Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

[Enhancement] blueprints/il5, fedramp-high: scope project-wide IAM bindings to resources, wire CMEK, and restrict firewall targets

Đang mở
  • Có gì không ổn?
#374 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

@LeonxLJX đang làm issue này rồi.

Từ ngày 28/10/2026.

  • #380 của @LeonxLJX — đang mở

Đánh giá

Độ khó
4/5
Thời gian dự kiến
3-5 ngày
Mức phù hợp với người mới
32/100
Loại issue
Tính năng
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
gcp, terraform
Lĩnh vực
cloud, infrastructure, security

Hướng nghiên cứu

Start with the blueprints/il5 and blueprints/fedramp-high directories, reading #33 and #346 for the least-privilege context, then locate the named modules (cloud-composer-environment, cloud-functions, cloud-run, cloud-workstations, cnap, vertex-mlops, il5/pub-sub-project, cloud-spanner, cloud-sql, postgresql, bastion-pattern). Find the existing project-wide google_project_iam_member bindings, CMEK omissions, and ingress firewall rules. Done means those bindings are scoped to the specific resource, CMEK key names and service-identity grants are wired, firewall target_tags/logging are set, and shielded-instance/deletion defaults are applied; verify with terraform fmt, terraform validate, and a plan per blueprint.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

Enhancement Framework - FedRAMP High Framework - IL5 Level of Effort - Medium Priority - Medium Scope - Blueprint Security

Description

Multiple workload blueprints under blueprints/il5 and blueprints/fedramp-high grant project-wide IAM bindings where resource-level or subnet-level bindings are supported, omit CMEK kms_key_name wiring on storage or database resources, or omit target_tags on ingress firewall rules.

  1. Scope project-wide google_project_iam_member bindings for roles/compute.networkUser, roles/storage.objectAdmin, roles/secretmanager.secretAccessor, roles/pubsub.publisher, roles/pubsub.subscriber, and roles/cloudkms.cryptoKeyEncrypterDecrypter down to the specific subnetwork, bucket, secret, topic, subscription, or crypto key in cloud-composer-environment, cloud-functions, cloud-run, cloud-workstations, cnap, vertex-mlops, and il5/pub-sub-project.
  2. Wire CMEK kms_key_name into cloud-composer-environment and cloud-spanner along with roles/cloudkms.cryptoKeyEncrypterDecrypter for the Spanner service identity in both blueprints/il5 and blueprints/fedramp-high.
  3. Scope ingress firewall rules in blueprints/il5/postgresql and blueprints/il5/bastion-pattern with target_tags and enable firewall logging.
  4. Enable shielded_instance_config and deletion_protection defaults across vertex-mlops, cloud-sql, and postgresql blueprints.

Additional Context

Tracked under #33. Split out from #346 so least-privilege IAM, CMEK, and firewall hardening can be delivered per blueprint family.

Ngôn ngữ chính
HCL
Star
61
Fork
28
Merge trung bình
1 ngày 22 giờ
Pull request đã merge (30 ngày)
72

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của google/stellar-engine

Tất cả issue của google/stellar-engine

Issue tương tự

Thêm issue về Cloud

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.