gcp管理规范必威体育精装版版本.docxVIP

gcp管理规范必威体育精装版版本

一、账号与身份管理规范

1.1用户身份管理

所有GCP平台用户身份需通过GoogleWorkspace或CloudIdentity集中管理，禁止使用个人Google账号直接访问生产环境资源。用户账号创建需遵循“按需分配”原则，由部门负责人提交申请，经安全团队审批后由云管理员在CloudIdentity中创建。用户角色权限需严格遵循最小权限原则（LeastPrivilege），优先使用GCP预定义角色（如roles/editor、roles/viewer），仅当预定义角色无法满足需求时，方可创建自定义角色，且自定义角色权限需经安全团队审核。

用户账号需强制启用多因素认证（MFA），支持的MFA方式包括GoogleAuthenticator、硬件安全密钥（如YubiKey）或短信验证（仅作为备用）。未启用MFA的账号在首次登录时需完成MFA设置，否则限制访问生产资源。用户离职或调岗时，所属部门需在24小时内通知云管理员，管理员应立即禁用该账号，并回收所有关联的服务账号权限。

1.2服务账号管理

服务账号（ServiceAccount）仅用于自动化任务或服务间交互，禁止用于人工登录操作。服务账号创建需明确用途（如“云函数-数据同步”），并关联具体的项目和资源范围。服务账号权限需最小化，仅授予完成任务所需的最低权限（如仅允许访问特定CloudStorage存储桶的读取权限）。

服务账号密钥（JSON密钥文件）需通过SecretManager集中管理，禁止将密钥文件直接存储在代码库或服务器明文路径中。密钥生命周期需设置自动轮换策略，默认每90天强制轮换一次，轮换操作由云自动化工具（如CloudScheduler触发CloudFunctions）完成。废弃的服务账号需在任务终止后72小时内删除，避免冗余账号残留。

二、资源生命周期管理规范

2.1项目（Project）管理

所有GCP资源需归属在项目中，项目创建需通过内部审批流程，填写《项目创建申请表》，注明项目用途、所属部门、负责人、预计使用期限及预算上限。项目命名需遵循统一规范：`环境-部门-项目名`（如`prod-finance-erp`、`staging-engineering-ml-pipeline`），其中环境分类为prod（生产）、staging（预发布）、dev（开发）、test（测试）。

项目需绑定预算（Budget）和警报（Alert），预算金额由财务部门与项目负责人共同确认，警报触发阈值设置为预算的80%（预警）、90%（警告）、100%（阻断）。当触发100%阈值时，系统自动冻结非关键资源（如停止空闲的ComputeEngine实例），避免超支。项目终止时，需执行资源清理流程：先停用所有服务（如关闭VM实例、删除CloudSQL实例），再删除存储桶数据（保留审计日志至合规期限后），最后通过gcloud命令或控制台删除项目，删除操作需经安全团队确认。

2.2资源标签与元数据

所有GCP资源（VM实例、存储桶、数据库等）需添加至少以下标签：`环境`（prod/staging/dev/test）、`所有者`（部门+负责人邮箱）、`成本中心`（财务指定编码）、`业务线`（如电商、金融、物流）。标签键值对需使用小写字母加连字符（如`environment=prod`），禁止使用中文或特殊符号。标签信息需与项目元数据一致，便于成本分摊和资源检索。

2.3冗余资源清理

每周由自动化脚本扫描所有项目，标记符合以下条件的冗余资源：

-ComputeEngine实例：连续30天未运行且未关联自动扩展组；

-CloudStorage存储桶：连续60天无读写操作且非日志/备份存储桶；

-CloudSQL实例：连续30天CPU利用率低于5%且无连接；

-静态IP地址：未关联任何实例且保留超过7天。

标记后的资源将发送至所有者邮箱通知，若7日内未处理，系统自动删除（存储桶数据需先归档至ColdlineStorage或ArchiveStorage）。核心业务资源（如生产数据库）需手动标记“保留”，避免误删。

三、网络安全规范

3.1VPC与子网设计

生产环境需使用自定义VPC（CustomVPC），禁止使用自动模式VPC（AutoVPC）。VPC需跨多区域（Multi-Region）部署（如nam4、eur4），确保高可用性。子网（Subnet）划分需遵循“业务隔离”原则，按功能划分（如应用子网、数据库子网、管理子网），子网CIDR需预留20%扩展空间（如/24子网可用IP数251，预留50个IP）。

3