FACTUAL ACTIVITY RECORD · 実際の作業をもとにした活動記録
sanitize専用のModel Armor IAMを採用する
対応しないconditionを除き、単一permissionの境界を定着させる
対象期間: —
目的
runtimeが実際に評価できるIAMへ直しつつ、Model Armorの利用範囲をuser promptのsanitizeだけに保つ状態をsourceの基準として確定する必要があった。
実装
runtime service accountのcustom roleはsanitize用permission 1件だけを含み、非対応のresource.name条件を持たない構成を採用した。
Terraform module、module文書、統合仕様、静的監査を同じ契約へ揃え、conditionとpermission集合を検査対象にした。
図を描画しています…
確認したこと
確認結果
Terraform format、validate、GCP検証、仕様監査、差分検査が成功した。
5ファイルの採用状態で、permission集合とcondition不在が一致した。
実provider canaryによる確認はcutoff後のため含めていない。
完了とした根拠
sanitize専用の単一permissionと対応可能なIAM形式が、source・文書・監査へ採用された範囲を完了とした。