Google utilizza la tecnologia AI per tradurre i contenuti nella tua lingua preferita. Le traduzioni generate dall'AI potrebbero contenere errori.

Modello di postura predefinito per il networking VPC, esteso

Il template di posture predefinito v1.0 per il networking Virtual Private Cloud (VPC), esteso, consente di configurare una security posture. Questa configurazione aiuta a proteggere il networking VPC utilizzando policy preventive e di rilevamento. Questo modello include due set di policy che si applicano al networking VPC: vincoli delle policy dell'organizzazione e rilevatori di Security Health Analytics.

Prima di eseguire il deployment di questo template, devi personalizzare alcune delle sue policy in modo che si applichino al tuo ambiente.

Vincoli delle policy dell'organizzazione

La tabella seguente descrive i vincoli delle policy dell'organizzazione inclusi in questa postura.

Policy	Descrizione	Standard di conformità
`compute.skipDefaultNetworkCreation`	Questo vincolo booleano disattiva la creazione automatica di una rete VPC predefinita e di regole firewall predefinite in ogni nuovo progetto, garantendo che le regole di rete e firewall vengano create intenzionalmente. Il valore è `true` per evitare di creare la rete VPC predefinita.	Controllo NIST SP 800-53: SC-7 e SC-8
`ainotebooks.restrictPublicIp`	Questo vincolo booleano limita l'accesso degli IP pubblici a istanze e blocchi note di Vertex AI Workbench appena creati. Per impostazione predefinita, gli indirizzi IP pubblici possono accedere alle istanze e ai blocchi note di Vertex AI Workbench. Il valore è `true` per limitare l'accesso all'IP pubblico sui nuovi notebook e istanze di Vertex AI Workbench.	Controllo NIST SP 800-53: SC-7 e SC-8
`compute.disableNestedVirtualization`	Questo vincolo booleano disabilita la virtualizzazione nidificata per tutte le VM di Compute Engine per ridurre il rischio per la sicurezza correlato alle istanze nidificate non monitorate. Il valore è `true` per disattivare la virtualizzazione nidificata delle VM.	Controllo NIST SP 800-53: SC-7 e SC-8
`compute.vmExternalIpAccess`	Questo vincolo dell'elenco definisce le istanze VM di Compute Engine che possono utilizzare indirizzi IP esterni. Per impostazione predefinita, tutte le istanze VM possono utilizzare indirizzi IP esterni. Il vincolo utilizza il formato `projects/PROJECT_ID/zones/ZONE/instances/INSTANCE`. Devi configurare questo valore quando adotti questa postura predefinita.	Controllo NIST SP 800-53: SC-7 e SC-8
`ainotebooks.restrictVpcNetworks`	Questo vincolo dell'elenco definisce le reti VPC che l'utente può selezionare quando crea nuove istanze Vertex AI Workbench in cui questo vincolo è applicato. Devi configurare questo valore quando adotti questa postura predefinita.	Controllo NIST SP 800-53: SC-7 e SC-8
`compute.vmCanIpForward`	Questo vincolo dell'elenco definisce le reti VPC che un utente può selezionare quando crea nuove istanze di Vertex AI Workbench. Per impostazione predefinita, puoi creare un'istanza di Vertex AI Workbench con qualsiasi rete VPC. Devi configurare questo valore quando adotti questa postura predefinita.	Controllo NIST SP 800-53: SC-7 e SC-8

Rilevatori di Security Health Analytics

La tabella seguente descrive i rilevatori di Security Health Analytics inclusi nel template di postura predefinito. Per saperne di più su questi rilevatori, consulta Risultati delle vulnerabilità.

Nome rilevatore	Descrizione
`FIREWALL_NOT_MONITORED`	Questo rilevatore controlla se le metriche basate sui log e gli avvisi non sono configurati per monitorare le modifiche alle regole firewall VPC.
`NETWORK_NOT_MONITORED`	Questo rilevatore controlla se le metriche basate sui log e gli avvisi non sono configurati per monitorare le modifiche alla rete VPC.
`ROUTE_NOT_MONITORED`	Questo rilevatore controlla se le metriche basate sui log e gli avvisi non sono configurati per monitorare le modifiche alle route di rete VPC.
`DNS_LOGGING_DISABLED`	Questo rilevatore controlla se il logging DNS è abilitato sulla rete VPC.
`FLOW_LOGS_DISABLED`	Questo rilevatore controlla se i log di flusso sono abilitati nella subnet VPC.
`VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED`	Questo rilevatore controlla se la proprietà `enableFlowLogs` delle subnet VPC è mancante o impostata su `false`.

Visualizza il template di posture

Per visualizzare il template di postura per il networking VPC, esteso, segui questi passaggi:

gcloud

Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

ORGANIZATION_ID: l'ID numerico dell'organizzazione.

Esegui il comando gcloud scc posture-templates describe:

Linux, macOS o Cloud Shell

gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended

Windows (PowerShell)

gcloud scc posture-templates describe `
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended

Windows (cmd.exe)

gcloud scc posture-templates describe ^
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended

La risposta contiene il template di postura.

REST

Prima di utilizzare i dati della richiesta, apporta le sostituzioni seguenti:

ORGANIZATION_ID: l'ID numerico dell'organizzazione.

Metodo HTTP e URL:

GET https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended

Per inviare la richiesta, espandi una di queste opzioni:

curl (Linux, macOS o Cloud Shell)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso all'interfaccia a riga di comando gcloud con il tuo account utente eseguendo gcloud init o gcloud auth login oppure utilizzando Cloud Shell, che consente di accedere automaticamente all'interfaccia a riga di comando gcloud. Puoi controllare l'account attualmente attivo eseguendo gcloud auth list.

Esegui questo comando:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://securityposture.googleapis.com/v1/organizations/ORGANIZATION_ID/locations/global/postureTemplates/vpc_networking_extended"

PowerShell (Windows)

Nota: il comando seguente presuppone che tu abbia eseguito l'accesso all'interfaccia a riga di comando gcloud con il tuo account utente eseguendo gcloud init o gcloud auth login . Puoi controllare l'account attualmente attivo eseguendo gcloud auth list.