|
主要な機能と権限
|
[Resources:]
[Enabled APIs:]
-
IAMサービスアカウントの認証情報
-
クラウドリソースマネージャ
-
IDとアクセス管理
-
Cloud Build
-
デプロイメントマネージャ
-
クラウド機能
-
Cloud Pub/Sub
-
シークレットマネージャー
|
|
エージェントレスによる脆弱性と脅威の検出
|
Resources:
-
コントロールプレーンサービスアカウント
-
カスタマーロールサービスアカウント
-
データプレーンサービスアカウント
|
|
リアルタイム状態監視
|
Resources:
-
ログシンク
-
Pub/Subトピック
-
Pub/Sub IAMバインディング
-
クラウドストレージバケット
-
クラウドストレージオブジェクト
-
サービスアカウント
-
Cloud Function (第2世代)
-
Cloud RunサービスIAMバインディング
-
Eventarcトリガー
-
Artifact Registry リポジトリ
Enabled APIs:
-
Cloud Logging API (サービス: logging.googleapis.com)
-
Cloud Pub/Sub API (サービス: pubsub.googleapis.com)
-
クラウドストレージAPI (サービス: storage.googleapis.com)
-
Cloud Functions API (サービス: cloudfunctions.googleapis.com)
-
Cloud Run管理API (サービス: run.googleapis.com)
-
Eventarc API (サービス: eventarc.googleapis.com)
-
Cloud Build API (サービス: cloudbuild.googleapis.com)
-
Artifact Registry API (サービス: artifactregistry.googleapis.com)
-
クラウドデプロイメントマネージャ (サービス: deploymentmanager.googleapis.com)
-
Identity and Access Management (IAM) API (サービス: iam.googleapis.com)
権限:
配信で使用:
-
resourcemanager.projects.get
-
iam.serviceAccounts.create
-
iam.serviceAccounts.delete
-
iam.serviceAccounts.get
-
iam.serviceAccounts.actAs
-
cloudfunctions.functions.作成
-
cloudfunctions.functions.delete
-
cloudfunctions.functions.get
-
cloudfunctions.functions.更新
-
run.services.get
-
run.services.setIamPolicy
-
eventarc.triggers.create
-
eventarc.triggers.delete
-
eventarc.triggers.get
-
artifactregistry.repositories.create
-
artifactregistry.repositories.get
-
pubsub.topics.create
-
pubsub.topics.delete
-
pubsub.topics.get
-
pubsub.topics.setIamPolicy
-
pubsub.topics.getIamPolicy
-
logging.sinks.create
-
logging.sinks.delete
-
logging.sinks.get
-
storage.buckets.create
-
storage.buckets.get
-
storage.buckets.delete
-
storage.objects.create
-
storage.objects.delete
-
storage.objects.get
-
deploymentmanager.deployments.get
-
deploymentmanager.deployments.delete
作成されたサービスアカウントで使用されるロール:
-
ロール/実行者
-
roles/pubsub.publisher
|
|
Data Security Posture
|
Phase: Deployment
IAM:
Networking:
-
google_compute_network (1)
-
google_compute_subnetwork (1)
-
google_compute_router (1)
-
google_compute_router_nat (1)
-
google_compute_firewall (4から5、条件付き)
-
google_vpc_access_connector (1)
ストレージ:
-
google_storage_bucket (2)
-
google_storage_bucket_object (1)
-
google_storage_bucket_iam_member (1)
Compute:
Secret Manager:
-
google_secret_manager_secret (1)
-
google_secret_manager_secret_version (1)
-
google_secret_manager_secret_iam_member (1)
Monitoring:
-
google_monitoring_metric_descriptor (1)
-
google_monitoring_alert_policy (0から1、条件付き)
-
google_monitoring_notification_channel (0から1、条件付き)
Pub/Sub:
Cloud Functions:
Eventarc:
Cloud Scheduler:
Artifact Registry:
Cloud Run:
Logging:
Cloud Build:
Phase: Runtime
次のリソースはアプリケーションコードによって実行時に作成され、Terraformによって管理されません:
-
VMインスタンス (google_compute_instance): 検索ジョブごとに作成され、ハートビートタイムアウト後に終了
-
一時的な外部IP: 非本番環境のみ、VM削除時に解放
-
シークレットマネージャバージョン: ローテーションサイクルごとに新しいバージョンを作成し、最後の5バージョンを保持
-
カスタムメトリック時系列データ: VMライフサイクル中に監視のために記録
-
GCSオブジェクト (Audit Logs): GCPログインフラストラクチャによって提供されます
|