根据 Google Cloud 组织的政策验证您的 IaC

本文档介绍了如何验证您的基础架构即代码 (IaC) 组织 政策 以及Security Health Analytics 检测器 您在 Google Cloud 组织中定义的资源。借助 IaC，您可以创建 使用 Terraform 等语言管理云端资源 使用开发工作流部署资源。IaC 验证功能 仅支持组织政策和 Security Health Analytics 检测器。

通过 IaC 验证，您可以确定是新增资源还是修改后的资源 这些定义违反了适用于您的 Google Cloud 资源（例如集群、存储桶或实例）。您可以 安全性定义 安全状况，但 IaC 验证功能会根据 Google Cloud 组织。IaC 验证 帮助您的开发者识别并解决 IaC 中的任何安全问题 在将资产或资源应用于您的 Google Cloud 环境。

IaC 验证功能支持 Terraform 计划文件。您可以验证您的 使用 Google Cloud CLI 使用 Terraform 方案，或者，您也可以集成验证 Cloud Build、Jenkins 或 GitHub Actions 开发者 工作流。

准备工作

完成以下任务即可开始进行 IaC 验证。

激活 Security Command Center 高级层级或企业层级

验证 Security Command Center 专业版层级还是企业层级 已在 组织级别。

激活 Security Command Center 即会启用 securityposture.googleapis.com 和 securitycentermanagement.googleapis.com API。

设置权限

  1. 确保您拥有组织的以下一个或多个角色： Security Posture Shift-Left Validator

    检查角色

    1. 在 Google Cloud 控制台中，前往 IAM 页面。

      转到 IAM
    2. 选择组织。

    3. 在主账号列中，找到您的电子邮件地址所在的行。

      如果您的电子邮件地址不在此列，则表示您没有任何角色。

    4. 在您的电子邮件地址所在的行对应的角色列中，检查角色列表是否包含所需的角色。

    授予角色

    1. 在 Google Cloud 控制台中，前往 IAM 页面。

      转到 IAM
    2. 选择组织。
    3. 点击 授予访问权限。
    4. 在新的主账号字段中，输入您的电子邮件地址。
    5. 在选择角色列表中，选择一个角色。
    6. 如需授予其他角色，请点击 添加其他角色，然后添加其他各个角色。
    7. 点击 Save（保存）。

如需详细了解 IaC 验证权限，请参阅 用于组织级别的 IAM 激活。

设置 Google Cloud CLI

在 Google Cloud 控制台中，激活 Cloud Shell。

激活 Cloud Shell

Cloud Shell 会话随即会在 Google Cloud 控制台的底部启动，并显示命令行提示符。Cloud Shell 是一个已安装 Google Cloud CLI 且已为当前项目设置值的 Shell 环境。该会话可能需要几秒钟时间来完成初始化。

如需设置 gcloud CLI 以使用服务账号模拟（而不是您的用户凭据）向 Google API 进行身份验证，请运行以下命令： 

gcloud config set auth/impersonate_service_account SERVICE_ACCT_EMAIL

如需了解详情，请参阅服务账号模拟。

定义政策

定义组织政策和 Security Health Analytics 检测器。定义 这些政策，请完成创建和 部署 安全状况。

创建 Terraform 代码

使用您的开发者工作流和工具创建一个包含以下内容的 Terraform 文件： 您要创建或修改的 Google Cloud 资产。

请考虑以下事项：

  • 填充父属性（项目、文件夹或组织） Terraform 配置中的每个资源或资产的名称。
  • 请分别修改资产和政策。通过 API 不支持验证会修改两者的 Terraform 计划文件 资产和政策。
  • 仅使用受支持的素材资源类型和政策。如需查看支持的 资产类型和政策，请参阅 IaC 验证支持的素材资源类型和政策。
  • 查看 IaC 验证的限制。
  • 请勿包含敏感信息，例如密码或其他个人信息 Terraform 计划文件中的个人身份信息。如果验证结果 功能遇到资源更改中标记为敏感的字段， 字段。

创建 Terraform 代码后，您可以运行 IaC 验证报告。您 可以使用 gcloud CLI Cloud Build、Jenkins 或 GitHub 操作。

使用 Google Cloud CLI 创建 IaC 验证报告

如需创建 IaC 验证报告，请完成以下步骤：

  1. 在 gcloud CLI 中，运行 terraform init。

    验证您运行的 Terraform 提供程序是否是 v5.5 或更高版本。如果 需要，请升级到最新的 Google 提供方版本：

    terraform init -upgrade

  2. 将 Terraform 计划文件转换为 JSON 格式：

    terraform plan -out TF_PLAN_FILENAME
terraform show -json TF_PLAN_FILENAME > TF_PLAN_JSON_FILENAME.json

    替换以下内容：

    • TF_PLAN_FILENAME：Terraform 的名称 方案文件。
    • TF_PLAN_JSON_FILENAME：上传 将包含 JSON 格式的 Terraform 计划。

  3. 创建 IaC 验证报告：

    gcloud scc iac-validation-reports create PARENT \
  --tf-plan-file=TF_PLAN_JSON_FILENAME

    替换以下内容：

    • PARENT：Google Cloud 组织， 用于创建 IaC 验证报告格式为 organizations/ORGANIZATION_ID/locations/LOCATION。LOCATION 为 global。
    • TF_PLAN_JSON_FILENAME：JSON 文件的路径 包含要验证的 IaC 方案

    例如，要创建 IaC 验证报告 organizations/3589215982/locations/global 个使用 IaC 方案的组织 包含在 planFile.json 中，请运行以下命令：

    gcloud scc iac-validation-reports create organizations/3589215982/locations/global --tf-plan-file=planFile.json

    此命令会返回用于创建 IAC 验证的操作详细信息 报告。如需获取有关该操作的信息，请参阅 查看有关安全状况部署操作的信息。

后续步骤