Halaman ini menjelaskan kebijakan pencegahan dan detektif yang disertakan dalam postur yang telah ditentukan sebelumnya untuk AI yang aman, diperluas, versi v1.0. Postur ini mencakup dua kumpulan kebijakan:
Kumpulan kebijakan yang menyertakan kebijakan organisasi yang berlaku untuk workload Vertex AI.
Kumpulan kebijakan yang menyertakan detektor Security Health Analytics kustom yang berlaku untuk beban kerja Vertex AI.
Anda dapat menggunakan postur standar ini untuk mengonfigurasi postur keamanan yang membantu melindungi resource Gemini dan Vertex AI. Jika ingin men-deploy postur standar ini, Anda harus menyesuaikan beberapa kebijakan agar berlaku untuk lingkungan Anda.
Batasan kebijakan organisasi
Tabel berikut menjelaskan kebijakan organisasi yang disertakan dalam postur ini.
Kebijakan | Deskripsi | Standar kepatuhan |
---|---|---|
ainotebooks.accessMode |
Batasan ini menentukan mode akses yang diizinkan ke notebook dan instance Vertex AI Workbench. Anda harus mengonfigurasi nilai ini saat mengadopsi postur standar ini. |
Kontrol NIST SP 800-53: AC-3(3) dan AC-6(1) |
ainotebooks.disableFileDownloads |
Batasan ini mencegah pembuatan instance Vertex AI Workbench dengan opsi download file yang diaktifkan. Secara default, opsi download file dapat diaktifkan di instance Vertex AI Workbench mana pun. Nilainya adalah |
Kontrol NIST SP 800-53: AC-3(1) |
ainotebooks.disableRootAccess |
Batasan ini mencegah notebook dan instance Vertex AI Workbench yang dikelola pengguna yang baru dibuat mengaktifkan akses root. Secara default, notebook dan instance yang dikelola pengguna Vertex AI Workbench dapat mengaktifkan akses root. Nilainya adalah
|
Kontrol NIST SP 800-53: AC-3 dan AC-6(2) |
ainotebooks.disableTerminal |
Batasan ini mencegah pembuatan instance Vertex AI Workbench dengan terminal yang diaktifkan. Secara default, terminal dapat diaktifkan di instance Vertex AI Workbench. Nilainya adalah |
Kontrol NIST SP 800-53: AC-3, AC-6, dan CM-2 |
ainotebooks.environmentOptions |
Batasan ini menentukan opsi image VM dan container yang dapat dipilih pengguna saat membuat notebook dan instance Vertex AI Workbench baru tempat batasan ini diterapkan. Opsi yang diizinkan atau ditolak harus dicantumkan secara eksplisit. Nilainya adalah sebagai berikut: policy_rules: - values: allowed_values: - is:ainotebooks-vm/deeplearning-platform-release/image-family/tf-1-15-cpu - is:ainotebooks-vm/deeplearning-platform-release/image-family/tf-2-1-cpu - is:ainotebooks-vm/deeplearning-platform-release/image-family/tf-1-15-gpu - is:ainotebooks-vm/deeplearning-platform-release/image-family/tf-2-1-gpu - is:ainotebooks-vm/deeplearning-platform-release/image-family/caffe1-latest-cpu-experimental - is:ainotebooks-vm/deeplearning-platform-release/image-name/r-3-6-cpu-experimental-20200617 - is:ainotebooks-vm/deeplearning-platform-release/image-name/tf2-ent-2-1-cpu-20200613 - is:ainotebooks-vm/deeplearning-platform-release/image-name/tf2-2-2-cu101-20200616 - is:ainotebooks-vm/deeplearning-platform-release/image-name/tf-1-15-cu100-20200615 - is:ainotebooks-vm/deeplearning-platform-release/image-name/pytorch-latest-cpu-20200615 - is:ainotebooks-container/gcr.io/deeplearning-platform-release/tf-gpu.1-15 - is:ainotebooks-container/gcr.io/deeplearning-platform-release/tf-cpu.1-15:latest - is:ainotebooks-container/gcr.io/deeplearning-platform-release/tf-cpu.1-15:m48 - is:ainotebooks-container/gcr.io/deeplearning-platform-release/tf-cpu.1-15:m46 - is:ainotebooks-container/custom-container:latest |
Kontrol NIST SP 800-53: AC-3, AC-6, dan CM-2 |
ainotebooks.requireAutoUpgradeSchedule |
Batasan ini memerlukan notebook dan instance yang dikelola pengguna Vertex AI Workbench yang baru dibuat memiliki jadwal upgrade otomatis yang ditetapkan. Nilainya adalah
|
Kontrol NIST SP 800-53: AU-9, CM-2, dan CM-6 |
ainotebooks.restrictPublicIp |
Batasan ini membatasi akses IP publik ke notebook dan instance Vertex AI Workbench yang baru dibuat. Secara default, IP publik dapat mengakses notebook dan instance Vertex AI Workbench. Nilainya adalah |
Kontrol NIST SP 800-53: AC-3, AC-4, dan SC-7 |
ainotebooks.restrictVpcNetworks |
Daftar ini menentukan jaringan VPC yang dapat dipilih pengguna saat membuat instance Vertex AI Workbench baru tempat batasan ini diterapkan. Anda harus mengonfigurasi nilai ini saat menggunakan postur standar ini. |
Kontrol NIST SP 800-53: AC-3, AC-4, dan CM-2 |
Detektor Security Health Analytics
Tabel berikut menjelaskan modul kustom untuk Security Health Analytics yang disertakan dalam postur yang telah ditetapkan.
Nama pendeteksi | Referensi yang berlaku | Deskripsi | Standar kepatuhan |
---|---|---|---|
vertexAIDataSetCMEKDisabled | aiplatform.googleapis.com/Dataset |
Detektor ini memeriksa apakah set data apa pun tidak dienkripsi menggunakan kunci enkripsi yang dikelola pelanggan (CMEK). Untuk mengatasi temuan ini, pastikan Anda membuat kunci dan key ring, menyiapkan izin, dan memberikan kunci saat membuat set data. Untuk mengetahui petunjuknya, lihat Mengonfigurasi CMEK untuk resource Anda. |
Kontrol NIST SP 800-53: SC12 dan SC13 |
vertexAIModelCMEKDisabled | aiplatform.googleapis.com/Model |
Detektor ini memeriksa apakah model tidak dienkripsi menggunakan CMEK. Untuk mengatasi temuan ini, pastikan Anda membuat kunci dan key ring, menyiapkan izin, dan memberikan kunci saat membuat model. Untuk mengetahui petunjuknya, lihat Mengonfigurasi CMEK untuk resource Anda. |
Kontrol NIST SP 800-53: SC12 dan SC13 |
vertexAIEndpointCMEKDisabled | aiplatform.googleapis.com/Endpoint |
Detektor ini memeriksa apakah endpoint tidak dienkripsi menggunakan CMEK. Untuk mengatasi temuan ini, pastikan Anda membuat kunci dan key ring, menyiapkan izin, dan memberikan kunci saat membuat endpoint. Untuk mengetahui petunjuknya, lihat Mengonfigurasi CMEK untuk resource Anda. |
Kontrol NIST SP 800-53: SC12 dan SC13 |
vertexAITrainingPipelineCMEKDisabled | aiplatform.googleapis.com/TrainingPipeline |
Detektor ini memeriksa apakah pipeline pelatihan tidak dienkripsi menggunakan CMEK. Untuk mengatasi temuan ini, pastikan Anda membuat kunci dan key ring, menyiapkan izin, dan memberikan kunci saat membuat pipeline pelatihan. Untuk mengetahui petunjuknya, lihat Mengonfigurasi CMEK untuk resource Anda. |
Kontrol NIST SP 800-53: SC12 dan SC13 |
vertexAIDataLabelingJobCMEKDisabled | aiplatform.googleapis.com/DataLabelingJob |
Detektor ini memeriksa apakah label data tidak dienkripsi menggunakan CMEK. Untuk mengatasi temuan ini, pastikan Anda membuat kunci dan key ring, menyiapkan izin, dan memberikan kunci saat membuat label data. Untuk mengetahui petunjuknya, lihat Mengonfigurasi CMEK untuk resource Anda. |
Kontrol NIST SP 800-53: SC12 dan SC13 |
vertexAICustomJobCMEKDisabled | aiplatform.googleapis.com/CustomJob |
Detektor ini memeriksa apakah tugas yang menjalankan beban kerja kustom tidak dienkripsi menggunakan CMEK. Untuk mengatasi temuan ini, pastikan Anda membuat kunci dan key ring, menyiapkan izin, dan memberikan kunci saat membuat tugas kustom. Untuk mengetahui petunjuknya, lihat Mengonfigurasi CMEK untuk resource Anda. |
Kontrol NIST SP 800-53: SC12 dan SC13 |
vertexAIDataLabelingJobHyperparameterTuningJobCMEKDisabled | aiplatform.googleapis.com/HyperparameterTuningJob |
Detektor ini memeriksa apakah tugas penyesuaian hyperparameter tidak dienkripsi menggunakan CMEK. Untuk mengatasi temuan ini, pastikan Anda membuat kunci dan key ring, menyiapkan izin, dan memberikan kunci saat membuat tugas penyesuaian hyperparameter. Untuk mengetahui petunjuknya, lihat Mengonfigurasi CMEK untuk resource Anda. |
Kontrol NIST SP 800-53: SC12 dan SC13 |
Melihat template postur
Untuk melihat template postur untuk AI yang aman, diperluas, lakukan tindakan berikut:
gcloud
Sebelum menggunakan salah satu data perintah di bawah, lakukan penggantian berikut:
-
ORGANIZATION_ID
: ID numerik organisasi
Jalankan perintah
gcloud scc posture-templates
describe
:
Linux, macOS, atau Cloud Shell
gcloud scc posture-templates describe \ organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_extended
Windows (PowerShell)
gcloud scc posture-templates describe ` organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_extended
Windows (cmd.exe)
gcloud scc posture-templates describe ^ organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_extended
Respons berisi template postur.
REST
Sebelum menggunakan salah satu data permintaan, lakukan penggantian berikut:
-
ORGANIZATION_ID
: ID numerik organisasi
Metode HTTP dan URL:
GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_extended
Untuk mengirim permintaan, perluas salah satu opsi berikut:
Respons berisi template postur.