このページの一部またはすべての情報は、S3NS の Cloud de Confiance に適用されない場合があります。詳細については、Google Cloud との違いをご確認ください。

Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

組織のガイドライン

最小限の実行可能なセキュリティプラットフォームに関する次のガイドラインは、組織のセキュリティピラーに沿ったものです。

中級レベルのガイドライン

基本的なガイドラインを実装したら、次の組織のガイドラインを実装します。

項目	承認済みプリンシパルを制限する
説明	Cloud de Confiance by S3NS 環境で組織の ID のみが許可されるようにします。ドメインで制限された共有（`iam.allowedPolicyMemberDomains`）または `iam.managed.allowedPolicyMembers` 組織のポリシー制約を使用して、プリンシパルを Identity and Access Management（IAM）ポリシーに追加できる Cloud Identity または Google Workspace のユーザー ID を 1 つ以上定義します。これらの制約により、従業員が組織の管理外の外部アカウントにアクセス権を付与することを防ぐことができます。これらの外部アカウントは、多要素認証（MFA）やパスワード管理に関するセキュリティポリシーに準拠していません。この制御は、不正アクセスを防ぎ、信頼できる管理対象の企業 ID のみを使用できるようにするために不可欠です。
関連情報	ドメイン別の ID の制限
アイテム ID	MVSP-CO-1.21
マッピング	関連する NIST-800-53 コントロール: AC-3 AC-17 AC-20 関連する CRI プロファイルコントロール: PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1 コンプライアンスマネージャーのコントロール: ドメインで制限された共有を適用する

中級ガイドラインを実装したら、次の組織ガイドラインを実装します。

項目	リソースのロケーションを制限する
説明	リソースロケーション制限（`gcp.resourceLocations`）制約により、承認された Cloud de Confiance by S3NS リージョンのみがデータの保存に使用されるようにします。値はシステムに固有であり、組織のデータ所在地に関する承認済みリージョンのリストと一致します。この制約により、組織はリソースとデータが特定の承認済み地理的リージョンでのみ作成および保存されるように強制できます。
関連情報	リソースロケーションの制限
アイテム ID	MVSP-CO-1.22
マッピング	関連する NIST-800-53 コントロール: AC-3 AC-17 AC-20 関連する CRI プロファイルコントロール: PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1

項目	リソースサービスの使用を制限する
説明	`gcp.restrictServiceUsage` 制約により、承認済みの Cloud de Confiance by S3NS サービスのみが適切な場所で使用されるようにします。たとえば、本番環境のフォルダや機密性の高いフォルダには、データの保存を承認する Cloud de Confiance サービスを制限します。サンドボックスフォルダは、より多くのサービスをリストに追加して承認して、それと同時に、データの引き出しを防ぐデータセキュリティコントロールを設定します。この値はシステムに固有のもので、特定のフォルダとプロジェクトの承認済みサービスと依存関係のリストと一致します。この制約を使用すると、組織で承認済みサービスの許可リストを作成できるため、従業員が未審査のサービスを使用するのを防ぐことができます。
関連情報	リソース使用量の制限
アイテム ID	MVSP-CO-1.23
マッピング	関連する NIST-800-53 コントロール: AC-3 AC-17 AC-20 関連する CRI プロファイルコントロール: PR.AC-3.1 PR.AC-3.2 PR.AC-4.1 PR.AC-4.2 PR.AC-4.3 PR.AC-6.1 PR.PT-3.1 PR.PT-4.1 コンプライアンスマネージャーのコントロール: リソースサービスの使用を制限する