此页面由 Cloud Translation API 翻译。

适用于“从设计上保证安全”的预定义状态（已扩展）

本页介绍了“默认安全，已扩展”预定义状态 v1.0 版本中包含的预防性政策。此预定义状态有助于防止由默认设置导致的常见错误配置和常见安全问题。

您可以使用此预定义态势来配置有助于保护 Google Cloud 资源的安全态势。如果您想部署此预定义状态，则必须自定义某些政策，以便将其应用于您的环境。

政策	说明	合规性标准
`iam.disableServiceAccountKeyCreation`	此限制条件会阻止用户为服务账号创建永久密钥，以降低服务账号凭据泄露的风险。值为 `true` 表示停用服务账号密钥创建功能。	NIST SP 800-53 控制措施：AC-2
`iam.automaticIamGrantsForDefaultServiceAccounts`	此约束条件可防止默认服务账号在创建时获得权限过高的 Identity and Access Management (IAM) 角色 Editor。值为 `false` 表示停用默认服务账号的自动 IAM 授权。	NIST SP 800-53 控制措施：AC-3
`iam.disableServiceAccountKeyUpload`	此限制条件可避免服务账号密钥中的自定义密钥材料泄露和重复使用。值为 `true` 表示停用服务账号密钥上传。	NIST SP 800-53 控制措施：AC-6
`storage.publicAccessPrevention`	此政策可防止 Cloud Storage 存储分区向未经身份验证的公众开放。值为 `true` 表示禁止对存储分区进行公开访问。	NIST SP 800-53 控制措施：AC-3 和 AC-6
`iam.allowedPolicyMemberDomains`	此政策会限制 IAM 政策，从而仅允许所选网域中受管理的用户访问此组织内的资源。值为 `directoryCustomerId` 时，表示限制网域之间的共享。	NIST SP 800-53 控制措施：AC-3、AC-6 和 IA-2
`essentialcontacts.allowedContactDomains`	此政策会限制“重要联系人”名单，从而仅允许所选网域中受管理的用户接收平台通知。其值为 `@google.com`。您必须更改该值，使其与您的网域相匹配。	NIST SP 800-53 控制措施：AC-3、AC-6 和 IA-2
`storage.uniformBucketLevelAccess`	此政策可防止 Cloud Storage 存储分区使用按对象 ACL（与 IAM 政策不同的系统）提供访问权限，从而强制执行访问权限管理和审核的一致性。值为 `true` 表示强制执行统一存储桶级访问权限。	NIST SP 800-53 控制措施：AC-3 和 AC-6
`compute.requireOsLogin`	此政策要求新创建的虚拟机必须使用 OS Login，以便更轻松地管理 SSH 密钥、使用 IAM 政策提供资源级权限，以及记录用户访问情况。值为 `true` 表示要求 OS Login。	NIST SP 800-53 控制措施：AC-3 和 AU-12
`compute.disableSerialPortAccess`	此政策可防止用户访问虚拟机串行端口，该端口可用于通过 Compute Engine API 控制平面进行后门访问。值为 `true` 表示停用虚拟机串行端口访问权限。	NIST SP 800-53 控制措施：AC-3 和 AC-6
`compute.restrictXpnProjectLienRemoval`	此政策通过限制项目安全锁的移除，可防止意外删除共享 VPC 宿主项目。值为 `true` 表示限制共享 VPC 项目安全锁移除。	NIST SP 800-53 控制措施：AC-3 和 AC-6
`compute.vmExternalIpAccess`	此政策会阻止创建具有公共 IP 地址的 Compute Engine 实例，此类地址可能会向传入互联网流量和传出互联网流量开放实例。值为 `denyAll` 表示关闭来自公共 IP 地址的所有访问。	NIST SP 800-53 控制措施：AC-3 和 AC-6
`compute.skipDefaultNetworkCreation`	此政策会停用在每个新项目中自动创建默认 VPC 网络和默认防火墙规则的功能，以确保有意创建网络和防火墙规则。值为 `true`，以避免创建默认 VPC 网络。	NIST SP 800-53 控制措施：AC-3 和 AC-6
`compute.setNewProjectDefaultToZonalDNSOnly`	此政策限制应用开发者为 Compute Engine 实例选择旧版 DNS 设置，因为旧版 DNS 设置的服务可靠性低于新版 DNS 设置。对于新项目，该值为 `Zonal DNS only`。	NIST SP 800-53 控制措施：AC-3 和 AC-6
`sql.restrictPublicIp`	此政策可防止创建具有公共 IP 地址的 Cloud SQL 实例，此类地址可能会向传入互联网流量和传出互联网流量开放实例。值为 `true` 表示限制通过公共 IP 地址访问 Cloud SQL 实例。	NIST SP 800-53 控制措施：AC-3 和 AC-6
`sql.restrictAuthorizedNetworks`	此政策可阻止公共或非 RFC 1918 网络范围访问 Cloud SQL 数据库。值为 `true` 时，表示限制 Cloud SQL 实例上的已授权网络。	NIST SP 800-53 控制措施：AC-3 和 AC-6
`compute.restrictProtocolForwardingCreationForTypes`	此政策仅允许为内部 IP 地址转发虚拟机协议。值为 `INTERNAL` 表示根据 IP 地址类型限制协议转发。	NIST SP 800-53 控制措施：AC-3 和 AC-6
`compute.disableVpcExternalIpv6`	此政策会阻止创建外部 IPv6 子网，此类子网可能向传入和传出互联网流量开放。值为 `true` 表示停用外部 IPv6 子网。	NIST SP 800-53 控制措施：AC-3 和 AC-6
`compute.disableNestedVirtualization`	此政策会停用嵌套虚拟化，以降低因不受监控的嵌套实例而导致的安全风险。值为 `true` 表示关闭虚拟机嵌套虚拟化。	NIST SP 800-53 控制措施：AC-3 和 AC-6

查看安全状况模板

如需查看“默认安全，已扩展”的安全状况模板，请执行以下操作：

gcloud

在使用下面的命令数据之前，请先进行以下替换：

ORGANIZATION_ID：组织的数字 ID

执行 gcloud scc posture-templates describe 命令：

Linux、macOS 或 Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

Windows (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

响应包含配置状态模板。

REST

在使用任何请求数据之前，请先进行以下替换：

ORGANIZATION_ID：组织的数字 ID

HTTP 方法和网址：

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

如需发送您的请求，请展开以下选项之一：

curl（Linux、macOS 或 Cloud Shell）

注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI，或者使用了 Cloud Shell，这会使您自动登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

执行以下命令：

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended"

PowerShell (Windows)

注意：以下命令假定您已使用您的用户账号通过运行 gcloud init 或 gcloud auth login 登录 gcloud CLI。您可以运行 gcloud auth list 来检查当前活跃的账号。

执行以下命令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended" | Select-Object -Expand Content

响应包含配置状态模板。

后续步骤

使用此预定义安全状况创建安全状况。