配置制品安全防护政策

控制台

如需在 Google Cloud 控制台中创建制品安全防护政策，请按照以下步骤操作：

1. 在 Google Cloud 控制台中，依次前往安全性 > 规则，然后点击创建制品安全防护政策或创建政策。
2. 输入政策 ID 和政策说明，然后点击继续。
3. 选择政策范围和操作：
   • CI/CD 平台
     • 选择连接器：选择要与此政策关联的连接器。扫描器会针对与所选连接器关联的每个 CI/CD build 评估此政策。
     • 政策操作：选择违反政策时要采取的操作。
       • 阻止不符合政策的 build：如果政策失败，则 build 会被阻止。
       • 允许构建但发送提醒：关联的 build 流水线会显示 CI/CD 扫描器政策评估结果。
   • 注册表
     • Container Analysis 项目：此设置仅适用于组织，不适用于项目。添加要应用此政策的 Google Cloud 项目。
     • Artifact Registry 制品库：选择要应用此政策的制品库。这些必须是有效的 Artifact Registry 仓库。如果留空，制品安全防护会向所有代码库应用相应政策。
     • 政策操作：选择违反政策时要采取的操作。
       • 仅审核：制品安全防护会评估政策并记录任何违规情况以供审核，但不会阻止资源。
       • 准入控制：如果在政策评估期间发生违规行为，准入控制会阻止部署资源。
         • 将 Binary Authorization 政策设置为试运行模式：如需详细了解试运行模式，请参阅启用试运行模式。
         • Binary Authorization 项目：此设置仅适用于组织，不适用于项目。添加要应用准入控制的 Google Cloud 项目。
         • GKE 集群：如果留空，准入控制将应用于所有 GKE 集群。
         • 覆盖 Binary Authorization 政策：选中此复选框可更新准入控制的 Binary Authorization 政策。
   • 运行时
     • 运行时项目：此设置仅适用于组织，不适用于项目。添加包含 GKE 集群的运行时项目。
     • GKE 集群：选择要应用此政策的 GKE 集群。如果留空，制品安全防护会将政策应用于所选项目中的所有 GKE 集群。
4. 定义政策规则。政策规则是一组条件，用于确定您的环境中允许哪些漏洞和软件包。政策规则包含以下内容：
   • 严重程度阈值：设置漏洞的最低严重程度，以便将其纳入政策评估。 漏洞必须达到或超过此阈值才能纳入。

     例如，将规则配置为中，则评估中会包含所有中、高和严重漏洞。

   • 漏洞数量阈值：设置在应用其他政策过滤条件后允许的最大漏洞数量。只有当这些特定的过滤后漏洞的数量超过限制时，才会违反政策。

     例如，如果您将严重性阈值设置为高，排除修复不可用的漏洞，并将数量阈值设置为 5，那么如果 build 包含超过 5 个评级为高或严重的可修复漏洞，则该 build 会失败。

   • 漏洞状态：指定是否仅包含有可用修复的漏洞。这样一来，您就可以通过定位所有漏洞或仅定位可修复的漏洞来优先进行修复。
   • 例外情况和限制：您可以在这些部分中创建可覆盖常规政策的特定允许或阻止规则。
     • 豁免的 CVE：指定在指定时长内被视为在您的环境中可接受的 CVE。这有助于实现临时变通方法。您可以为这些例外情况设置到期日期。在此日期之后，该漏洞将不再被允许，并会导致政策失败。
     • 受限 CVE：指定始终要屏蔽的 CVE，无论其严重程度评级如何。这对于表示对特定应用或基础设施构成独特风险的漏洞特别有用。
     • 允许的软件包：列出被视为安全的软件包。可以定义软件包版本；否则，允许所有版本。
     • 受限软件包：要限制的软件包的列表。 受限软件包会导致政策失败。可以定义软件包版本；否则，所有版本都会受到限制。
5. 点击创建。

规则页面上的表格中列出了可用的制品安全防护政策。

gcloud CLI

如需使用 gcloud CLI 创建政策，请运行以下命令：

gcloud alpha scc artifact-guard policies create \
    (POLICY_ID --location=LOCATION (--organization=ORGANIZATION_ID | --project=PROJECT_NUMBER)) \
    --policy-file-path=PATH_TO_FILE

替换以下内容：

• POLICY_ID：政策的标识符（例如 my-policy）。
• LOCATION：存储数据的 Security Command Center 位置。仅支持 global。
• ORGANIZATION_ID：组织 ID。
• PROJECT_NUMBER：数字项目编号。
• PATH_TO_FILE：包含政策定义的 YAML 文档的本地路径。如需详细了解 YAML 文件结构，请参阅本文档的 YAML 文件部分。

控制台

如需在 Google Cloud 控制台中更新制品安全防护政策，请按以下步骤操作：

1. 在 Google Cloud 控制台中，依次前往安全性 > 规则。
2. 在规则表格中，点击要修改的政策的名称。
3. 在政策详情页面上，点击修改或修改要更新的字段，例如范围、漏洞规则或启用状态。
4. 点击保存或更新。

gcloud CLI

如需使用 gcloud CLI 查看现有政策并更新它们，请使用以下命令：

列出政策

gcloud alpha scc artifact-guard policies list PARENT

替换以下内容：

• organizations/ORGANIZATION_ID/locations/LOCATION
• projects/PROJECT_NUMBER/locations/LOCATION

描述政策

gcloud alpha scc artifact-guard policies describe \
    (POLICY --location=LOCATION (--organization=ORGANIZATION_ID | --project=PROJECT_NUMBER))

替换以下内容：

• organizations/ORGANIZATION_ID/locations/LOCATION/policies/POLICY_ID
• projects/PROJECT_NUMBER/locations/LOCATION/policies/POLICY_ID
• POLICY_ID --location=LOCATION (--organization=ORGANIZATION_ID | --project=PROJECT_NUMBER)

更新政策

gcloud alpha scc artifact-guard policies update \
    (POLICY --location=LOCATION (--organization=ORGANIZATION_ID | --project=PROJECT_NUMBER)) \
    --policy-file-path=PATH_TO_FILE [--allow-missing] \
    [--update-mask=UPDATE_MASK]

--allow_missing 是一个可选标志。如果包含此标志，则在指定政策不存在时创建新政策。

替换以下内容：

• display_name
• description
• scope
• enablement_state
• vulnerability_policy
• annotations

控制台

如需在 Google Cloud 控制台中删除制品防护政策，请按以下步骤操作：

1. 在 Google Cloud 控制台中，依次前往安全性 > 规则。
2. 在规则表格中，点击要删除的政策旁边的 more_vert，然后选择删除。
3. 按照确认提示删除政策。点击取消即可中止。

gcloud CLI

如需使用 gcloud CLI 删除政策，请运行以下命令：

gcloud alpha scc artifact-guard policies delete \
    (POLICY --location=LOCATION (--organization=ORGANIZATION_ID | --project=PROJECT_NUMBER)) \
    [--etag=ETAG]

替换以下内容：