Cette page décrit les règles préventives et de détection incluses dans la version 1.0.0 de la posture prédéfinie "Secure AI, essentials" (IA sécurisée, principes de base). Cette posture inclut deux ensembles de règles :
Ensemble de règles incluant des règles d'administration qui s'appliquent aux charges de travail Vertex AI.
Ensemble de règles incluant des détecteurs Security Health Analytics personnalisés qui s'appliquent aux charges de travail Vertex AI.
Vous pouvez utiliser cette posture pour configurer une posture de sécurité qui permet de protéger les ressources Gemini et Vertex AI. Vous pouvez déployer cette posture prédéfinie sans apporter de modifications.
| Règle | Description | Normes de conformité |
|---|---|---|
ainotebooks.disableFileDownloads |
Cette contrainte empêche la création d'instances Vertex AI Workbench avec l'option de téléchargement de fichiers activée. Par défaut, l'option de téléchargement de fichiers peut être activée sur n'importe quelle instance Vertex AI Workbench. La valeur est |
Contrôle NIST SP 800-53 : AC-3(1) |
ainotebooks.disableRootAccess |
Cette contrainte empêche les notebooks et instances Vertex AI Workbench gérés par l'utilisateur nouvellement créés d'activer l'accès root. L'accès root peut être activé par défaut sur les notebooks et instances Vertex AI Workbench gérés par l'utilisateur. La valeur est |
Contrôle NIST SP 800-53 : AC-3 et AC-6(2) |
ainotebooks.disableTerminal |
Cette contrainte empêche la création d'instances Vertex AI Workbench avec le terminal activé. Par défaut, le terminal peut être activé sur les instances Vertex AI Workbench. La valeur est |
Contrôles NIST SP 800-53 : AC-3, AC-6 et CM-2 |
ainotebooks.requireAutoUpgradeSchedule |
Cette contrainte impose aux notebooks et instances Vertex AI Workbench gérés par l'utilisateur nouvellement créés de définir une programmation des mises à niveau automatiques. La valeur est |
Contrôles NIST SP 800-53 : AU-9, CM-2 et CM-6 |
ainotebooks.restrictPublicIp |
Cette contrainte limite l'accès depuis des adresses IP publiques aux instances et notebooks Vertex AI Workbench nouvellement créés. Par défaut, les adresses IP publiques peuvent accéder aux notebooks et instances Vertex AI Workbench. La valeur est |
Contrôles NIST SP 800-53 : AC-3, AC-4 et SC-7 |
Détecteurs Security Health Analytics
Le tableau suivant décrit les modules personnalisés pour Security Health Analytics inclus dans la posture prédéfinie.
| Nom du détecteur | Ressource concernée | Description | Normes de conformité |
|---|---|---|---|
| vertexAIDataSetCMEKDisabled | aiplatform.googleapis.com/Dataset |
Ce détecteur vérifie si un ensemble de données n'est pas chiffré à l'aide d'une clé de chiffrement gérée par le client (CMEK). Pour résoudre ce problème, vérifiez que vous avez créé la clé et le trousseau de clés, configuré les autorisations et fourni la clé lorsque vous avez créé votre ensemble de données. Pour obtenir des instructions, consultez Configurer les CMEK pour vos ressources. |
Contrôle NIST SP 800-53 : SC-12 et SC-13 |
| vertexAIModelCMEKDisabled | aiplatform.googleapis.com/Model |
Ce détecteur vérifie si un modèle n'est pas chiffré à l'aide d'une clé CMEK. Pour résoudre ce problème, vérifiez que vous avez créé la clé et le trousseau de clés, configuré les autorisations et fourni la clé lorsque vous avez créé votre modèle. Pour obtenir des instructions, consultez Configurer les CMEK pour vos ressources. |
Contrôles NIST SP 800-53 : SC-12 et SC-13 |
| vertexAIEndpointCMEKDisabled | aiplatform.googleapis.com/Endpoint |
Ce détecteur vérifie si un point de terminaison n'est pas chiffré à l'aide d'une clé CMEK. Pour résoudre ce problème, vérifiez que vous avez créé la clé et le trousseau de clés, configuré les autorisations et fourni la clé lorsque vous avez créé votre point de terminaison. Pour obtenir des instructions, consultez Configurer les CMEK pour vos ressources. |
Contrôle NIST SP 800-53 : SC-12 et SC-13 |
| vertexAITrainingPipelineCMEKDisabled | aiplatform.googleapis.com/TrainingPipeline |
Ce détecteur vérifie si un pipeline d'entraînement n'est pas chiffré à l'aide d'une clé CMEK. Pour résoudre ce problème, vérifiez que vous avez créé la clé et le trousseau de clés, configuré les autorisations et fourni la clé lorsque vous avez créé votre pipeline d'entraînement. Pour obtenir des instructions, consultez Configurer les CMEK pour vos ressources. |
Contrôles NIST SP 800-53 : SC-12 et SC-13 |
| vertexAICustomJobCMEKDisabled | aiplatform.googleapis.com/CustomJob |
Ce détecteur vérifie si un job qui exécute une charge de travail personnalisée n'est pas chiffré à l'aide d'une clé CMEK. Pour résoudre ce problème, vérifiez que vous avez créé la clé et le trousseau de clés, configuré les autorisations et fourni la clé lorsque vous avez créé votre job personnalisé. Pour obtenir des instructions, consultez Configurer les CMEK pour vos ressources. |
Contrôle NIST SP 800-53 : SC-12 et SC-13 |
| vertexAIDataLabelingJobHyperparameterTuningJobCMEKDisabled | aiplatform.googleapis.com/HyperparameterTuningJob |
Ce détecteur vérifie si un job de réglage d'hyperparamètres n'est pas chiffré à l'aide d'une clé CMEK. Pour résoudre ce problème, vérifiez que vous avez créé la clé et le trousseau de clés, configuré les autorisations et fourni la clé lorsque vous avez créé votre tâche de réglage d'hyperparamètres. Pour obtenir des instructions, consultez Configurer les CMEK pour vos ressources. |
Contrôle NIST SP 800-53 : SC-12 et SC-13 |
Afficher le modèle de posture
Pour afficher le modèle de posture pour Secure AI Essentials :
gcloud
Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :
-
ORGANIZATION_ID: ID numérique de l'organisation
Exécutez la commande
gcloud scc posture-templates
describe
:
Linux, macOS ou Cloud Shell
gcloud scc posture-templates describe \ organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_essential
Windows (PowerShell)
gcloud scc posture-templates describe ` organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_essential
Windows (cmd.exe)
gcloud scc posture-templates describe ^ organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_essential
La réponse contient le modèle de posture.
REST
Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants :
-
ORGANIZATION_ID: ID numérique de l'organisation
Méthode HTTP et URL :
GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_ai_essential
Pour envoyer votre requête, développez l'une des options suivantes :
La réponse contient le modèle de posture.