GCP Terraform Misconfiguration: Compute Engine Project-Wide SSH

Terraform 構成は、プロジェクト全体の SSH ログインをブロックせずに、Compute Engine インスタンスをセットアップします。

デフォルトでは、プロジェクト メタデータに保存されている SSH キーを使用して、プロジェクト内のすべての Compute Engine インスタンスにアクセスできます。その結果、侵害された SSH キーがアクセスできる攻撃対象領域が大幅に拡大し、最小特権の原則に違反することになります。

例 1: 次の例は、metadata 引数の block-project-ssh-keys を false に設定することで、プロジェクト全体の SSH ログインを許可する Terraform 構成を示しています。

resource "google_compute_instance" "compute_instance_demo" {
  ...
  metadata = {
    block-project-ssh-keys = false
    ...
  }
  ...
}