Cette page a été traduite par l'API Cloud Translation.

Stratégie prédéfinie pour la sécurité par défaut, étendue

Cette page décrit les règles préventives incluses dans la version 1.0 de la stratégie prédéfinie étendue pour "Sécurisé par défaut". Cette posture prédéfinie permet d'éviter les erreurs de configuration courantes et les problèmes de sécurité courants causés par les paramètres par défaut.

Vous pouvez utiliser cette posture prédéfinie pour configurer une posture de sécurité qui aide à protéger les ressources Google Cloud. Si vous souhaitez déployer cette stratégie prédéfinie, vous devez personnaliser certaines stratégies afin qu'elles s'appliquent à votre environnement.

Règle	Description	Normes de conformité
`iam.disableServiceAccountKeyCreation`	Cette contrainte empêche les utilisateurs de créer des clés persistantes pour réduire le risque d'exposition des identifiants de compte de service. La La valeur est `true` pour désactiver la création de clés de compte de service.	Contrôle NIST SP 800-53: AC-2
`iam.automaticIamGrantsForDefaultServiceAccounts`	Cette contrainte empêche les comptes de service par défaut de recevoir Éditeur du rôle IAM (Identity and Access Management) trop permissif lors de la création. La la valeur est `false` pour désactiver l'attribution automatique de rôles IAM pour le service par défaut Google Cloud.	Contrôle NIST SP 800-53: AC-3
`iam.disableServiceAccountKeyUpload`	Cette contrainte évite le risque de fuite et de réutilisation de matériel de clé personnalisée dans le compte de service clés. La valeur est `true` pour désactiver les importations de clés de compte de service.	Contrôle NIST SP 800-53: AC-6
`storage.publicAccessPrevention`	Cette règle empêche les buckets Cloud Storage ne sont plus ouverts au public non authentifié ; y accéder. La valeur est `true` pour empêcher l'accès public aux buckets.	Contrôle NIST SP 800-53: AC-3 et AC-6
`iam.allowedPolicyMemberDomains`	Cette règle limite les stratégies IAM de manière à n'autoriser que les identités utilisateur gérées dans les domaines sélectionnés à accéder aux ressources de cette organisation. La valeur est `directoryCustomerId` pour limiter le partage entre les domaines.	Contrôles NIST SP 800-53: AC-3, AC-6 et IA-2
`essentialcontacts.allowedContactDomains`	Cette règle limite les contacts essentiels de manière à n'autoriser que les identités utilisateur gérées dans les domaines sélectionnés à recevoir des notifications de la plate-forme. La valeur est `@google.com`. Vous devez modifier la valeur pour qu'elle corresponde à votre domaine.	Contrôles NIST SP 800-53: AC-3, AC-6 et IA-2
`storage.uniformBucketLevelAccess`	Ces règles empêche les buckets Cloud Storage d'utiliser une LCA par objet (un système distinct des stratégies IAM) pour fournir un accès, en assurant la cohérence des la gestion des accès et l'audit. La valeur est `true` pour appliquer accès uniforme au niveau du bucket.	Contrôle NIST SP 800-53 : AC-3 et AC-6
`compute.requireOsLogin`	Ce requiert la connexion au système d'exploitation sur les les VM pour gérer plus facilement les clés SSH, accorder des autorisations au niveau des ressources avec les stratégies IAM et l'accès des utilisateurs. La valeur est `true` pour exiger la connexion au système d'exploitation.	Contrôle NIST SP 800-53: AC-3 et AU-12
`compute.disableSerialPortAccess`	Ces règles empêche les utilisateurs d'accéder au port série de la VM qui peut être utilisé pour le backdoor à partir du plan de contrôle de l'API Compute Engine. La valeur est `true` pour désactiver l'accès au port série des VM.	Contrôle NIST SP 800-53 : AC-3 et AC-6
`compute.restrictXpnProjectLienRemoval`	Cette règle empêche la suppression accidentelle d'un hôte VPC partagé projets en limitant la suppression des privilèges de projet. La valeur est `true` pour limiter la suppression des privilèges liés aux projets VPC partagés	Contrôle NIST SP 800-53 : AC-3 et AC-6
`compute.vmExternalIpAccess`	Cette règle empêche la création d'instances Compute Engine avec une adresse IP publique, ce qui peut les exposer au trafic Internet entrant et sortant. La valeur est `denyAll` pour désactiver tous les accès depuis des adresses IP publiques.	Contrôle NIST SP 800-53 : AC-3 et AC-6
`compute.skipDefaultNetworkCreation`	Ce désactive la création automatique d'un réseau VPC par défaut des règles de pare-feu dans chaque nouveau projet, garantissant que les règles de réseau et de pare-feu sont intentionnellement. La valeur est `true` pour éviter de créer le réseau VPC par défaut.	Contrôle NIST SP 800-53: AC-3 et AC-6
`compute.setNewProjectDefaultToZonalDNSOnly`	Cette règle empêche les développeurs d'applications de choisir l'ancien DNS pour les instances Compute Engine dont la fiabilité de service est inférieure les paramètres DNS modernes. La valeur est `Zonal DNS only` pour les nouveaux projets.	Contrôle NIST SP 800-53 : AC-3 et AC-6
`sql.restrictPublicIp`	Cette règle empêche la création d'instances Cloud SQL avec des adresses IP publiques, les exposer au trafic Internet entrant et sortant du trafic. La valeur est `true` pour restreindre l'accès Instances Cloud SQL par adresses IP publiques.	Contrôle NIST SP 800-53: AC-3 et AC-6
`sql.restrictAuthorizedNetworks`	Cette règle empêche les plages réseau publiques ou non RFC 1918 d'accéder aux bases de données Cloud SQL. La valeur est `true` pour limiter les réseaux autorisés sur les instances Cloud SQL.	Contrôle NIST SP 800-53: AC-3 et AC-6
`compute.restrictProtocolForwardingCreationForTypes`	Cette règle n'autorise le transfert de protocole de VM que pour les adresses IP internes. La valeur est `INTERNAL` pour limiter le transfert de protocole en fonction du type d'adresse IP.	Contrôle NIST SP 800-53: AC-3 et AC-6
`compute.disableVpcExternalIpv6`	Cette règle empêche la création de sous-réseaux IPv6 externes, qui peuvent être exposés au trafic Internet entrant et sortant. La valeur est `true` pour désactiver les sous-réseaux IPv6 externes.	Contrôle NIST SP 800-53 : AC-3 et AC-6
`compute.disableNestedVirtualization`	Cette règle désactive la virtualisation imbriquée pour réduire le risque de sécurité lié aux instances imbriquées non surveillées. La valeur est `true` pour désactiver la virtualisation imbriquée de la VM.	Contrôle NIST SP 800-53 : AC-3 et AC-6

Afficher le modèle de posture

Pour afficher le modèle de posture pour la sécurité par défaut étendue, procédez comme suit :

gcloud

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

ORGANIZATION_ID : ID numérique de l'organisation

Exécutez la gcloud scc posture-templates describe commande:

Linux, macOS ou Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

Windows (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

La réponse contient le modèle de stratégie.

REST

Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants :

ORGANIZATION_ID : ID numérique de l'organisation

Méthode HTTP et URL :

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Remarque : La commande suivante suppose que vous êtes connecté à la CLI gcloud avec votre compte utilisateur en exécutant la commande gcloud init ou gcloud auth login, ou en utilisant Cloud Shell, qui vous connecte automatiquement à la CLI gcloud. Vous pouvez exécuter la commande gcloud auth list pour vérifier quel est le compte actuellement actif.

Exécutez la commande suivante :

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended"

PowerShell (Windows)

Remarque : La commande suivante suppose que vous vous êtes connecté à la CLI gcloud avec votre compte utilisateur en exécutant la commande gcloud init ou gcloud auth login. Vous pouvez exécuter la commande gcloud auth list pour vérifier quel est le compte actuellement actif.

Exécutez la commande suivante :

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended" | Select-Object -Expand Content

La réponse contient le modèle de stratégie.

Étape suivante

Créez une stratégie de sécurité à l'aide de cette stratégie prédéfinie.