Несмотря на то, что продолжают появляться сложные новые эксплойты нулевого дня, большинство инцидентов кибербезопасности по-прежнему происходят по одним и тем же банальным причинам: злоумышленник находит и использует фундаментальную, легко предотвратимую ошибку конфигурации облака.
Сервис Organization Policy помогает защитить конфигурации ресурсов и установить защитные механизмы во всей иерархии ресурсов Google Cloud. Используя каталог из более чем 100 предопределенных политик для частых задач облачного управления, а также пользовательские политики организации (Custom Organization Policy), вы можете проще устанавливать границы с детальным контролем над ресурсами.
Чтобы помочь командам платформы и безопасности создавать, проверять и масштабировать защитные механизмы с большей скоростью и простотой, мы объявляем ообщей доступности нашего сервера Model Context Protocol (MCP) для Organization Policy и создании пользовательских ограничений на естественном языке с помощью Gemini.
Управление Organization Policy с помощью агентов
Вместо того чтобы заставлять администраторов вручную разбирать сложные иерархические цепочки, сервер MCP для Organization Policy предоставляет инструменты, позволяющие автономным агентам и конвейерам взаимодействовать напрямую с Organization Policy.
Используя сервер MCP для Organization Policy, агенты могут помогать администраторам в аудитах безопасности, обнаружении отклонений и управлении исключениями. Ключевые возможности включают:
- Обнаружение ограничений: такие инструменты, как 'ListConstraints' и 'GetCustomConstraint', позволяют агентам понимать конкретные защитные механизмы, применяемые к проекту, папке или организации.
Обнаружение ограничений: такие инструменты, как 'ListConstraints' и 'GetCustomConstraint', позволяют агентам понимать конкретные защитные механизмы, применяемые к проекту, папке или организации.
- Оценка политики: инструмент 'GetEffectivePolicy' вычисляет эффективную политику с учетом наследования иерархии и условий на основе тегов. Вы можете использовать это, чтобы проверить, будет ли изменение конфигурации соответствовать требованиям.
Оценка политики: инструмент 'GetEffectivePolicy' вычисляет эффективную политику с учетом наследования иерархии и условий на основе тегов. Вы можете использовать это, чтобы проверить, будет ли изменение конфигурации соответствовать требованиям.
- Управление политикой: 'CreatePolicy' и 'CreateCustomConstraint' позволяют командам платформы управлять защитными механизмами посредством диалоговых рабочих процессов.
Управление политикой: 'CreatePolicy' и 'CreateCustomConstraint' позволяют командам платформы управлять защитными механизмами посредством диалоговых рабочих процессов.
Например, вы можете объединить предпочитаемого агента кодирования с инструментами MCP для Organization Policy, чтобы создать пользовательскую панель мониторинга для визуализации ограничений, применяемых к организации, и выявления папок и проектов в организации, для которых были сделаны исключения из политики. Вы также можете создавать пользовательские агенты и навыки для оптимизации управления Organization Policy.
Рисунок 1: Пользовательская панель мониторинга, созданная с помощью инструментов MCP для Organization Policy и отображающая принудительно применяемые ограничения
Рисунок 2: Визуализация принудительно применяемых ограничений и выявление исключений с помощью инструментов MCP для Organization Policy.
Упрощение создания пользовательских ограничений с помощью Gemini
Хотя каталог ограничений Organization Policy предоставляет встроенные управляемые ограничения для распространенных вариантов использования, каждая организация имеет свои уникальные архитектурные стандарты. Пользовательские политики организации позволяют клиентам выражать эти стандарты в виде пользовательского ограничения и применять их во всех поддерживаемых сервисах.
Традиционно администраторы писали эти правила на общем языке выражений (Common Expression Language, CEL), что требовало глубокого понимания схем ресурсов Google Cloud. Теперь администраторы могут создавать пользовательские политики организации на естественном языке с помощью промпта Gemini.
Например, вы можете попросить Gemini потребовать использования идентификации агентов (agent-identity) в Agent Runtime, потребовать, чтобы все агенты, развернутые в Agent Runtime, использовали утвержденный шлюз агентов (Agent Gateway), а также запретить пользователям отключать автоматические обновления в GKE, и уточнять пользовательские ограничения в диалоговом режиме.
Чтобы обеспечить безопасное развертывание, Gemini также может генерировать совместимые и несовместимые тестовые конфигурации ресурсов, которые помогут вам протестировать политику и выполнить валидацию в режиме предварительного тестирования (dry-run) перед применением ограничения.
Рисунок 3: Определение пользовательских ограничений с помощью запроса на естественном языке с использованием Gemini
В качестве целевых примеров библиотека пользовательских ограничений-примеров от Google Cloud Professional Services содержит предварительно созданные образцы пользовательских ограничений на основе стандартов CIS и PCI. Пользовательские ограничения поддерживаются в широком спектре сервисов Google Cloud, включая основные сервисы ИИ и вычислений, такие как Agent Runtime, Agent Search и Agent Studio на платформе Gemini, Cloud Run и Google Kubernetes Engine.
Создавайте быстрее и увереннее
Organization Policy обеспечивает проактивное облачное управление конфигурациями ресурсов в Google Cloud. Сервис позволяет администраторам применять критически важные защитные механизмы безопасности, чтобы инженерные команды могли создавать и развертывать продукты быстро и безопасно.
Благодаря растущему каталогу встроенных защитных механизмов, автономным инструментам для администраторов и возможности настраивать пользовательские ограничения во всех сервисах Google Cloud, Organization Policy дает предприятиям контроль, необходимый для безопасного масштабирования.
Изучите документацию по Organization Policy, чтобы узнать больше об управлении ресурсами в Google Cloud и настроить основные защитные механизмы.
- Безопасность и идентификация
