Halaman ini menjelaskan Cloud de Confiance layanan dan fitur yang membantu Anda melindungi artefak.
Enkripsi dalam penyimpanan
Secara default, Cloud de Confiance by S3NS otomatis mengenkripsi data saat dalam penyimpanan menggunakan kunci enkripsi yang dikelola oleh Google. Jika Anda memiliki persyaratan kepatuhan atau peraturan khusus yang terkait dengan kunci yang melindungi data, Anda dapat membuat repositori yang dienkripsi dengan kunci enkripsi yang dikelola pelanggan (CMEK).
Kontrol akses
Secara default, semua repositori bersifat pribadi. Ikuti prinsip keamanan hak istimewa terendah dan hanya berikan izin minimum yang diperlukan oleh pengguna dan akun layanan.
Mencegah pemindahan data yang tidak sah
Untuk mencegah pemindahan data yang tidak sah, Anda dapat menggunakan Kontrol Layanan VPC untuk menempatkan Artifact Registry dan layanan Cloud de Confiance by S3NS lainnya dalam perimeter keamanan jaringan.
Menghapus image yang tidak digunakan
Hapus image container yang tidak digunakan untuk mengurangi biaya penyimpanan dan mengurangi risiko penggunaan software lama.
Shifting left on security
Mengintegrasikan sasaran keamanan informasi ke dalam pekerjaan sehari-hari dapat membantu meningkatkan performa pengiriman software dan membangun sistem yang lebih aman. Ide ini juga dikenal sebagai shifting left, karena masalah, termasuk masalah keamanan, ditangani lebih awal dalam siklus proses pengembangan software (yaitu, di sebelah kiri dalam diagram jadwal kiri ke kanan). Shifting left on security adalah salah satu kemampuan DevOps yang diidentifikasi dalam program riset DORA State of DevOps.
Untuk mempelajari lebih lanjut:
- Baca tentang kemampuan Shifting left on security .
Pertimbangan untuk repositori publik
Pertimbangkan dengan cermat kasus berikut:
- Penggunaan artefak dari sumber publik
- Membuat repositori Artifact Registry Anda menjadi publik
Menggunakan artefak dari sumber publik
Sumber artefak publik berikut menyediakan alat yang mungkin Anda gunakan atau dependensi untuk build dan deployment:
Namun, organisasi Anda mungkin memiliki batasan yang memengaruhi penggunaan artefak publik. Contoh:
- Anda ingin mengontrol konten supply chain software.
- Anda tidak ingin bergantung pada repositori eksternal.
- Anda ingin mengontrol kerentanan di lingkungan produksi dengan ketat.
- Anda menginginkan sistem operasi dasar yang sama di setiap image.
Pertimbangkan pendekatan berikut untuk mengamankan supply chain software Anda:
- Gunakan image dasar standar. Google menyediakan beberapa image dasar yang dapat Anda gunakan.
Repositori Artifact Registry publik
Anda dapat membuat repositori Artifact Registry menjadi publik dengan memberikan peran Artifact Registry Reader ke identitas allUsers.
Jika semua pengguna Anda memiliki Cloud de Confiance akun, Anda dapat membatasi akses
ke pengguna yang diautentikasi dengan identitas allAuthenticatedUsers.
Pertimbangkan panduan berikut sebelum membuat repositori Artifact Registry menjadi publik:
- Pastikan semua artefak yang Anda simpan di repositori dapat dibagikan secara publik dan tidak mengekspos kredensial, data pribadi, atau data rahasia.
- Secara default, project memiliki kuota per pengguna yang tidak terbatas quotas. Untuk mencegah penyalahgunaan, batasi kuota per pengguna dalam project Anda.
Panduan untuk aplikasi web
- OWASP Top 10 mencantumkan risiko keamanan aplikasi web teratas menurut Open Web Application Security Project (OSWAP).
Panduan untuk container
Center for Internet Security (CIS) memiliki Docker Benchmark untuk mengevaluasi keamanan container Docker.
Docker menyediakan skrip open source yang disebut Docker Bench for Security. Anda dapat menggunakan skrip untuk memvalidasi container Docker yang berjalan terhadap CIS Docker Benchmark.
Docker Bench For Security dapat membantu Anda memverifikasi banyak item di CIS Docker Benchmark, tetapi tidak semua item dapat diverifikasi dengan skrip. Misalnya, skrip tidak dapat memverifikasi apakah host untuk container diperkuat atau apakah image container menyertakan data pribadi. Tinjau semua item dalam tolok ukur dan identifikasi item yang mungkin memerlukan verifikasi tambahan.