问题标签 [cloud-security]

除了 CIS 基准之外，我们是否有任何针对谷歌云的开源安全基准？通常如何对云基础架构进行渗透测试？

我正在尝试在我的 AWS Ubuntu 18.04 LTS 免费层 EC2 实例上安装Rhino Security Labs CloudGoat 。我遵循了设置管理员用户和配置 AWS CLI 的说明，还按照链接站点中的说明和GitHub 上的说明设置了 terraform v0.12。我还将实例的安全组配置为允许所有流量。

但是，当我运行 git clone 命令时，出现“权限被拒绝”错误。完整输出见下文：

我是否需要将 GitHub 上的 SSH 密钥关联到我的帐户，如果需要，我该怎么做？我不确定此时还可以尝试什么。谢谢。

在对安全标记的文档进行试验和检查后，尚不清楚资产安全标记是否与发现的安全标记相同。

我在“资产”选项卡中添加了一个安全标记，只返回“调查结果”选项卡而不在那里看到它。它们是否相同，但我遇到了数据同步问题？然而，我已经等了至少 2 天。或者它们是不同的“标记”？

今天我们的 webapp 发生了 XSS 攻击，我在监控团队工作。我的客户想要确认攻击者的 IP 地址。如何找到攻击者机器的IP地址。

详细信息： 我正在使用 spring boot oauth2 资源服务器，即使在尝试了不同的方法来过滤它之后，它也会给我 CORS。

我的代码看起来如何？

它是一个简单的资源服务器，带有 Spring Bootspring-cloud-starter-oauth2和spring-cloud-starter-security两个主要依赖项。

我使用 java 注释使它成为一个资源服务器：

这是我尝试解决此问题的方法：

我尝试添加一个自定义过滤器，它使用下面的代码跳过进一步的过滤器调用。在此之后，我得到“在浏览器的预检请求中不允许授权标头”。CORS everyehere向我的浏览器添加扩展后，我的请求成功了。

EC2 实例具有分配给它的 IAM 角色，允许它完全访问 S3。我认为这将允许该实例中的任何用户访问 S3，例如发出 command aws s3 ls。但事实证明，只允许使用默认的 ec2-user 和 root（使用 sudo）。我应该怎么做才能授予实例中的任何用户访问 S3 而不必使用 sudo？

有没有办法使用 gcloud 命令或 API 在 GCP 中以编程方式创建组织。我有几个小组织，其中有部门，然后是团队，最后是产品（项目）。我希望对安全策略、标准、共享存储进行清晰的继承，这些共享存储可以在顶层定义并跨项目应用，我还希望在组织级别拥有计费指标，以便可以轻松跟踪支出的去向。 .

目标：例如，用户可以创建具有图像、视频等资源的课程。我想使用签名的 cookie 限制对它们的访问。即 /courses/1 上的资源只能由拥有有效签名 cookie 的登录用户访问。

背景 我将根据https://cloud.google.com/storage/docs/access-control#recommended_bucket_architecture为每门课程创建一个媒体文件桶。

我被困在哪里

• 如何动态地将后端存储桶添加到负载均衡器，因为我只能在控制台中添加它们
• 如何为所有存储桶使用相同的签名密钥以便于维护https://cloud.google.com/cdn/docs/using-signed-cookies#creatingkeys。似乎我需要为每个存储桶手动创建一个密钥。

那么有没有一种标准的方法来做这些，或者我认为整个架构是错误的，因为如果没有自动化就无法扩展？

我正在从我的 GCP 项目中调用云功能。

当功能配置为Allow internal traffic only时，我收到 403（Permission Denied） ，请参阅 https://cloud.google.com/functions/docs/networking/network-settings#ingress_settings

删除入口控制没有问题时，该函数以状态 200 响应。该函数不允许未经身份验证的访问，已配置IAM 策略。

按照https://cloud.google.com/functions/docs/securing/authenticating#function-to-function的示例：

使用所需的入口设置部署函数和触发函数：

调用hello-trigger返回 403。

改变 ingress ofhello-get解决了这个问题：

现在调用hello-trigger返回 200。

用于 Cloud Functions 的服务帐户被赋予了此设置的 Functions Invoker 角色。

我们正在考虑在 Google 云中从 Fine grain 切换到 Uniform。不确定作为细粒度 ACL 列表一部分的服务帐户的行为方式？他们失去了访问权限？