Postura predefinida para recursos essenciais e seguros por padrão

Essa restrição impede que os usuários criem chaves permanentes para contas de serviço, diminuindo o risco de exposição das credenciais da conta de serviço.

O valor é true para desativar a criação de chaves de conta de serviço.

Essa restrição impede que as contas de serviço padrão recebam o papel de Editor do Identity and Access Management (IAM) excessivamente permissivo na criação.

O valor é false para desativar as concessões automáticas do IAM para contas de serviço padrão.

Essa restrição evita o risco de vazamento e reutilização de material de chave personalizada em chaves de conta de serviço.

O valor é true para desativar os uploads de chaves de conta de serviço.

Essa política impede que os buckets do Cloud Storage sejam abertos para acesso público não autenticado.

O valor é true para impedir o acesso público a buckets.

Essa política impede que os buckets do Cloud Storage usem ACLs por objeto (um sistema separado das políticas do IAM) para fornecer acesso, garantindo a consistência do gerenciamento e da auditoria de acesso.

O valor é true para aplicar o acesso uniforme no nível do bucket.

Essa política exige o Login do SO em VMs recém-criadas para facilitar o gerenciamento de chaves SSH, fornecer permissão no nível do recurso com políticas do IAM e registrar o acesso do usuário.

O valor é true para exigir o login do SO.

Essa política impede que os usuários acessem a porta serial da VM, que pode ser usada para acesso por backdoor do plano de controle da API Compute Engine.

O valor é true para desativar o acesso à porta serial da VM.

Essa política impede a exclusão acidental de projetos host da VPC compartilhada ao restringir a remoção de garantias do projeto.

O valor é true para restringir a remoção da garantia do projeto de VPC compartilhada.

Essa política impede a criação de instâncias do Compute Engine com um endereço IP público, o que pode expô-las ao tráfego de entrada e saída da Internet.

O valor é denyAll para desativar todo o acesso de endereços IP públicos. Se quiser mudar para permitir que determinadas instâncias de VM tenham acesso público, defina os valores permitidos:

policy_rules:
    - values:
      allowed_values:
      - is:projects/PROJECT_ID/zones/ZONE/instances/INSTANCE

Essa política desativa a criação automática de uma rede VPC padrão e regras de firewall padrão em cada novo projeto, garantindo que as regras de rede e de firewall sejam criadas intencionalmente.

O valor é true para evitar a criação da rede VPC padrão.

Essa política impede que os desenvolvedores de aplicativos escolham configurações de DNS legadas para instâncias do Compute Engine que têm confiabilidade de serviço menor do que as configurações de DNS modernas.

O valor é Zonal DNS only para novos projetos.

Essa política impede a criação de instâncias do Cloud SQL com endereços IP públicos, que podem expô-las ao tráfego de entrada e saída da Internet.

O valor é true para restringir o acesso a instâncias do Cloud SQL por endereços IP públicos.

Essa política impede que intervalos de rede públicos ou não RFC 1918 acessem bancos de dados do Cloud SQL.

O valor é true para restringir redes autorizadas em instâncias do Cloud SQL.

Essa política permite o encaminhamento de protocolo da VM apenas para endereços IP internos.

O valor é INTERNAL para restringir o encaminhamento de protocolo com base no tipo de endereço IP.

Essa política impede a criação de sub-redes IPv6 externas, que podem ser expostas ao tráfego de Internet de entrada e saída.

O valor é true para desativar sub-redes IPv6 externas.

Essa política desativa a virtualização aninhada para todas as VMs do Compute Engine e diminui o risco de segurança relacionado a instâncias aninhadas não monitoradas.

O valor é true para desativar a virtualização aninhada de VM.