适用于“从设计上保证安全”的预定义状态（已扩展）

本页介绍了“默认安全，扩展”预定义姿态的 v1.0 版本中包含的预防性政策。这种预定义的姿态有助于防止由默认设置导致的常见配置错误和常见安全问题。

您可以使用此预定义的安全状况来配置有助于保护Google Cloud 资源的安全状况。如果您想部署此预定义的安全状况，必须自定义部分政策，使其适用于您的环境。

政策 说明 合规性标准
iam.disableServiceAccountKeyCreation

此限制条件可防止用户为服务账号创建永久密钥，从而降低服务账号凭据泄露的风险。

值为 true 时，表示停用服务账号密钥创建功能。

 NIST SP 800-53 控制措施：AC-2
iam.automaticIamGrantsForDefaultServiceAccounts

此限制条件可防止默认服务账号在创建时获得权限过高的 Identity and Access Management (IAM) 角色 Editor。

值为 false 时，表示停用默认服务账号的自动 IAM 授权。

 NIST SP 800-53 控制措施：AC-3
iam.disableServiceAccountKeyUpload

此限制条件可避免服务账号密钥中泄露和重复使用自定义密钥材料的风险。

值为 true 时，表示停用服务账号密钥上传功能。

 NIST SP 800-53 控制措施：AC-6
storage.publicAccessPrevention

此政策可防止 Cloud Storage 存储分区向未经身份验证的公众开放。

值为 true，可防止公开访问存储分区。

 NIST SP 800-53 控制措施：AC-3 和 AC-6
iam.allowedPolicyMemberDomains

此政策会限制 IAM 政策，从而仅允许所选网域中受管理的用户访问此组织内的资源。

值为 directoryCustomerId，用于限制网域之间的共享。

 NIST SP 800-53 控制措施：AC-3、AC-6 和 IA-2
essentialcontacts.allowedContactDomains

此政策会限制“重要联系人”名单，从而仅允许所选网域中受管理的用户接收平台通知。

其值为 @google.com。您必须更改该值以匹配您的网域。

 NIST SP 800-53 控制措施：AC-3、AC-6 和 IA-2
storage.uniformBucketLevelAccess

此政策可防止 Cloud Storage 存储分区使用按对象 ACL（与 IAM 政策分开的系统）来提供访问权限，从而确保访问管理和审核的一致性。

该值为 true，用于强制实施统一存储桶级访问权限。

 NIST SP 800-53 控制措施：AC-3 和 AC-6
compute.requireOsLogin

此政策要求在新创建的虚拟机上启用 OS Login，以便更轻松地管理 SSH 密钥、通过 IAM 政策提供资源级权限，以及记录用户访问权限。

值为 true 表示需要 OS Login。

 NIST SP 800-53 控制措施：AC-3 和 AU-12
compute.disableSerialPortAccess

此政策可防止用户访问虚拟机串行端口，该端口可用于通过 Compute Engine API 控制平面进行后门访问。

值为 true 时，表示禁止访问虚拟机串行端口。

 NIST SP 800-53 控制措施：AC-3 和 AC-6
compute.restrictXpnProjectLienRemoval

此政策通过限制项目安全锁的移除来防止意外删除共享 VPC 宿主项目。

值为 true 时，表示限制共享 VPC 项目安全锁移除作业。

 NIST SP 800-53 控制措施：AC-3 和 AC-6
compute.vmExternalIpAccess

此政策可防止创建具有公共 IP 地址的 Compute Engine 实例，此类地址可能会向传入互联网流量和传出互联网流量开放实例。

值为 denyAll 时，表示关闭来自公共 IP 地址的所有访问。

 NIST SP 800-53 控制措施：AC-3 和 AC-6
compute.skipDefaultNetworkCreation

此政策会禁止在每个新项目中自动创建默认 VPC 网络和默认防火墙规则，从而确保网络和防火墙规则是故意创建的。

该值为 true，以避免创建默认 VPC 网络。

 NIST SP 800-53 控制措施：AC-3 和 AC-6
compute.setNewProjectDefaultToZonalDNSOnly

此政策会限制应用开发者为 Compute Engine 实例选择服务可靠性低于现代 DNS 设置的旧版 DNS 设置。

对于新项目，该值为 Zonal DNS only。

 NIST SP 800-53 控制措施：AC-3 和 AC-6
sql.restrictPublicIp

此政策可防止创建具有公共 IP 地址的 Cloud SQL 实例，此类地址可能会向传入互联网流量和传出互联网流量开放实例。

值为 true，用于限制通过公共 IP 地址对 Cloud SQL 实例的访问。

 NIST SP 800-53 控制措施：AC-3 和 AC-6
sql.restrictAuthorizedNetworks

此政策可防止公共或非 RFC 1918 网络范围访问 Cloud SQL 数据库。

值为 true 时，表示限制 Cloud SQL 实例上的授权网络。

 NIST SP 800-53 控制措施：AC-3 和 AC-6
compute.restrictProtocolForwardingCreationForTypes

此政策仅允许为内部 IP 地址转发虚拟机协议。

值为 INTERNAL，表示根据 IP 地址类型限制协议转发。

 NIST SP 800-53 控制措施：AC-3 和 AC-6
compute.disableVpcExternalIpv6

此政策会阻止创建外部 IPv6 子网，此类子网可能会暴露于传入和传出的互联网流量。

值为 true 时，表示停用外部 IPv6 子网。

 NIST SP 800-53 控制措施：AC-3 和 AC-6
compute.disableNestedVirtualization

此政策会停用嵌套虚拟化，以降低因不受监控的嵌套实例而导致的安全风险。

值为 true 时，表示关闭虚拟机嵌套虚拟化。

 NIST SP 800-53 控制措施：AC-3 和 AC-6

查看姿态模板

如需查看“默认安全”扩展版姿态模板，请执行以下操作：

gcloud

在使用下面的命令数据之前，请先进行以下替换：

  • ORGANIZATION_ID：组织的数字 ID

执行 gcloud scc posture-templates describe 命令：

Linux、macOS 或 Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

Windows (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

响应包含姿势模板。

REST

在使用任何请求数据之前，请先进行以下替换：

  • ORGANIZATION_ID：组织的数字 ID

HTTP 方法和网址：

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

如需发送您的请求，请展开以下选项之一：

响应包含姿势模板。

后续步骤