您可以使用 v1.0 預先定義的防護機制範本 (預設採用安全設定，擴充版)，設定資安態勢。這項設定有助於保護 Google Cloud資源，避免常見的設定錯誤和潛在不安全的預設設定。
部署這個範本前，您必須自訂部分政策，以便套用至您的環境。
組織政策限制
下表說明這個防護機制範本包含的組織政策限制。
| 政策 | 說明 | 法規遵循標準 |
|---|---|---|
iam.disableServiceAccountKeyCreation |
這項限制可防止使用者為服務帳戶建立永久金鑰，降低服務帳戶憑證外洩的風險。 值為 |
NIST SP 800-53 控制措施：AC-2 |
iam.automaticIamGrantsForDefaultServiceAccounts |
這項限制可防止預設服務帳戶在建立時，取得權限過於寬鬆的 Identity and Access Management (IAM) 角色「編輯者」。 值為 |
NIST SP 800-53 控制措施：AC-3 |
iam.disableServiceAccountKeyUpload |
這項限制可避免服務帳戶金鑰中，自訂金鑰內容外洩和重複使用的風險。 值為 |
NIST SP 800-53 控制措施：AC-6 |
storage.publicAccessPrevention |
這項政策可防止 Cloud Storage bucket 開放未經驗證的公開存取權。 值為 |
NIST SP 800-53 控制措施：AC-3 和 AC-6 |
iam.allowedPolicyMemberDomains |
這項政策會限制 IAM 政策，僅允許所選網域中的受管理使用者身分存取這個組織內的資源。 值為 |
NIST SP 800-53 控制措施：AC-3、AC-6 和 IA-2 |
essentialcontacts.allowedContactDomains |
這項政策會限制「重要聯絡人」，僅允許所選網域中的受管理使用者接收平台通知。 值為 |
NIST SP 800-53 控制措施：AC-3、AC-6 和 IA-2 |
storage.uniformBucketLevelAccess |
這項政策會禁止 Cloud Storage bucket 使用個別物件 ACL (與 IAM 政策不同的系統) 提供存取權，強制執行一致的存取權管理和稽核。 值為 |
NIST SP 800-53 控制措施：AC-3 和 AC-6 |
compute.requireOsLogin |
這項政策規定新建立的 VM 必須啟用 OS 登入功能，以便更輕鬆地管理安全殼層金鑰、透過 IAM 政策提供資源層級權限，以及記錄使用者存取權。 值為 |
NIST SP 800-53 控制措施：AC-3 和 AU-12 |
compute.disableSerialPortAccess |
這項政策可防止使用者存取 VM 序列埠，避免他們透過 Compute Engine API 控制層存取後門。 值為 |
NIST SP 800-53 控制措施：AC-3 和 AC-6 |
compute.restrictXpnProjectLienRemoval |
這項政策會限制移除專案防刪除鎖定，防止誤刪 Shared VPC 主專案。 值為 |
NIST SP 800-53 控制措施：AC-3 和 AC-6 |
compute.vmExternalIpAccess |
這項政策會禁止建立具有公開 IP 位址的 Compute Engine 執行個體，以免執行個體接觸到傳入和傳出的網際網路流量。 值為 |
NIST SP 800-53 控制措施：AC-3 和 AC-6 |
compute.skipDefaultNetworkCreation |
這項政策會停用在每個新專案中自動建立預設虛擬私有雲網路和預設防火牆規則的功能，確保網路和防火牆規則是刻意建立。 值為 |
NIST SP 800-53 控制措施：AC-3 和 AC-6 |
compute.setNewProjectDefaultToZonalDNSOnly |
這項政策會限制應用程式開發人員為 Compute Engine 執行個體選擇舊版 DNS 設定，因為這類設定的服務可靠性低於新版 DNS 設定。 新專案的值為 |
NIST SP 800-53 控制措施：AC-3 和 AC-6 |
sql.restrictPublicIp |
這項政策會禁止建立具有公開 IP 位址的 Cloud SQL 執行個體，以免執行個體接觸到傳入和傳出的網路流量。 值為 |
NIST SP 800-53 控制措施：AC-3 和 AC-6 |
sql.restrictAuthorizedNetworks |
這項政策會禁止公開或非 RFC 1918 網路範圍存取 Cloud SQL 資料庫。 值為 |
NIST SP 800-53 控管措施：AC-3 和 AC-6 |
compute.restrictProtocolForwardingCreationForTypes |
這項政策僅允許為內部 IP 位址執行 VM 通訊協定轉送。 值為 |
NIST SP 800-53 控制措施：AC-3 和 AC-6 |
compute.disableVpcExternalIpv6 |
這項政策可防止建立外部 IPv6 子網路，以免子網路暴露於傳入和傳出的網際網路流量。 值為 |
NIST SP 800-53 控制措施：AC-3 和 AC-6 |
compute.disableNestedVirtualization |
這項政策會停用巢狀虛擬化功能，降低未受監控的巢狀執行個體帶來的安全性風險。 值為 |
NIST SP 800-53 控制措施：AC-3 和 AC-6 |
查看防護機制範本
如要查看預設採用安全設定 (擴充) 的防護機制範本，請按照下列步驟操作：
gcloud
使用下列任何指令資料前，請先替換以下項目：
-
ORGANIZATION_ID：組織的數字 ID。
執行 gcloud scc posture-templates
describe 指令：
Linux、macOS 或 Cloud Shell
gcloud scc posture-templates describe \ organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended
Windows (PowerShell)
gcloud scc posture-templates describe ` organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended
Windows (cmd.exe)
gcloud scc posture-templates describe ^ organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended
回應中會包含防護機制範本。
REST
使用任何要求資料之前，請先修改下列項目的值：
-
ORGANIZATION_ID：組織的數字 ID。
HTTP 方法和網址：
GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended
請展開以下其中一個選項，以傳送要求：
回應中會包含防護機制範本。