可接受的資源設定預防性控制項

compute.disableNestedVirtualization

如果 Compute Engine VM 的巢狀虛擬化設定不當，可能會避開 VM 的監控和其他安全性工具。這項限制可避免建立巢狀虛擬化。

compute.disableSerialPortAccess

compute.instanceAdmin 等身分與存取權管理角色可透過 SSH 金鑰，對執行個體的序列埠授予特權存取權。如果 SSH 金鑰遭到揭露，攻擊者可能會存取序列埠，並繞過網路和防火牆控制項。這項限制可防止序列埠存取權。

compute.disableVpcExternalIpv6

如果外部 IPv6 子網路設定不當，可能會遭到未經授權的網際網路存取。這項限制可防止建立外部 IPv6 子網路。

compute.requireOsLogin

設定中繼資料中的 SSH 金鑰的預設行為，可在金鑰外洩的情況下，允許未經授權的遠端存取 VM。這項限制會強制使用 OS 登入，而非以中繼資料提供的安全殼層金鑰。

compute.restrictProtocolForwardingCreationForTypes

如果轉送設定不當，外部 IP 位址的VM 通訊協定轉送可能會導致未經授權的網際網路傳出流量。這項限制只允許針對內部位址執行 VM 通訊協定轉送。

compute.restrictXpnProjectLienRemoval

刪除共用虛擬私有雲主專案可能會影響所有使用網路資源的服務專案。這項限制可防止共用虛擬私有雲主專案遭到誤刪或惡意刪除，方法是防止移除這些專案的專案防刪除鎖定。

compute.setNewProjectDefaultToZonalDNSOnly

我們不建議使用全域 (全專案) 內部 DNS的舊版設定，因為這會降低服務的可用性。這項限制可避免使用舊版設定。

compute.skipDefaultNetworkCreation

在啟用 Compute Engine API 的每個新專案中，系統都會建立預設 VPC 網路和過度寬鬆的預設 VPC 防火牆規則。這項限制會略過建立預設網路和預設虛擬私有雲防火牆規則的作業。

compute.vmExternalIpAccess

根據預設，VM 會使用外部 IPv4 位址建立，這可能會導致未經授權的網際網路存取。這項限制會設定空白的許可清單，其中包含 VM 可使用的外部 IP 位址，並拒絕所有其他 IP 位址。

essentialcontacts.allowedContactDomains

根據預設，重要聯絡人可設定為將貴機構網域的通知傳送至任何其他網域。這項限制會強制規定，只有已核准網域中的電子郵件地址才能設為重要聯絡人的收件者。

iam.allowedPolicyMemberDomains

根據預設，允許政策可授予任何 Google 帳戶，包括未受管理的帳戶，以及屬於外部機構的帳戶。這項限制可確保貴機構中的允許政策，只能授予您自有網域中的受管理帳戶。您也可以允許其他網域。

iam.automaticIamGrantsForDefaultServiceAccounts

根據預設，預設服務帳戶會自動獲得過度寬鬆的角色。這項限制可防止系統自動為預設服務帳戶授予身分與存取權管理角色。

iam.disableServiceAccountKeyCreation

服務帳戶金鑰是高風險的持續性憑證，在大多數情況下，您可以使用比服務帳戶金鑰更安全的替代方案。這項限制會禁止建立服務帳戶金鑰。

iam.disableServiceAccountKeyUpload

上傳服務帳戶金鑰內容可能會增加金鑰內容外洩的風險。這項限制會禁止上傳服務帳戶金鑰。

sql.restrictAuthorizedNetworks

如果 Cloud SQL 執行個體設定為使用授權網路，但沒有 Cloud SQL 驗證 Proxy，則可能會暴露於未經認證的網際網路存取。這項政策會禁止設定授權網路，以便存取資料庫，並強制改用 Cloud SQL 驗證 Proxy。

sql.restrictPublicIp

如果您使用公開 IP 位址建立 Cloud SQL 執行個體，可能會暴露未經認證的網際網路存取權。這項限制可防止 Cloud SQL 執行個體使用公開 IP 位址。

storage.uniformBucketLevelAccess

根據預設，您可以透過舊版存取控制清單 (ACL) 存取 Cloud Storage 中的物件，而非 IAM，這可能會導致存取控制不一致，並在設定錯誤時意外洩漏。iam.allowedPolicyMemberDomains 限制不會影響舊版 ACL 存取權。這項限制會強制規定只能透過 IAM 統一值區層級存取權設定存取權，而非舊版 ACL。

storage.publicAccessPrevention

如果設定不正確，Cloud Storage 值區可能會暴露給未經驗證的網際網路存取。這項限制會封鎖將存取權授予 allUsers 和 allAuthenticatedUsers 的 ACL 和 IAM 權限。