Google Cloud Well-Architected Framework 安全性支柱中的這項原則，可協助您找出能在軟體開發生命週期早期實施的實用控管措施，提升資安態勢。並提供建議，協助您實施預防性安全防護措施和部署後安全控管。
原則總覽
「測試左移安全性」是指在軟體開發生命週期的早期階段，就採用安全性做法。這項原則的目標如下：
- 在變更系統前，避免安全漏洞。實施預防性安全防護機制，並採用基礎架構即程式碼 (IaC)、政策即程式碼，以及 CI/CD 管道中的安全性檢查等做法。您也可以使用 Google Cloud中的其他平台專屬功能，例如組織政策服務和強化 GKE 叢集。
- 在提交任何系統變更後，及早、快速且可靠地偵測並修正安全性錯誤。採用程式碼審查、部署後安全漏洞掃描和安全性測試等做法。
「採用融入安全考量的設計」和「提早進行安全性測試」原則雖然相關，但範圍不同。安全設計原則可協助您避免根本設計缺陷，以免需要重新建構整個系統。舉例來說，威脅建模練習顯示目前的設計不包含授權政策，如果沒有授權政策，所有使用者都會擁有相同的存取層級。左移安全性可協助您在套用變更前避免實作缺陷 (錯誤和設定錯誤)，並在部署後快速、可靠地修正問題。
建議
如要為雲端工作負載實施左移安全性原則，請考慮下列各節的建議：
採用預防性安全控管機制
這項建議與下列重點領域相關：
- 身分與存取權管理
- 雲端管理、風險與法規遵循
預防性安全控管機制對於維持強大的雲端資安態勢至關重要。這些控制項可協助您主動降低風險。您可以防止設定錯誤和未經授權的資源存取行為、讓開發人員有效率地工作，並確保符合業界標準和內部政策。
使用基礎架構即程式碼 (IaC) 實作預防性安全控管機制，效果會更好。有了 IaC，預防性安全性控管機制就能在部署變更前，對基礎架構程式碼進行更多自訂檢查。搭配自動化功能，預防性安全控管機制可做為 CI/CD 管道自動檢查的一部分執行。
下列產品和 Google Cloud 功能可協助您在環境中實施預防性控制措施：
- 組織政策限制：透過集中控管機制，設定預先定義和自訂限制。
- VPC Service Controls：為 Google Cloud 服務建立 perimeter。
- Identity and Access Management (IAM)、Privileged Access Manager 和主體存取邊界政策：限制資源存取權。
- Policy Controller 和 Open Policy Agent (OPA)：在 CI/CD 管道中強制執行 IaC 限制，避免雲端設定錯誤。
IAM 可讓您根據權限，授權「哪些人」可以對特定資源執行操作。詳情請參閱「使用 IAM 控管組織資源的存取權」。
組織政策可讓您設定資源限制，指定資源的設定方式。舉例來說，您可以使用組織政策執行下列操作：
- 依據網域限制資源共用行為。
- 限制服務帳戶的使用。
- 限制新建立資源的實體位置。
除了使用組織政策外，您也可以透過下列方法限制資源存取權：
- 使用 IAM 標記：為一組資源指派標記，然後設定標記本身的存取權定義，而非定義每項資源的存取權限。
- IAM 條件：定義資源的條件式、以屬性為基礎的存取控管機制。
- 縱深防禦：使用 VPC Service Controls 進一步限制資源存取權。
如要進一步瞭解資源管理，請參閱「決定 Google Cloud 登陸區的資源階層」。
自動佈建及管理雲端資源
這項建議與下列重點領域相關：
- 應用程式安全防護
- 雲端管理、風險與法規遵循
相較於命令式指令碼，採用宣告式 IaC 可更有效地自動佈建及管理雲端資源和工作負載。IaC 本身並非安全性工具或做法，但可協助您提升平台安全性。採用 IaC 可讓您建立可重複的基礎架構，並為作業團隊提供已知的良好狀態。IaC 也能提高復原、稽核變更和疑難排解的效率。
IaC 與 CI/CD 管道和自動化功能結合後，您還能使用 OPA 等工具，採用政策即程式碼等做法。您可以稽核基礎架構隨時間發生的變更，並在部署變更前，對基礎架構程式碼執行自動檢查。
如要自動部署基礎架構，可以使用 Config Controller、Terraform、Jenkins 和 Cloud Build 等工具。為協助您使用 IaC 和自動化功能建構安全的應用程式環境，Google Cloud 提供了企業基礎藍圖。這份藍圖是 Google 認可的設計，遵循所有建議做法和設定。藍圖提供逐步操作說明，引導您使用 Terraform 和 Cloud Build 設定及部署 Google Cloud 拓撲。
您可以修改企業基礎藍圖的指令碼，設定符合 Google 建議和自身安全性需求的環境。您可以使用其他藍圖進一步建構藍圖，或自行設計自動化動作。Google Cloud Architecture Center 提供其他藍圖，可在企業基礎藍圖上實作。以下是這類藍圖的幾個範例：
- 在 Google Cloud部署企業開發人員平台
- 使用 Cloud Run 部署安全的無伺服器架構
- 在企業中建構及部署生成式 AI 和機器學習模型
- 將 Google Cloud 中的資料匯入安全的 BigQuery 資料倉儲
自動安全發布應用程式
這項建議與下列重點領域有關：應用程式安全防護。
如果沒有自動化工具，就很難部署、更新及修補複雜的應用程式環境，以符合一致的安全需求。建議您為軟體開發生命週期 (SDLC) 建構自動化 CI/CD 管道。自動化 CI/CD 管道可協助您消除人工錯誤、提供標準化開發意見回饋循環，並實現高效率的產品疊代。持續推送軟體更新是 DORA 架構建議的最佳做法之一。
使用 CI/CD 管道自動發布應用程式，有助於提升及早、快速且可靠地偵測及修正安全性錯誤的能力。舉例來說，您可以在建立構件時自動掃描安全漏洞、縮小安全性審查範圍，以及復原至已知且安全的版本。您也可以為不同環境 (例如開發、測試或正式環境) 定義政策，確保只部署經過驗證的構件。
為協助您自動發布應用程式，並在 CI/CD 管道中嵌入安全性檢查， Google Cloud 提供多項工具，包括 Cloud Build、Cloud Deploy、Web Security Scanner 和二進位授權。
如要建立程序，驗證 SDLC 中的多項安全性需求，請使用 Google 定義的軟體構件供應鏈級別 (SLSA) 架構。SLSA 要求對原始碼、建構程序和程式碼來源進行安全性檢查。其中許多要求都可以納入自動化 CI/CD 管道。如要瞭解 Google 如何在內部套用這些做法，請參閱「Google Cloud的變更方法」。
部署應用程式時，務必遵循經過核准的流程
這項建議與下列重點領域有關：應用程式安全防護。
如果攻擊者入侵 CI/CD 管道，整個應用程式堆疊都可能受到影響。為確保管道安全，請務必先強制執行既定的核准程序，再將程式碼部署至實際工作環境。
如果您使用 Google Kubernetes Engine (GKE) 或 Cloud Run，可以透過二進位授權建立核准程序。二進位授權會將可設定的簽章附加至容器映像檔。這些簽章 (也稱為認證) 有助於驗證映像檔。部署時，二進位授權會使用這些認證來判斷程序是否已完成。舉例來說，您可以使用二進位授權執行下列操作：
- 確認特定建構系統或 CI 管道已建立容器映像檔。
- 驗證容器映像檔是否符合安全漏洞簽署政策。
- 確認容器映像檔符合升級至下一個部署環境的條件，例如從開發環境升級至品質確保環境。
使用二進位授權，即可強制只在目標平台上執行受信任的程式碼。
在部署應用程式前掃描已知安全漏洞
這項建議與下列重點領域有關：應用程式安全防護。
建議您使用自動化工具，在應用程式構件部署至正式環境前，持續執行安全漏洞掃描。
如果是容器化應用程式，請使用 Artifact Analysis 自動執行容器映像檔的安全漏洞掃描。Artifact Analysis 會掃描上傳至 Artifact Registry 的新映像檔。掃描作業會擷取容器中系統套件的相關資訊。初始掃描後，Artifact Analysis 會持續監控 Artifact Registry 中已掃描映像檔的中繼資料，找出新的安全漏洞。當 Artifact Analysis 從安全漏洞來源收到新的和更新的安全漏洞資訊時，會執行下列操作：
- 更新掃描映像檔的中繼資料，確保資料符合最新狀態。
- 為新筆記建立新的安全漏洞發生次數。
- 刪除不再有效的安全漏洞發生次數。
監控應用程式程式碼是否有已知的安全漏洞
這項建議與下列重點領域有關：應用程式安全防護。
使用自動化工具持續監控應用程式程式碼，找出已知安全漏洞，例如 OWASP 前 10 大安全漏洞。如要進一步瞭解支援 OWASP 前 10 大緩解技術的 Google Cloud 產品和功能，請參閱「在 Google Cloud中緩解 OWASP 前 10 大：2025」。
使用 Web Security Scanner，找出 App Engine、Compute Engine 和 GKE 網頁應用程式的安全漏洞。掃描器會檢索應用程式，追蹤起始網址涵蓋的所有連結，並盡可能與使用者輸入內容和事件處理常式互動。這項服務會自動掃描及偵測常見的安全漏洞，包括跨網站指令碼攻擊、程式碼插入、複合型內容，以及版本過舊或不安全的程式庫。Web Security Scanner 可及早發現這類安全漏洞，不會因誤判而干擾您。
此外，如果您使用 GKE 管理 Kubernetes 叢集機群，資安態勢資訊主頁會顯示具體可行的建議，協助您改善機群的資安態勢。