這項原則是Google Cloud Well-Architected Framework中安全性支柱的一部分，可協助您確保雲端工作負載全面安全。零信任原則強調下列做法：
- 消除隱含信任
- 將最小權限原則套用至存取控管
- 強制明確驗證所有存取要求
- 採用假設入侵思維，持續驗證及監控資安態勢
原則總覽
零信任模型將安全性重點從周邊防護轉移到不預設信任任何使用者或裝置的方法。相反地，無論來源為何，每個存取要求都必須經過驗證。這種做法包括驗證及授權每位使用者和裝置、驗證其情境 (位置和裝置狀態)，並僅授予必要資源的最小權限存取權。
導入零信任模型，可將潛在侵害事件的影響降至最低，並保護機密資料和應用程式免於未經授權的存取，進而強化組織的資安態勢。零信任模型可協助您確保雲端資料和資源的機密性、完整性和可用性。
建議
如要為雲端工作負載實作零信任模型，請參考下列各節的建議：
保護網路安全
這項建議與下列重點領域相關：基礎架構安全性。
從傳統的周邊安全防護機制轉換為零信任模型，需要多個步驟。貴組織可能已將某些零信任控管機制整合至資安態勢。不過，零信任模型並非單一產品或解決方案，而是全面整合多個安全防護層和最佳做法。本節說明實作網路安全零信任機制的建議和技術。
- 存取控管：使用 Chrome Enterprise 進階版和 Identity-Aware Proxy (IAP) 等解決方案，根據使用者身分和情境強制執行存取控管。這樣一來，您就能將安全性從網路邊界轉移至個別使用者和裝置。這種做法可精細控管存取權，並縮小攻擊面。
- 網路安全：保護地端部署、 Google Cloud和多雲端環境之間的網路連線。
- 使用 Cloud Interconnect 和 IPsec VPN 的私人連線方法。
- 如要保護 Google Cloud 服務和 API 的存取權，請使用 Private Service Connect。
- 如要保護部署在 Google Kubernetes Engine (GKE) 和相關產品的工作負載傳出的存取要求，請使用 Cloud Service Mesh egress 閘道。
- 網路設計：刪除現有專案中的預設網路，並禁止在新專案中建立預設網路，防範潛在的安全風險。
- 為避免衝突，請仔細規劃網路和 IP 位址分配。
- 為落實有效的存取控管，請限制每項專案的虛擬私有雲 (VPC) 網路數量。
- 區隔：隔離工作負載，但維持集中式網路管理。
- 如要區隔網路環境，請使用多個虛擬私有雲網路，並在組織、資料夾和虛擬私有雲網路層級定義防火牆政策和規則。
- 如要集中管理不同專案中的資源網路，請使用 Shared VPC。舉例來說，服務專案的管理員可以建立 Compute Engine 執行個體，並使用託管集中管理 Shared VPC 網路的專案中核准的子網路。
- 為防止資料竊取，請使用 VPC Service Controls 為機密 Google Cloud API 和服務建立安全 perimeter，並使用嚴格的輸出防火牆規則限制網際網路流量。
- Perimeter 安全防護：防範 DDoS 攻擊和網頁應用程式威脅。
- 如要防範威脅，請使用 Google Cloud Armor。
- 設定安全性政策，在Google Cloud 邊緣允許、拒絕或重新導向流量。
- 自動化：採用基礎架構即程式碼 (IaC) 原則，並使用 Terraform、Jenkins 和 Cloud Build 等工具，自動佈建基礎架構。IaC 可確保安全性設定一致、簡化部署作業，並在發生問題時快速復原。
- 安全基礎：使用企業基礎藍圖建立安全的應用程式環境。這份藍圖提供規範指南和自動化指令碼，協助您實施安全性最佳做法，並安全地設定Google Cloud 資源。
明確驗證每次存取嘗試
這項建議與下列重點領域相關：
- 身分與存取權管理
- 資安營運 (SecOps)
- 記錄、稽核與監控
針對嘗試存取雲端資源的任何使用者、裝置或服務，實施嚴格的身分驗證和授權機制。請勿將位置或網路周邊做為安全控管機制。不自動信任任何使用者、裝置或服務，即使他們已在網路內也一樣。相反地，每次嘗試存取資源時，都必須經過嚴格的身分驗證和授權。您必須實施嚴格的身分驗證措施，例如多重驗證 (MFA)。此外，您也必須確保存取權決策是根據精細政策制定，並考量使用者角色、裝置狀態和位置等各種情境因素。
如要實作這項建議，請使用下列方法、工具和技術：
- 統一身分管理：使用單一身分提供者 (IdP)，確保整個組織的身分管理方式一致。
- Google Cloud 支援與大多數 IdP 建立聯盟，包括地端部署 Active Directory。聯盟可讓您將現有的身分管理基礎架構擴充至 Google Cloud ，並為使用者啟用單一登入 (SSO)。
- 如果您沒有現有的 IdP，建議使用 Cloud Identity 進階版或 Google Workspace。
- 限制服務帳戶權限：請謹慎使用服務帳戶，並遵循最小權限原則。
- 僅授予每個服務帳戶執行指定工作所需的必要權限。
- 針對在 GKE 上或Google Cloud 外部執行的應用程式，請使用 Workload Identity Federation 安全存取資源。
- 完善程序：更新身分程序，以符合雲端安全性最佳做法。
- 為確保符合法規要求，請實施身分治理，追蹤存取權、風險和違反政策的情況。
- 請查看並更新現有程序，以便授予及稽核存取控管角色和權限。
- 強式驗證：導入 SSO 進行使用者驗證，並為特殊權限帳戶導入 MFA。
- Google Cloud 支援多種 MFA 方法，包括 Titan 安全金鑰，可進一步提升安全性。
- 如要驗證工作負載，請使用 OAuth 2.0 或已簽署的 JSON Web Token (JWT)。
- 最小權限：強制執行最小權限原則和分散權責原則，盡可能降低未經授權存取和資料侵害的風險。
- 避免過度佈建使用者存取權。
- 建議您為機密作業實施即時特殊存取權。
- 記錄：啟用管理員和資料存取活動的稽核記錄。
- 如要分析及偵測威脅，請使用 Security Command Center 或 Google Security Operations 掃描記錄。
- 設定適當的記錄保留政策，兼顧安全性需求和儲存空間成本。
監控及維護網路
這項建議與下列重點領域相關：
- 記錄、稽核與監控
- 應用程式安全防護
- 資安營運 (SecOps)
- 基礎架構安全性
規劃及實施安全措施時，請假設攻擊者已進入您的環境。這種主動做法涉及使用下列多種工具和技術，讓您掌握網路資訊：
集中化記錄與監控：透過集中化記錄與監控，收集及分析所有雲端資源的安全性記錄。
- 建立正常網路行為的基準、偵測異常狀況，以及找出潛在威脅。
- 持續分析網路流量，找出可疑模式和潛在攻擊。
深入瞭解網路效能和安全性：使用網路分析器等工具。監控流量，找出異常通訊協定、非預期連線或資料移轉量突然暴增等情況，這些都可能是惡意活動的跡象。
安全漏洞掃描和修復：定期掃描網路和應用程式，找出安全漏洞。
- 使用 Security Command Center，自動找出 Compute Engine 執行個體、容器和 GKE 叢集中的安全漏洞。
- 根據安全漏洞的嚴重程度和對系統的潛在影響，排定修復作業的優先順序。
入侵偵測：使用 雲端入侵偵測系統 (Cloud IDS) 和 Cloud Next Generation Firewall (Cloud NGFW) 入侵防禦服務，監控網路流量中的惡意活動，並自動封鎖可疑事件或接收相關警示。
安全性分析：建議導入 Google SecOps，建立各種來源安全性事件的關聯、即時分析安全性警示，並協助事件應變。
一致的設定：使用設定管理工具，確保整個網路的安全設定一致。