Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

建立 IaC 驗證報告範例

本教學課程說明如何確認基礎架構即程式碼 (IaC) 未違反貴機構的政策或安全狀態分析偵測器。

目標

建立資安態勢。
在專案中部署資安態勢。
檢查 Terraform 檔案範例是否違規。
修正 Terraform 檔案中的違規事項，然後再次檢查檔案，確認修正內容。

事前準備

設定權限

請確認您在機構中具備下列角色：專案建立者和安全狀況管理員

檢查角色

前往 Google Cloud 控制台的「IAM」頁面。
前往「IAM」頁面
選取機構。
在「主體」欄中，找出所有可識別您或您所屬群組的資料列。如要瞭解自己所屬的群組，請與管理員聯絡。
針對指定或包含您的所有資料列，檢查「角色」欄，確認角色清單是否包含必要角色。

授予角色

前往 Google Cloud 控制台的「IAM」頁面。
前往「IAM」頁面
選取機構。
按一下「Grant access」(授予存取權)。
在「New principals」(新增主體) 欄位中，輸入您的使用者 ID。這通常是指 Google 帳戶的電子郵件地址。
按一下「Select a role」(選取角色)，然後搜尋角色。
如要授予其他角色，請按一下「Add another role」(新增其他角色)，然後新增其他角色。
按一下「Save」(儲存)。

設定 Cloud Shell

在 Google Cloud 控制台中啟用 Cloud Shell。

啟用 Cloud Shell

Google Cloud 控制台底部會開啟 Cloud Shell 工作階段，並顯示指令列提示。Cloud Shell 是已安裝 Google Cloud CLI 的殼層環境，並已設定適用於您目前專案的值。工作階段可能要幾秒鐘的時間才能初始化。

找出組織 ID：
```
gcloud organizations list
```

準備環境

登入 Google Cloud 帳戶。如果您是 Google Cloud新手，歡迎建立帳戶，親自體驗產品的實際應用成效。新客戶還能獲得價值 $300 美元的免費抵免額，能用於執行、測試及部署工作負載。

安裝 Google Cloud CLI。

如果您使用外部識別資訊提供者 (IdP)，請先使用聯合身分登入 gcloud CLI。

執行下列指令，初始化 gcloud CLI：

gcloud init

建立或選取 Google Cloud 專案。

選取或建立專案所需的角色

選取專案：選取專案時，不需要具備特定 IAM 角色，只要您在專案中獲派角色，即可選取該專案。
建立專案：如要建立專案，您需要專案建立者角色 (roles/resourcemanager.projectCreator)，其中包含 resourcemanager.projects.create 權限。瞭解如何授予角色。

建立 Google Cloud 專案：
```
gcloud projects create PROJECT_ID
```
將 PROJECT_ID 替換為要建立的專案名稱。 Google Cloud
選取您建立的 Google Cloud 專案：
```
gcloud config set project PROJECT_ID
```
將 PROJECT_ID 替換為 Google Cloud 專案名稱。

確認 Google Cloud 專案已啟用計費功能。

如果尚未啟用，請啟用資安態勢服務和 Security Command Center Management API：

啟用 API 時所需的角色

如要啟用 API，您必須具備 serviceusage.services.enable 權限。如果您建立了專案，可能已透過「擁有者」角色 (roles/owner) 取得這項權限。否則，您可以透過「服務使用管理員」角色 (roles/serviceusage.serviceUsageAdmin) 取得這項權限。瞭解如何授予角色。

gcloud services enable securityposture.googleapis.com  securitycentermanagement.googleapis.com

安裝 Google Cloud CLI。

如果您使用外部識別資訊提供者 (IdP)，請先使用聯合身分登入 gcloud CLI。

執行下列指令，初始化 gcloud CLI：

gcloud init

建立或選取 Google Cloud 專案。

選取或建立專案所需的角色

選取專案：選取專案時，不需要具備特定 IAM 角色，只要您在專案中獲派角色，即可選取該專案。
建立專案：如要建立專案，您需要專案建立者角色 (roles/resourcemanager.projectCreator)，其中包含 resourcemanager.projects.create 權限。瞭解如何授予角色。

建立 Google Cloud 專案：
```
gcloud projects create PROJECT_ID
```
將 PROJECT_ID 替換為要建立的專案名稱。 Google Cloud
選取您建立的 Google Cloud 專案：
```
gcloud config set project PROJECT_ID
```
將 PROJECT_ID 替換為 Google Cloud 專案名稱。

確認 Google Cloud 專案已啟用計費功能。

如果尚未啟用，請啟用資安態勢服務和 Security Command Center Management API：

啟用 API 時所需的角色

gcloud services enable securityposture.googleapis.com  securitycentermanagement.googleapis.com

複製專案編號。部署資安態勢時，您需要專案編號來設定目標資源。
```
gcloud projects describe PROJECT_ID
```
初始化 Terraform：
```
terraform init
```

建立及部署資安態勢

在 Cloud Shell 中啟動 Cloud Shell 編輯器。如要啟動編輯器，請點選 Cloud Shell 視窗工具列中的「開啟編輯器」。
建立名為 example-standard.yaml 的 YAML 檔案。
將下列程式碼貼入檔案：

name: organizations/ORGANIZATION_ID/locations/global/postures/example-standard
state: ACTIVE
policySets:
- policies:
  - constraint:
      orgPolicyConstraintCustom:
        customConstraint:
          actionType: ALLOW
          condition: "resource.initialNodeCount == 3"
          description: Set initial node count to be exactly 3.
          displayName: fixedNodeCount
          methodTypes:
          - CREATE
          name: organizations/ORGANIZATION_ID/customConstraints/custom.fixedNodeCount
          resourceTypes:
          - container.googleapis.com/NodePool
        policyRules:
        - enforce: true
    policyId: fixedNodeCount
  - constraint:
      securityHealthAnalyticsCustomModule:
        config:
          customOutput: {}
          description: Set MTU for a network to be exactly 1000.
          predicate:
            expression: "!(resource.mtu == 1000)"
          recommendation: Only create networks whose MTU is 1000.
          resourceSelector:
            resourceTypes:
            - compute.googleapis.com/Network
          severity: HIGH
        displayName: fixedMTU
        moduleEnablementState: ENABLED
    policyId: fixedMTU
  - constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: BUCKET_POLICY_ONLY_DISABLED
    policyId: bucket_policy_only_disabled
  - constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: BUCKET_LOGGING_DISABLED
    policyId: bucket_logging_disabled
  policySetId: policySet1

請將 ORGANIZATION_ID 替換成組織 ID。

在 Cloud Shell 中建立資安態勢：

gcloud scc postures create organizations/ORGANIZATION_ID/locations/global/postures/example-standard --posture-from-file=example-standard.yaml

複製指令產生的資安態勢修訂版本 ID。

將資安態勢部署至專案：

gcloud scc posture-deployments create organizations/ORGANIZATION_ID/locations/global/postureDeployments/example-standard \
--posture-name=organizations/ORGANIZATION_ID/locations/global/postures/example-standard \
--posture-revision-id="POSTURE_REVISION_ID" \
--target-resource=projects/PROJECT_NUMBER

更改下列內容：

ORGANIZATION_ID：您的組織 ID。
POSTURE REVISION_ID：您複製的姿勢修訂版本 ID。
PROJECT_NUMBER：您的專案編號。

建立 Terraform 檔案並驗證

在 Cloud Shell 中啟動 Cloud Shell 編輯器。
建立名為 main.tf 的 Terraform 檔案。

將下列程式碼貼入檔案：

terraform {
  required_providers {
    google = {
      source  = "hashicorp/google"
    }
  }
}

provider "google" {
  region  = "us-central1"
  zone    = "us-central1-c"
}

resource "google_compute_network" "example_network"{
  name                            = "example-network-1"
  delete_default_routes_on_create = false
  auto_create_subnetworks         = false
  routing_mode                    = "REGIONAL"
  mtu                             = 100
  project                         = "PROJECT_ID"
}

resource "google_container_node_pool" "example_node_pool" {
  name               = "example-node-pool-1"
  cluster            = "example-cluster-1"
  project            = "PROJECT_ID"
  initial_node_count = 2

  node_config {
    preemptible  = true
    machine_type = "e2-medium"
  }
}

resource "google_storage_bucket" "example_bucket" {
  name          = "example-bucket-1"
  location      = "EU"
  force_destroy = true

  project = "PROJECT_ID"

  uniform_bucket_level_access = false
}

將 PROJECT_ID 替換為您建立的專案 ID。

在 Cloud Shell 中建立 Terraform 計畫檔案，並轉換為 JSON 格式：

terraform plan -out main.plan
terraform show -json main.plan > mainplan.json

為「mainplan.json」建立 IaC 驗證報告：
```
gcloud scc iac-validation-reports create organizations/ORGANIZATION_ID/locations/global --tf-plan-file=mainplan.json
```
這項指令會傳回 IaC 驗證報告，說明下列違規事項：
- example_network 的 mtu 不是 1000。
- example_node_pool 的 initial_node_count 不是 3。
- example_bucket未啟用統一 bucket 層級存取權。
- example_bucket 未啟用記錄功能。

解決違規問題

在 Cloud Shell 中啟動 Cloud Shell 編輯器。

更新 main.tf 檔案，進行下列變更：

terraform {
  required_providers {
    google = {
      source  = "hashicorp/google"
    }
  }
}

provider "google" {
  region  = "us-central1"
  zone    = "us-central1-c"
}

resource "google_compute_network" "example_network"{
  name                            = "example-network-1"
  delete_default_routes_on_create = false
  auto_create_subnetworks         = false
  routing_mode                    = "REGIONAL"
  mtu                             = 1000
  project                         = "PROJECT_ID"
}

resource "google_container_node_pool" "example_node_pool" {
  name               = "example-node-pool-1"
  cluster            = "example-cluster-1"
  project            = "PROJECT_ID"
  initial_node_count = 3

  node_config {
    preemptible  = true
    machine_type = "e2-medium"
  }
}

resource "google_storage_bucket" "example_bucket" {
  name          = "example-bucket-1"
  location      = "EU"
  force_destroy = true

  project = "PROJECT_ID"
  uniform_bucket_level_access = true

  logging {
    log_bucket   = "my-unique-logging-bucket" // Create a separate bucket for logs
    log_object_prefix = "tf-logs/"             // Optional prefix for better structure
  }
}