Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Modèle de stratégie prédéfini pour la sécurisation par défaut, étendu

Le modèle de stratégie prédéfini v1.0 pour la sécurité par défaut étendue vous permet de configurer une stratégie de sécurité. Cette configuration permet de protéger les ressources Google Cloudcontre les erreurs de configuration courantes et les paramètres par défaut potentiellement non sécurisés.

Avant de déployer ce modèle, vous devez personnaliser certaines de ses règles pour qu'elles s'appliquent à votre environnement.

Contraintes liées aux règles d'administration

Le tableau suivant décrit les contraintes liées aux règles d'administration incluses dans ce modèle de stratégie.

Règle	Description	Normes de conformité
`iam.disableServiceAccountKeyCreation`	Cette contrainte empêche les utilisateurs de créer des clés persistantes pour les comptes de service afin de réduire le risque d'exposition des identifiants de compte de service. La valeur est `true` pour désactiver la création de clés de compte de service.	Contrôle NIST SP 800-53 : AC-2
`iam.automaticIamGrantsForDefaultServiceAccounts`	Cette contrainte empêche les comptes de service par défaut de recevoir le rôle Éditeur Identity and Access Management (IAM) trop permissif lors de leur création. La valeur est `true` pour désactiver l'attribution automatique de rôles IAM pour les comptes de service par défaut.	Contrôle NIST SP 800-53 : AC-3
`iam.disableServiceAccountKeyUpload`	Cette contrainte permet d'éviter le risque de fuite et de réutilisation de matériel de clé personnalisé dans les clés de compte de service. La valeur est `true` pour désactiver l'importation de clés de compte de service.	Contrôle NIST SP 800-53 : AC-6
`storage.publicAccessPrevention`	Cette règle empêche l'accès public non authentifié aux buckets Cloud Storage. La valeur est définie sur `true` pour empêcher l'accès public aux buckets.	Contrôles NIST SP 800-53 : AC-3 et AC-6
`iam.allowedPolicyMemberDomains`	Cette règle limite les stratégies IAM de manière à n'autoriser que les identités utilisateur gérées dans les domaines sélectionnés à accéder aux ressources de cette organisation. La valeur est `directoryCustomerId` pour limiter le partage entre les domaines.	Contrôles NIST SP 800-53 : AC-3, AC-6 et IA-2
`essentialcontacts.allowedContactDomains`	Cette règle limite les contacts essentiels de manière à n'autoriser que les identités utilisateur gérées dans les domaines sélectionnés à recevoir des notifications de la plate-forme. La valeur est `@google.com`. Vous devez modifier la valeur pour qu'elle corresponde à votre domaine.	Contrôles NIST SP 800-53 : AC-3, AC-6 et IA-2
`storage.uniformBucketLevelAccess`	Cette règle empêche les buckets Cloud Storage d'utiliser une LCA par objet (un système distinct des stratégies IAM) pour fournir un accès, ce qui garantit la cohérence de la gestion des accès et de l'audit. La valeur est `true` pour appliquer l'accès uniforme au niveau du bucket.	Contrôles NIST SP 800-53 : AC-3 et AC-6
`compute.requireOsLogin`	Cette règle nécessite OS Login sur les VM nouvellement créées pour gérer plus facilement les clés SSH, fournir des autorisations au niveau des ressources avec des stratégies IAM et consigner l'accès des utilisateurs. La valeur est définie sur `true` pour exiger OS Login.	Contrôles NIST SP 800-53 : AC-3 et AU-12
`compute.disableSerialPortAccess`	Cette règle empêche les utilisateurs d'accéder au port série de la VM, qui peut être utilisé pour un accès par porte dérobée à partir du plan de contrôle de l'API Compute Engine. La valeur est définie sur `true` pour désactiver l'accès au port série de la VM.	Contrôles NIST SP 800-53 : AC-3 et AC-6
`compute.restrictXpnProjectLienRemoval`	Cette règle empêche la suppression accidentelle de projets hôtes de VPC partagé en limitant la suppression des privilèges de projet. La valeur est définie sur `true` pour restreindre la suppression des privilèges du projet VPC partagé.	Contrôles NIST SP 800-53 : AC-3 et AC-6
`compute.vmExternalIpAccess`	Cette règle empêche la création d'instances Compute Engine avec une adresse IP publique, ce qui peut les exposer au trafic Internet entrant et sortant. La valeur est définie sur `denyAll` pour désactiver tous les accès à partir d'adresses IP publiques.	Contrôles NIST SP 800-53 : AC-3 et AC-6
`compute.skipDefaultNetworkCreation`	Cette règle désactive la création automatique d'un réseau VPC par défaut et de règles de pare-feu par défaut dans chaque nouveau projet. Elle permet de s'assurer que les règles de réseau et de pare-feu sont créées intentionnellement. La valeur est définie sur `true` pour éviter de créer le réseau VPC par défaut.	Contrôles NIST SP 800-53 : AC-3 et AC-6
`compute.setNewProjectDefaultToZonalDNSOnly`	Cette règle empêche les développeurs d'applications de choisir d'anciens paramètres DNS pour les instances Compute Engine, qui offrent une fiabilité de service inférieure à celle des paramètres DNS modernes. La valeur est `Zonal DNS only` pour les nouveaux projets.	Contrôles NIST SP 800-53 : AC-3 et AC-6
`sql.restrictPublicIp`	Cette règle empêche la création d'instances Cloud SQL avec des adresses IP publiques, ce qui peut les exposer au trafic Internet entrant et sortant. La valeur est définie sur `true` pour limiter l'accès aux instances Cloud SQL par des adresses IP publiques.	Contrôles NIST SP 800-53 : AC-3 et AC-6
`sql.restrictAuthorizedNetworks`	Cette règle empêche les plages réseau publiques ou non-RFC 1918 d'accéder aux bases de données Cloud SQL. La valeur est `true` pour limiter les réseaux autorisés sur les instances Cloud SQL.	Contrôles NIST SP 800-53 : AC-3 et AC-6
`compute.restrictProtocolForwardingCreationForTypes`	Cette règle n'autorise le transfert de protocole de VM que pour les adresses IP internes. La valeur est `INTERNAL` pour limiter le transfert de protocole en fonction du type d'adresse IP.	Contrôles NIST SP 800-53 : AC-3 et AC-6
`compute.disableVpcExternalIpv6`	Cette règle empêche la création de sous-réseaux IPv6 externes, qui risquent d'être exposés au trafic Internet entrant et sortant. La valeur est définie sur `true` pour désactiver les sous-réseaux IPv6 externes.	Contrôles NIST SP 800-53 : AC-3 et AC-6
`compute.disableNestedVirtualization`	Cette règle désactive la virtualisation imbriquée afin de réduire le risque de sécurité lié aux instances imbriquées non surveillées. La valeur est définie sur `true` pour désactiver la virtualisation imbriquée de la VM.	Contrôles NIST SP 800-53 : AC-3 et AC-6

Afficher le modèle de stratégie

Pour afficher le modèle de stratégie étendue de sécurité par défaut, procédez comme suit :

gcloud

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

ORGANIZATION_ID : ID numérique de l'organisation.

Exécutez la commande gcloud scc posture-templates describe :

Linux, macOS ou Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

Windows (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

La réponse contient le modèle de stratégie.

REST

Avant d'utiliser les données de requête, effectuez les remplacements suivants :

ORGANIZATION_ID : ID numérique de l'organisation.

Méthode HTTP et URL :

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended

Pour envoyer votre requête, développez l'une des options suivantes :

curl (Linux, macOS ou Cloud Shell)

Remarque : La commande suivante suppose que vous êtes connecté à la CLI gcloud avec votre compte utilisateur en exécutant la commande gcloud init ou gcloud auth login, ou en utilisant Cloud Shell, qui vous connecte automatiquement à la CLI gcloud. Vous pouvez exécuter la commande gcloud auth list pour vérifier quel est le compte actuellement actif.

Exécutez la commande suivante :

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/secure_by_default_extended"

PowerShell (Windows)

Remarque : La commande suivante suppose que vous vous êtes connecté à la CLI gcloud avec votre compte utilisateur en exécutant la commande gcloud init ou gcloud auth login. Vous pouvez exécuter la commande gcloud auth list pour vérifier quel est le compte actuellement actif.