可接受的资源配置的预防性控制措施

compute.disableNestedVirtualization

如果配置不当，Compute Engine 虚拟机上的嵌套虚拟化可能会避开虚拟机的监控功能和其他安全工具。此限制条件会阻止创建嵌套虚拟化。

compute.disableSerialPortAccess

compute.instanceAdmin 等 IAM 角色允许使用 SSH 密钥对实例串行端口进行特权访问。如果 SSH 密钥公开，则攻击者可以访问串行端口并绕过网络和防火墙控制。此限制条件会阻止串行端口访问。

compute.disableVpcExternalIpv6

如果配置不当，外部 IPv6 子网可能会受到未经授权的互联网访问的影响。此限制条件会阻止创建外部 IPv6 子网。

compute.requireOsLogin

如果公开密钥，则设置元数据中的 SSH 密钥的默认行为可能允许对虚拟机进行未经授权的访问。此限制条件强制使用 OS Login 而不是基于元数据的 SSH 密钥。

compute.restrictProtocolForwardingCreationForTypes

如果转发配置不当，外部 IP 地址的虚拟机协议转发可能会导致未经授权的互联网出站流量。此限制条件仅允许为内部地址转发虚拟机协议。

compute.restrictXpnProjectLienRemoval

删除共享 VPC 宿主项目可能会中断所有使用网络资源的服务项目。此限制条件可防止这些项目的项目安全锁被移除，从而防止意外或恶意删除共享 VPC 宿主项目。

compute.setNewProjectDefaultToZonalDNSOnly

建议不要使用全局（项目范围）内部 DNS 旧版设置，因为这会降低服务可用性。此限制条件可防止使用旧版设置。

compute.skipDefaultNetworkCreation

系统会在启用 Compute Engine API 的每个新项目中创建默认 VPC 网络和过于宽松的默认 VPC 防火墙规则。此限制条件会跳过默认网络和默认 VPC 防火墙规则的创建。

compute.vmExternalIpAccess

默认情况下，虚拟机是使用外部 IPv4 地址创建的，这可能会导致未经授权的互联网访问。此限制条件配置一个空的外部 IP 地址许可名单，虚拟机可以使用此许可名单，并拒绝所有其他地址。

essentialcontacts.allowedContactDomains

默认情况下，重要联系人可以配置为将有关您的网域的通知发送到任何其他网域。此限制条件强制要求只有已批准网域中的电子邮件地址才能设置为重要联系人的收件人。

iam.allowedPolicyMemberDomains

默认情况下，可以向任何 Google 账号（包括非受管账号及属于外部组织的账号）授予允许政策。此限制条件可确保组织中的允许政策只能授予给您自己网域中的受管理的账号。您也可以选择允许其他网域。

iam.automaticIamGrantsForDefaultServiceAccounts

默认情况下，系统会自动向默认服务账号授予过于宽松的角色。此限制条件可防止自动向默认服务账号授予 IAM 角色。

iam.disableServiceAccountKeyCreation

服务账号密钥是高风险的永久性凭据，在大多数情况下，可以使用更安全的服务账号密钥替代方案。此限制条件会阻止创建服务账号密钥。

iam.disableServiceAccountKeyUpload

如果密钥材料暴露，则上传服务账号密钥材料可能会增加风险。此限制条件可阻止上传服务账号密钥。

sql.restrictAuthorizedNetworks

如果将 Cloud SQL 实例配置为不通过 Cloud SQL Auth 代理使用授权网络，则该实例可能向未经身份验证的互联网访问开放。此政策可防止配置授权网络进行数据库访问，并强制该用 Cloud SQL Auth 代理。

sql.restrictPublicIp

如果使用公共 IP 地址创建实例，则 Cloud SQL 实例可能会向未经身份验证的互联网访问开放。此限制条件可防止 Cloud SQL 实例使用 公共 IP 地址。

storage.uniformBucketLevelAccess

默认情况下，可以通过旧版访问控制列表 (ACL)（而不是 IAM）访问 Cloud Storage 中的对象，这可能会在配置错误时导致访问权限控制不一致和意外暴露。旧版 ACL 访问权限不受 iam.allowedPolicyMemberDomains 限制条件的影响。此限制条件强制要求只能通过 IAM 统一存储桶级访问权限配置访问权限，而不能通过旧版 ACL 进行配置。

storage.publicAccessPrevention

如果配置错误，Cloud Storage 存储桶可能会向未经身份验证的互联网访问开放。此限制条件可防止向 allUsers 和 allAuthenticatedUsers 授予访问权限的 ACL 和 IAM 权限。