GCP kuruluş politikaları, bir Google Cloud organizasyonunda nelerin yapılıp yapılamayacağını merkezden belirleyen kurallardır. Kimlik izinleri “kim ne yapabilir” sorusunu yanıtlarken, kuruluş politikaları “bu ortamda hangi eylem baştan yasak” sorusunu yanıtlar. Bir kullanıcının izni yeterli olsa bile, kuruluş politikası bir kaynağı herkese açık yapmayı yasaklamışsa o eylem hiç gerçekleşemez.

Kuruluş politikaları, güvenliği tek tek kullanıcıların doğru davranmasına bırakmak yerine yanlış davranışı en baştan imkânsız kılan korkuluklardır.

Kaynak Hiyerarşisi ve Devralma

GCP kaynakları bir ağaç gibi düzenlenir: en üstte organizasyon, altında klasörler, onların altında projeler ve en altta kaynaklar durur. Kuruluş politikası bu ağacın herhangi bir düğümüne bağlanır ve o düğümün altındaki her şeye devredilir. Organizasyon düzeyinde konan bir kısıt, altındaki tüm klasör ve projeleri kapsar; alt bir düğümde ise gerektiğinde daha gevşek veya daha sıkı bir istisna tanımlanabilir. Bu yapı, yönetişimi tek bir noktadan uygulayıp gerektiğinde yerel esneklik bırakmayı sağlar.

Politikalar kısıtlama (constraint) adı verilen tanımlı denetim noktaları üzerinden çalışır. Bunlar açık uçlu betikler değil, sağlayıcının önceden tanımladığı belirli davranışları düzenleyen anahtarlardır; ekip bu anahtarları kaynak ağacının doğru düğümünde açıp kapatarak ortamın çerçevesini çizer.

Tipik Guardrail Örnekleri

En sık kullanılan politikalar, yaygın hataları baştan keser: sanal makinelere genel IP adresi atanmasını yasaklamak, kaynakların yalnızca belirli coğrafi bölgelerde açılmasına izin vermek, alan adı dışındaki hesaplarla paylaşımı engellemek veya servis hesabı anahtarı oluşturulmasını kısıtlamak. Her biri, tek bir dikkatsiz yapılandırmanın açacağı geniş bir riski merkezî bir kararla kapatır.

• Sanal makinelere harici IP atanmasını engellemek
• Kaynak oluşturmayı yalnızca onaylı bölgelerle sınırlamak
• Kurum alan adı dışındaki kimliklerle paylaşımı yasaklamak
• Uzun ömürlü servis hesabı anahtarlarının üretimini kısıtlamak
• Depolama kovalarının herkese açık yapılmasını önlemek

Duruş ve En Az Yetkiyle İlişkisi

Kuruluş politikaları, en az yetki ilkesi ile birbirini tamamlar ama aynı şey değildir; biri kimin ne yapabileceğini daraltırken, diğeri hiç kimsenin yapamayacağı eylemleri tanımlar. Politikaların gerçekten uygulanıp uygulanmadığını ve zamanla gevşetilmediğini doğrulamak ise bulut güvenlik duruşu yönetimi araçlarının işidir; ortamı sürekli tarayıp politikadan sapan kaynağı ortaya çıkarırlar.

Politikalar altyapı ve platform katmanına aynı biçimde uygulanır. Farklı bulut bilişim hizmet modelleri arasında sorumluluk paylaşımı değişse de, kuruluş politikaları organizasyonun kontrol edebildiği tüm kaynak türleri için tutarlı bir çerçeve kurar.

Kurumsal Karşılık

İyi tasarlanmış bir politika seti, iş yüklerinin çalışma zamanını koruyan bulut iş yükü koruma platformu gibi katmanların üzerine oturan bir önleme çerçevesidir; risk daha kaynak oluşturulurken engellenir. Privia Security’nin altyapı ve mimari gözden geçirme hizmeti, GCP organizasyonunuzun politika setini gözden geçirip guardrail’leri kaynak hiyerarşinize doğru biçimde yerleştirmek için yürütülür.