-3 和 AC-6
sql.restrictAuthorizedNetworks

此政策可防止 公共或非 RFC 1918 网络范围访问 Cloud SQL 数据库。

值为 true 时，表示限制 Cloud SQL 实例上的已授权网络。

 NIST SP 800-53 对照组：AC-3 和 AC-6
compute.restrictProtocolForwardingCreationForTypes

此政策仅允许为内部 IP 地址转发虚拟机协议。

值为 INTERNAL，用于限制协议转发 根据 IP 地址的类型确定

 NIST SP 800-53 控制措施：AC-3 和 AC-6
compute.disableVpcExternalIpv6

此政策会阻止创建外部 IPv6 子网，此类子网可能向传入和传出互联网流量开放。

该值为 使用 true 停用外部 IPv6 子网。

 NIST SP 800-53 控制措施：AC-3 和 AC-6
compute.disableNestedVirtualization

本政策 会为所有 Compute Engine 虚拟机停用嵌套虚拟化，以降低与不受监控的 嵌套实例。

值为 true 表示关闭虚拟机嵌套虚拟化。

 NIST SP 800-53 控制措施：AC-3 和 AC-6

查看安全状况模板

如需查看“默认情况下安全基本功能”的安全状况模板，请执行以下操作：

gcloud

在使用下面的命令数据之前，请先进行以下替换：

  • ORGANIZATION_ID：组织的数字 ID

执行 gcloud scc posture-templates describe 命令：

Linux、macOS 或 Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_essential

Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_essential

Windows (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_essential

响应包含状况模板。

REST

在使用任何请求数据之前，请先进行以下替换：

  • ORGANIZATION_ID：组织的数字 ID

HTTP 方法和网址：

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_essential

如需发送您的请求，请展开以下选项之一：

响应包含配置文件模板。

后续步骤