Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Modello di postura predefinito per Cloud Storage, esteso

Il template di posture predefinito v1.0 per Cloud Storage, esteso, consente di configurare una security posture. Questa configurazione aiuta a proteggere le risorse Cloud Storage utilizzando policy preventive e di rilevamento. Questo template include due set di policy che si applicano a Cloud Storage: vincoli delle policy dell'organizzazione e rilevatori di Security Health Analytics.

Prima di eseguire il deployment di questo template, devi personalizzare alcune delle sue policy in modo che si applichino al tuo ambiente.

Vincoli delle policy dell'organizzazione

La tabella seguente descrive le policy dell'organizzazione incluse in questa postura.

Policy Descrizione Standard di conformità

Policy	Descrizione	Standard di conformità
`storage.publicAccessPrevention`	Questa policy impedisce l'accesso pubblico non autenticato ai bucket Cloud Storage. Il valore è `true` per impedire l'accesso pubblico ai bucket.	Controllo NIST SP 800-53: AC-3, AC-17 e AC-20
`storage.uniformBucketLevelAccess`	Questa policy impedisce ai bucket Cloud Storage di utilizzare l'ACL per oggetto (un sistema separato dalle policy IAM) per fornire l'accesso, garantendo la coerenza per la gestione degli accessi e l'audit. Il valore è `true` per applicare l'accesso uniforme a livello di bucket.	Controllo NIST SP 800-53: AC-3, AC-17 e AC-20
`storage.retentionPolicySeconds`	Questo vincolo definisce la durata (in secondi) della policy di conservazione per i bucket. Devi configurare questo valore quando adotti questo template di postura predefinita.	Controllo NIST SP 800-53: SI-12

storage.publicAccessPrevention

Questa policy impedisce l'accesso pubblico non autenticato ai bucket Cloud Storage.

Il valore è true per impedire l'accesso pubblico ai bucket.

Controllo NIST SP 800-53: AC-3, AC-17 e AC-20

storage.uniformBucketLevelAccess

Questa policy impedisce ai bucket Cloud Storage di utilizzare l'ACL per oggetto (un sistema separato dalle policy IAM) per fornire l'accesso, garantendo la coerenza per la gestione degli accessi e l'audit.

Il valore è true per applicare l'accesso uniforme a livello di bucket.

Controllo NIST SP 800-53: AC-3, AC-17 e AC-20

storage.retentionPolicySeconds

Questo vincolo definisce la durata (in secondi) della policy di conservazione per i bucket.

Devi configurare questo valore quando adotti questo template di postura predefinita.

Controllo NIST SP 800-53: SI-12

Rilevatori di Security Health Analytics

La tabella seguente descrive i rilevatori di Security Health Analytics inclusi nel template di postura predefinito. Per saperne di più su questi rilevatori, consulta Risultati delle vulnerabilità.

Nome rilevatore	Descrizione
`BUCKET_LOGGING_DISABLED`	Questo rilevatore controlla se esiste un bucket di archiviazione senza logging abilitato.
`LOCKED_RETENTION_POLICY_NOT_SET`	Questo rilevatore controlla se per i log è impostata la policy di conservazione bloccata.
`OBJECT_VERSIONING_DISABLED`	Questo rilevatore controlla se il controllo delle versioni degli oggetti è abilitato sui bucket di archiviazione con sink.
`BUCKET_CMEK_DISABLED`	Questo rilevatore controlla se i bucket sono criptati utilizzando chiavi di crittografia gestite dal cliente (CMEK).
`BUCKET_POLICY_ONLY_DISABLED`	Questo rilevatore controlla se è configurato l'accesso uniforme a livello di bucket.
`PUBLIC_BUCKET_ACL`	Questo rilevatore controlla se un bucket è accessibile pubblicamente.
`PUBLIC_LOG_BUCKET`	Questo rilevatore controlla se un bucket con un sink di log è accessibile pubblicamente.
`ORG_POLICY_LOCATION_RESTRICTION`	Questo rilevatore controlla se una risorsa Compute Engine non è conforme al vincolo `constraints/gcp.resourceLocations`.

Visualizza il template di posture

Per visualizzare il template di posture per Cloud Storage, esteso, segui questi passaggi:

gcloud

Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

ORGANIZATION_ID: l'ID numerico dell'organizzazione.

Esegui il comando gcloud scc posture-templates describe:

Linux, macOS o Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/cloud_storage_extended

Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/cloud_storage_extended

Windows (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/cloud_storage_extended

La risposta contiene il template di postura.

REST

Prima di utilizzare i dati della richiesta, apporta le sostituzioni seguenti:

ORGANIZATION_ID: l'ID numerico dell'organizzazione.

Metodo HTTP e URL:

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/cloud_storage_extended

Per inviare la richiesta, espandi una di queste opzioni:

curl (Linux, macOS o Cloud Shell)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso all'interfaccia a riga di comando gcloud con il tuo account utente eseguendo gcloud init o gcloud auth login oppure utilizzando Cloud Shell, che consente di accedere automaticamente all'interfaccia a riga di comando gcloud. Puoi controllare l'account attualmente attivo eseguendo gcloud auth list.

Esegui questo comando:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/cloud_storage_extended"

PowerShell (Windows)

Nota: il comando seguente presuppone che tu abbia eseguito l'accesso all'interfaccia a riga di comando gcloud con il tuo account utente eseguendo gcloud init o gcloud auth login . Puoi controllare l'account attualmente attivo eseguendo gcloud auth list.