1. 课程导入与生产安全合规全景
把业务系统从“能跑起来”推进到“敢在生产环境长期运行”，安全与合规从来不是上线前补做的一张检查表，而是贯穿架构设计、身份体系、数据流转、变更发布和审计追溯的持续约束。Google Cloud 的生产安全与合规治理，核心不是记住多少个服务名，而是建立一套可落地的判断框架：哪些风险由云厂商承担，哪些必须由我们自己控制；哪些合规要求会反向决定技术选型；出现异常时，从哪里取证、如何收敛影响面。
生产环境面临的真实挑战
与传统 IDC 相比，Google Cloud 生产环境的风险形态发生了明显变化。第一是边界模糊：资源可以通过公网 IP、负载均衡、VPC 对等连接、Private Service Connect、Cloud Interconnect 等多条路径被访问，传统“内网可信、外网不可信”的假设不再成立。第二是身份即边界：IAM 角色、服务账号、Workload Identity Federation、组织策略共同决定了“谁能对什么资源做什么”，一个过度授权的服务账号密钥泄露，其破坏力可能超过一台主机被入侵。第三是配置漂移：生产环境往往由 Terraform、Deployment Manager 或 Config Connector 管理，但控制台手工修改、临时排障命令、过期凭证会持续制造与基线不一致的状态。第四是合规证据链：等保、ISO 27001、PCI DSS、HIPAA 等要求不仅关注“有没有做”，还关注“能否证明做过、何时做的、谁批准的”，这直接依赖 Cloud Audit Logs、Access Transparency、Security Command Center 等能力。
共享责任模型：先分清谁负责什么
Google Cloud 的共享责任模型可以概括为：Google 负责“云的安全”，客户负责“云中的安全”。Google 侧覆盖物理数据中心、硬件、宿主 hypervisor、全球网络骨干以及托管服务的基础设施与补丁；客户侧则覆盖数据分类与加密策略、身份与访问管理、网络配置、操作系统与中间件补丁、应用代码安全、日志留存与合规映射。需要特别注意的是，责任分界线会随服务模型移动：IaaS（如 Compute Engine）中客户要管 Guest OS 及以上；PaaS（如 Cloud SQL、GKE Autopilot）中 Google 接管更多运行时与补丁，但客户仍要管数据、IAM、网络暴露面和备份策略；SaaS（如 Workspace）中客户责任进一步收缩到账号、共享策略与数据治理。
治理框架的四层结构
把治理拆成四层，有助于在真实项目中定位问题。第一层是组织与策略层：通过 Organization、Folder、Project 的层级结构承载资源归属，用 Organization Policy 限制“不允许创建公网 IP”“不允许使用外部服务账号密钥”等硬约束，用标签实现成本与合规归属。第二层是身份与访问层：以 IAM 角色、服务账号、Workload Identity Federation 为核心，坚持最小权限与职责分离，避免长期密钥。第三层是网络与数据层：用 VPC、防火墙规则、Private Service Connect、VPC Service Controls 控制东西向与南北向流量，用 CMEK、DLP、敏感数据分类控制数据生命周期。第四层是检测与响应层：Security Command Center 汇总错误配置与威胁发现，Cloud Audit Logs 提供管理活动与数据访问记录，Access Transparency 记录 Google 人员操作，最终形成可追溯、可复盘的证据链。
一个可参考的落地起点
假设某团队要把一套订单服务部署到 Google Cloud 生产环境，可以先用下面的检查表把治理框架落到具体动作上。表中参数为教学示例，实际项目需按业务与合规要求调整。
| 治理层 | 关键动作 | 示例参数/对象 | 验证方式 |
|---|---|---|---|
| 组织与策略 | 建立 Folder 与 Project 边界，启用组织策略 | Folder: prod-order；策略：禁止公网 IP | 尝试创建带外部 IP 的 VM，应被拒绝 |
| 身份与访问 | 为服务创建专用服务账号并绑定最小角色 | sa-order-api；角色：Cloud SQL Client | 用 IAM Policy Troubleshooter 验证权限 |
| 网络与数据 | 限制入站端口，启用 VPC-SC 与 CMEK | 仅开放 443；密钥环：kr-order | 从外部扫描端口，确认仅 443 可达 |
| 检测与响应 | 开启审计日志与 SCC 告警，配置日志留存 | Admin Activity + Data Access；留存 365 天 | 在 Logs Explorer 中检索到变更记录 |
课程学习路径与实战目标
本课程后续将沿着“身份与访问 → 网络与边界 → 数据保护 → 检测与响应 → 合规与审计”的主线展开，每一节都会尽量落到可操作的对象、参数和判断依据上。学习完成后，你应当能够：独立设计一个符合最小权限原则的 IAM 与服务账号体系；为生产 VPC 规划合理的子网、防火墙与私有连接；为敏感数据选择 CMEK、DLP 与 VPC Service Controls 的组合；用 Security Command Center 与 Cloud Audit Logs 建立可追溯的检测与响应流程；并把等保、ISO 27001 等合规要求映射到具体的 Google Cloud 控制项与证据来源。生产安全与合规治理的终点，不是“通过一次审计”，而是让系统在持续变更中仍然可控、可证、可恢复。