审计 Google Cloud Filestore…

当你需要评估 GCP Filestore 文件存储的备份保护、NFS 导出权限与区域隔离合规性时使用。

适用场景

解决思路

1. 确认运行时主体在目标 GCP 项目上具备所需 IAM 角色：只读审计需 roles/file.viewer（含 file.instances.list、file.instances.get、file.backups.list、file.backups.get）；备份修复需 roles/file.editor 或 roles/file.admin（含 file.backups.create、file.operations.get）；若通过 Filestore MCP Server（file.googleapis.com/mcp）调用，还需 roles/mcp.toolUser。
2. 按执行环境完成云认证：CLI 执行用 gcloud auth login；应用 SDK 与脚本用 gcloud auth application-default login；自动化服务与 Service Account 用 export GOOGLE_APPLICATION_CREDENTIALS="/path/to/service-account-key.json"。
3. 确认目标项目已绑定有效的 Cloud Billing 账户，用 gcloud beta billing projects describe {project_id} 验证。
4. 用 gcloud config set project {project_id} 设置目标项目上下文，用 gcloud config set compute/region us-central1 配置默认区域，并用 gcloud services enable file.googleapis.com --quiet 确认所需服务 API 已启用。
5. 若用户未指定目标 Project ID，必须先明确向用户索取# 以避免在多项目企业环境中审计到无关项目。
6. 发现实例与备份：优先用 Filestore MCP 工具调用 list_instances(parent="projects/{project_id}/locations/-") 与 list_backups(parent="projects/{project_id}/locations/-")；或用 gcloud filestore instances list --project="{project_id}" --format="json" 与 gcloud filestore backups list --project="{project_id}" --format="json"（注意：不要给 gcloud filestore backups list 传 --location=-，省略该参数会自动查询项目所有区域）；或用 REST API GET https://file.googleapis.com/v1/projects/{project_id}/locations/-/instances 与 .../backups；或运行 python3 scripts/filestore_audit.py --project="{project_id}" [--format=markdown|json]。
7. 所有 gcloud 命令前加 CLOUDSDK_METRICS_ENVIRONMENT="gcs-skills gcs-skills/1.0 (skill:google-cloud-filestore-auditing)" 前缀；直接调用 REST API 时追加 User-Agent: gcs-skills/1.0 (skill:google-cloud-filestore-auditing)。
8. 评估灾备向量：用完整规范资源 URI 匹配备份与实例（backup.sourceInstance == instance.name）；若 backup_count == 0 记为 HIGH 级发现「实例在文件共享 '{share_name}' 上有 0 个备份，未配置灾备」；若最新备份超过 SLA（默认 7 天）记为 MEDIUM 级发现「最新备份已 {days} 天，超过 7 天 SLA 阈值」。
9. 评估安全与访问治理向量：检查 fileShares[0].nfsExportOptions；若 ipRanges 含 0.0.0.0/0、0.0.0.0 或 ::/0，accessMode 为 READ_WRITE 时记 CRITICAL、READ_ONLY 时记 HIGH；若 squashMode 为 NO_ROOT_SQUASH，对外暴露时记 CRITICAL、内部子网时记 HIGH；若 nfsExportOptions 为空，记 MEDIUM「未配置显式 NFS 导出选项，共享默认在 VPC 内开放访问且为 NO_ROOT_SQUASH」。
10. 评估区域隔离与可靠性向量：若 satisfiesPzi 为 false 记 MEDIUM「实例不满足 Physical Zone Isolation (PZI)」；若 tier 为 REGIONAL 或 ENTERPRISE 且 satisfiesPzs 为 false 记 HIGH「企业/区域级实例不满足 Physical Zone Separation (PZS)」；提取 performanceLimits.maxWriteIops 与 performanceLimits.maxReadThroughputBps（换算为 MB/s）。
11. 计算整体评级：≥1 个 CRITICAL 为 Grade F（🔴 CRITICAL RISK）；0 个 Critical 但 ≥1 个 HIGH 为 Grade C（🟠 ELEVATED RISK）；0 个 Critical/High 但 ≥1 个 MEDIUM 为 Grade B（🟡 MODERATE）；全部向量 0 发现为 Grade A（🟢 HEALTHY）。
12. 计算备份保护率：Protection Rate = (Total Instances - Unprotected Instances) / Total Instances × 100。
13. 按固定 Markdown 结构输出报告，必须包含四部分：1) Executive Posture Scorecard（含 Overall Health Posture、Instances Audited、Backup Protection Rate、Critical & High Security Findings、PZI Isolation Compliance 等指标表）；2) Priority Findings & Remediation Matrix（按 CRITICAL → HIGH → MEDIUM → LOW 排序）；3) Filestore Instance Inventory & Compliance Status（含 Instance ID、Location、Tier、Capacity、Reserved CIDR、Write IOPS、Throughput、PZI、PZS、Backups、Latest Backup）；4) Automated Remediation & Mandatory Confirmation Gate。
14. 若发现未受保护实例，展示带归属标记的备份创建命令 gcloud filestore backups create [INSTANCE]-backup-[DATE] --project=[PROJECT_ID] --instance=[INSTANCE] --file-share=[SHARE] [--instance-zone=[ZONE] | --instance-location=[REGION]] --region=[BACKUP_REGION]，并以明确的确认提示结尾（如「是否继续为未受保护实例创建基线备份？请确认后继续。」）。
15. 对纯概念性、教学性或架构性问题（如「什么是 PZI」「为什么 NO_ROOT_SQUASH 危险」），直接用预训练知识与 references/ 中的内容回答，不要执行任何外部工具调用或 API 请求。
16. 当用户提示含「不要执行命令」「without executing」「read-only」等约束时，严格避免调用 run_command 执行任何 shell、python 或 gcloud 命令；发现顺序为：先查 Filestore MCP 工具（list_instances、list_backups）直接查询（属 API 调用而非 shell 执行）；若 MCP 不可用，则搜索本地参考 markdown（特别是 references/zone-isolation-pzi-pzs.md 中的 mock 实例定义）；若仍无数据，则解释审计评估公式并给出用户应运行的带归属 gcloud 命令。
17. 即使在只读或仅要建议的场景下，任何推荐备份修复的回复仍必须以明确的确认提示结尾，未获用户显式确认前不得执行任何变更或备份创建命令，以防意外运维中断、资源分配或备份存储计费。

适用边界 · 注意事项

• 不适用于 Cloud Storage 存储桶、Persistent Disk 或 NetApp Volumes 的审计。
• 目标项目未绑定有效 Cloud Billing 账户时无法执行 Filestore 实例与备份操作。
• 运行时主体缺少所需 IAM 角色（如 roles/file.viewer、roles/file.editor）时无法完成审计或修复。