에이전트 및 애플리케이션 제어

이 문서에는 Cloud de Confiance by S3NS에서 워크로드를 실행할 때 에이전트와 애플리케이션을 위한 권장사항과 가이드라인이 포함되어 있습니다.

아티팩트의 취약점 스캔 구성

Google 제어 ID AR-CO-6.2
구현 필수
설명

Artifact Analysis 또는 다른 도구를 사용하여 Artifact Registry 내 이미지 및 패키지의 취약점을 검사합니다.

서드 파티 스캔 도구를 사용하는 경우 이러한 도구를 올바르게 배포하여 이미지와 패키지의 취약점을 Artifact Registry에서 스캔해야 합니다.
적용 가능한 제품
  • Artifact Registry
  • Artifact Analysis
경로 serviceusage.getservice
연산자 =
값

containerscanning.googleapis.com
관련 NIST-800-53 컨트롤
  • RA-5
  • SI-5
  • SA-5
  • SR-8
  • CA-7
관련 CRI 프로필 컨트롤
  • ID-RA-1.1
  • ID-RA-1.2
  • ID-RA-3.1
  • ID-RA-3.2
  • ID-RA-3.3
  • PR.IP-7.1
  • PR.IP-8.1
  • PR.IP-12.1
  • PR.IP-12.2
  • PR.IP-12.3
  • PR.IP-12.4
  • DE.CM-8.1
  • DE.CM-8.2
  • DE.DP-4.1
  • DE-DP-4.2
  • DE-DP-5.1
  • RS.CO-3.1
  • RS.CO-3.2
  • RS.CO-5.2
  • RS.CO-5.3
  • RS.AN-5.1
  • RS.AN-5.2
  • RS-AN-5.3
  • RS.MI-3.1
  • RS-MI-3.2
관련 정보

허용된 비공개 풀 정의

Google 제어 ID CBD-CO-6.1
구현 필수
설명

cloudbuild.allowedWorkerPools 목록 제약 조건을 사용하면 조직, 폴더 또는 프로젝트 내에서 사용할 수 있는 허용된 비공개 풀을 정의할 수 있습니다.

다음 형식 중 하나를 사용하여 허용되거나 거부된 작업자 풀 목록을 정의합니다.

  • under:organizations/ORGANIZATION_ID
  • under:folders/FOLDER_ID
  • under:projects/PROJECT_ID
  • projects/PROJECT_ID/locations/REGION/workerPools/WORKER_POOL_ID
적용 가능한 제품
  • 조직 정책 서비스
  • Cloud Build
경로 constraints/cloudbuild.allowedWorkerPools
연산자 =
유형 문자열
관련 NIST-800-53 컨트롤
  • AC-3
  • AC-5
  • AC-6
  • AC-12
  • AC-17
  • AC-20
관련 CRI 프로필 컨트롤
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
관련 정보

빌드 트리거를 호출할 수 있는 외부 서비스 정의

Google 제어 ID CBD-CO-6.2
구현 필수
설명

cloudbuild.allowedIntegrations 제약 조건은 빌드 트리거를 호출할 수 있는 외부 서비스 (예: GitHub)를 정의합니다. 예를 들어 빌드 트리거가 GitHub 저장소 변경사항을 리슨하지만 GitHub가 이 제약 조건에서 거부된 경우에는 트리거가 실행되지 않습니다. 조직 또는 프로젝트에 대해 허용되는 값 또는 거부되는 값을 제한 없이 지정할 수 있습니다.
적용 가능한 제품
  • 조직 정책 서비스
  • Cloud Build
경로 constraints/cloudbuild.allowedIntegrations
연산자 =
유형 목록
관련 NIST-800-53 컨트롤
  • AC-3
  • AC-12
  • AC-17
  • AC-20
관련 CRI 프로필 컨트롤
  • PR.AC-3.1
  • PR.AC-3.2
  • PR.AC-4.1
  • PR.AC-4.2
  • PR.AC-4.3
  • PR.AC-6.1
  • PR.AC-7.1
  • PR.AC-7.2
  • PR.PT-3.1
  • PR-PT-4.1
관련 정보

Model Armor 사용 설정

구현 필수
설명

Model Armor를 사용 설정하여 LLM 프롬프트 및 응답, MCP 서버-클라이언트 연결, 에이전트 커뮤니케이션을 비롯한 자연어 커뮤니케이션에서 악성 또는 유해 콘텐츠를 검사합니다.
적용 가능한 제품

Model Armor
경로 serviceusage.getservice
연산자 =
값

modelarmor.googleapis.com
관련 NIST-800-53 컨트롤
  • AC-4
  • AU-2
  • AU-8
  • AU-14
  • CM-6
  • IR-7
  • MP-4
  • MP-6
  • PM-30
  • RA-3
  • RA-5
  • RA-10
  • SA-9
  • SA-11
  • SC-7
  • SC-18
  • SI-3
  • SI-4
  • SI-8
  • SI-10
  • SI-15
  • SI-19
관련 정보

런타임 취약점 스캔 구성

Google 제어 ID AR-CO-6.3
구현 필수
설명

실행 중인 워크로드의 컨테이너 운영체제와 언어 패키지에서 알려진 취약점을 자동으로 스캔하여 활용 가능한 완화 전략을 확인합니다.
적용 가능한 제품

GKE
경로 workload-vulnerability-scanning
연산자 ==
값

Enterprise
관련 NIST-800-53 컨트롤
  • RA-5
  • SI-4
  • SA-5
관련 정보

아티팩트 삭제 정책 만들기

Google 제어 ID AR-CO-6.1
구현 사용 사례에 따른 권장사항
설명

삭제 정책은 여러 버전의 아티팩트를 저장하지만 프로덕션에 출시하는 특정 버전만 유지해야 할 경우에 유용합니다. 아티팩트 삭제 및 아티팩트 보관을 위한 별도의 정리 정책을 만듭니다.
적용 가능한 제품

Artifact Registry
관련 NIST-800-53 컨트롤
  • SI-12
관련 CRI 프로필 컨트롤
  • PR.IP-2.1
  • PR.IP-2.2
  • PR.IP-2.3
관련 정보

다음 단계