Mit Sammlungen den Überblick behalten
Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.
Auf dieser Seite werden die präventiven und aufdeckenden Richtlinien beschrieben, die in der Version 1.0.0 der vordefinierten Baseline für sichere KI, Essentials, enthalten sind. Diese Haltung umfasst zwei Richtliniensätze:
Ein Richtliniensatz, der Organisationsrichtlinien enthält, die für Vertex AI-Arbeitslasten gelten.
Ein Richtliniensatz, der benutzerdefinierte Security Health Analytics-Detektoren enthält, die auf Vertex AI-Arbeitslasten angewendet werden.
Mit dieser Konfiguration können Sie eine Sicherheitskonfiguration erstellen, die Gemini- und Vertex AI-Ressourcen schützt. Sie können diese vordefinierte Einstellung ohne Änderungen bereitstellen.
Richtlinie
Beschreibung
Compliancestandards
ainotebooks.disableFileDownloads
Diese Einschränkung verhindert das Erstellen von Vertex AI Workbench-Instanzen mit aktivierter Option zum Herunterladen von Dateien. Standardmäßig kann die Option zum Herunterladen von Dateien in jeder beliebigen Vertex AI Workbench-Instanz aktiviert werden.
Der Wert ist true, um Dateidownloads auf neuen Vertex AI Workbench-Instanzen zu deaktivieren.
NIST SP 800-53-Kontrolle: AC-3(1)
ainotebooks.disableRootAccess
Diese Einschränkung verhindert, dass auf neu erstellten, von Nutzern verwalteten Vertex AI Workbench-Notebooks und ‑Instanzen der Root-Zugriff aktiviert wird. Standardmäßig kann der Root-Zugriff auf von Nutzern verwalteten Vertex AI Workbench-Notebooks und ‑Instanzen aktiviert sein.
Der Wert ist true, um den Root-Zugriff auf neuen, von Nutzern verwalteten Vertex AI Workbench-Notebooks und ‑Instanzen zu deaktivieren.
NIST SP 800-53-Kontrolle: AC-3 und AC-6(2)
ainotebooks.disableTerminal
Diese Einschränkung verhindert das Erstellen von Vertex AI Workbench-Instanzen mit aktiviertem Terminal. Standardmäßig kann das Terminal in Vertex AI Workbench-Instanzen aktiviert werden.
Der Wert ist true, um das Terminal auf neuen Vertex AI Workbench-Instanzen zu deaktivieren.
NIST SP 800-53-Kontrolle: AC-3, AC-6 und CM-2
ainotebooks.requireAutoUpgradeSchedule
Diese Einschränkung erfordert, dass für neu erstellte, von Nutzern verwaltete Vertex AI Workbench-Notebooks und ‑Instanzen ein Zeitplan für automatische Upgrades festgelegt wird.
Der Wert ist true, um automatische geplante Upgrades auf neuen, von Nutzern verwalteten Vertex AI Workbench-Notebooks und ‑Instanzen zu verlangen.
NIST SP 800-53-Kontrolle: AU-9, CM-2 und CM-6
ainotebooks.restrictPublicIp
Diese Einschränkung schränkt den Zugriff auf neu erstellte Vertex AI Workbench-Notebooks und ‑Instanzen über öffentliche IP-Adressen ein. Standardmäßig kann über öffentliche IP-Adressen auf Vertex AI Workbench-Notebooks und ‑Instanzen zugegriffen werden.
Der Wert ist true, um den Zugriff über öffentliche IP-Adressen auf neue Vertex AI Workbench-Notebooks und ‑Instanzen einzuschränken.
NIST SP 800-53-Kontrolle: AC-3, AC-4 und SC-7
Security Health Analytics – Detektoren
In der folgenden Tabelle werden die benutzerdefinierten Module für Security Health Analytics beschrieben, die in der vordefinierten Konfiguration enthalten sind.
Prüfen Sie, ob Sie den Schlüssel und den Schlüsselbund erstellt, Berechtigungen eingerichtet und den Schlüssel beim Erstellen des Datasets angegeben haben. Eine Anleitung finden Sie unter CMEK für Ihre Ressourcen konfigurieren.
NIST SP 800-53-Kontrolle: SC-12 und SC-13
vertexAIModelCMEKDisabled
aiplatform.googleapis.com/Model
Dieser Detektor prüft, ob ein Modell nicht mit einem CMEK verschlüsselt ist.
Um dieses Problem zu beheben, prüfen Sie, ob Sie den Schlüssel und den Schlüsselbund erstellt, Berechtigungen eingerichtet und den Schlüssel beim Erstellen des Modells angegeben haben. Eine Anleitung finden Sie unter CMEK für Ihre Ressourcen konfigurieren.
NIST SP 800-53-Kontrolle: SC-12 und SC-13
vertexAIEndpointCMEKDisabled
aiplatform.googleapis.com/Endpoint
Dieser Detektor prüft, ob ein Endpunkt nicht mit einem CMEK verschlüsselt ist.
Um dieses Problem zu beheben, prüfen Sie, ob Sie den Schlüssel und den Schlüsselbund erstellt, Berechtigungen eingerichtet und den Schlüssel beim Erstellen des Endpunkts angegeben haben. Eine Anleitung finden Sie unter CMEK für Ihre Ressourcen konfigurieren.
NIST SP 800-53-Kontrolle: SC-12 und SC-13
vertexAITrainingPipelineCMEKDisabled
aiplatform.googleapis.com/TrainingPipeline
Dieser Detektor prüft, ob eine Trainingspipeline nicht mit einem CMEK verschlüsselt ist.
Prüfen Sie, ob Sie den Schlüssel und den Schlüsselbund erstellt, Berechtigungen eingerichtet und den Schlüssel beim Erstellen der Trainingspipeline angegeben haben, um dieses Problem zu beheben. Eine Anleitung finden Sie unter CMEK für Ihre Ressourcen konfigurieren.
Prüfen Sie, ob Sie den Schlüssel und den Schlüsselring erstellt, Berechtigungen eingerichtet und den Schlüssel beim Erstellen des benutzerdefinierten Jobs angegeben haben, um dieses Problem zu beheben. Eine Anleitung finden Sie unter CMEK für Ihre Ressourcen konfigurieren.
Um dieses Problem zu beheben, prüfen Sie, ob Sie den Schlüssel und den Schlüsselbund erstellt, Berechtigungen eingerichtet und den Schlüssel beim Erstellen des Hyperparameter-Abstimmungsjobs angegeben haben. Eine Anleitung finden Sie unter CMEK für Ihre Ressourcen konfigurieren.
NIST SP 800-53-Kontrolle: SC-12 und SC-13
Statusvorlage ansehen
So rufen Sie die Vorlage für die Sicherheitslage für Secure AI Essentials auf:
gcloud
Ersetzen Sie folgende Werte, bevor sie einen der Befehlsdaten verwenden:
ORGANIZATION_ID: die numerische ID der Organisation
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-08-21 (UTC)."],[],[],null,["# Predefined posture for secure AI, essentials\n\n| Premium and Enterprise [service tiers](/security-command-center/docs/service-tiers) (requires [organization-level activation](/security-command-center/docs/activate-scc-overview#overview_of_organization-level_activation))\n\nThis page describes the preventative and detective policies that are included in\nthe v1.0.0 version of the predefined posture for secure AI, essentials. This\nposture includes two policy sets:\n\n- A policy set that includes organization policies that apply to\n Vertex AI workloads.\n\n- A policy set that includes custom Security Health Analytics detectors that apply to\n Vertex AI workloads.\n\nYou can use this posture to configure a security posture that helps protect\nGemini and\nVertex AI resources. You can deploy this predefined posture without\nmaking any changes.\n\nSecurity Health Analytics detectors\n-----------------------------------\n\nThe following table describes the custom modules for Security Health Analytics that are\nincluded in the predefined posture.\n\nView the posture template\n-------------------------\n\n\nTo view the posture template for secure AI, essentials, do the following: \n\n### gcloud\n\n\nBefore using any of the command data below,\nmake the following replacements:\n\n- \u003cvar translate=\"no\"\u003eORGANIZATION_ID\u003c/var\u003e: the numeric ID of the organization\n\n\nExecute the\n\n\n[`gcloud scc posture-templates\ndescribe`](/sdk/gcloud/reference/scc/posture-templates/describe)\n\n\ncommand:\n\n#### Linux, macOS, or Cloud Shell\n\n```bash\ngcloud scc posture-templates describe \\\n organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_essential\n```\n\n#### Windows (PowerShell)\n\n```bash\ngcloud scc posture-templates describe `\n organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_essential\n```\n\n#### Windows (cmd.exe)\n\n```bash\ngcloud scc posture-templates describe ^\n organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_essential\n```\n\nThe response contains the posture template.\n\n### REST\n\n\nBefore using any of the request data,\nmake the following replacements:\n\n- \u003cvar translate=\"no\"\u003eORGANIZATION_ID\u003c/var\u003e: the numeric ID of the organization\n\n\nHTTP method and URL:\n\n```\nGET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_essential\n```\n\nTo send your request, expand one of these options:\n\n#### curl (Linux, macOS, or Cloud Shell)\n\n| **Note:** The following command assumes that you have logged in to the `gcloud` CLI with your user account by running [`gcloud init`](/sdk/gcloud/reference/init) or [`gcloud auth login`](/sdk/gcloud/reference/auth/login) , or by using [Cloud Shell](/shell/docs), which automatically logs you into the `gcloud` CLI . You can check the currently active account by running [`gcloud auth list`](/sdk/gcloud/reference/auth/list).\n\n\nExecute the following command:\n\n```\ncurl -X GET \\\n -H \"Authorization: Bearer $(gcloud auth print-access-token)\" \\\n \"https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_essential\"\n```\n\n#### PowerShell (Windows)\n\n| **Note:** The following command assumes that you have logged in to the `gcloud` CLI with your user account by running [`gcloud init`](/sdk/gcloud/reference/init) or [`gcloud auth login`](/sdk/gcloud/reference/auth/login) . You can check the currently active account by running [`gcloud auth list`](/sdk/gcloud/reference/auth/list).\n\n\nExecute the following command:\n\n```\n$cred = gcloud auth print-access-token\n$headers = @{ \"Authorization\" = \"Bearer $cred\" }\n\nInvoke-WebRequest `\n -Method GET `\n -Headers $headers `\n -Uri \"https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_essential\" | Select-Object -Expand Content\n```\n\nThe response contains the posture template.\n\nWhat's next\n-----------\n\n- [Create a security posture using this predefined posture](/security-command-center/docs/how-to-use-security-posture)."]]
