GCP Shell执行systemctl命令报错，需定期检查GCP环境CIS合规状态

一、systemctl命令报错的原因与正确检查方式 #

报错原因 #

GCP Cloud Shell是基于容器的轻量环境，初始化系统为init而非systemd，systemctl是systemd专属的服务管理工具，因此无法在Cloud Shell中运行。你试图用针对传统虚拟机的systemd服务命令检查GCP环境合规，本身就找错了工具。

正确的GCP CIS合规检查方法 #

GCP提供原生工具来检查CIS基准合规，推荐以下两种方式：

1. 使用Security Command Center (SCC)

SCC内置了CIS Google Cloud Foundations基准的合规扫描，直接用gcloud命令即可查看结果：

• 先启用SCC服务（若未启用）：

  gcloud services enable securitycenter.googleapis.com
  

• 列出CIS相关合规结果：

  gcloud scc findings list --filter="category:cis-google-cloud-platform-foundations-benchmark"
  

2. 使用Config Validator

通过预定义的CIS规则集扫描GCP资源：

# 克隆Config Validator仓库
git clone https://github.com/GoogleCloudPlatform/config-validator.git
cd config-validator
# 下载CIS v1.3.0规则文件
wget https://raw.githubusercontent.com/GoogleCloudPlatform/config-validator/master/policy-library/policies/gcp/cis/cis_v1.3.0.yaml
# 导出当前项目的资源清单
gcloud asset export --output-path=assets.json --content-type=resource
# 执行合规扫描
cft validate --policy-path=cis_v1.3.0.yaml assets.json

如果你的cis-level1是第三方工具，它大概率是为GCE虚拟机设计的，需部署到运行systemd的GCE实例中使用，而非Cloud Shell。

二、实现每半小时定期检查CIS合规状态 #

根据需求的持久化程度，推荐三种方案：

方案1：Cloud Shell临时定时检查（会话关闭后停止） #

用cron实现临时定时任务：

1. 编辑crontab：

   crontab -e
   

2. 添加以下内容（将检查结果写入日志）：

   */30 * * * * /bin/bash -c 'gcloud scc findings list --filter="category:cis-google-cloud-platform-foundations-benchmark" >> ~/cis-compliance-check.log 2>&1'
   

3. 保存退出后，cron自动生效，可通过cat ~/cis-compliance-check.log查看检查记录。

方案2：Cloud Functions + Cloud Scheduler（持久化长期运行） #

适合需要持续监控的场景：

1. 创建Cloud Function，编写代码调用SCC API获取合规结果（以Python为例）：

   import google.cloud.securitycenter as securitycenter
   
   def check_cis_compliance(event, context):
       # 替换为你的组织ID
       ORG_ID = "your-organization-id"
       client = securitycenter.SecurityCenterClient()
       parent = f"organizations/{ORG_ID}"
       findings = client.list_findings(parent=parent, filter="category:cis-google-cloud-platform-foundations-benchmark")
       # 将结果输出到Cloud Logging
       for finding in findings:
           print(f"[CIS合规检查] 资源: {finding.resource_name}, 等级: {finding.severity}")
   

2. 给Cloud Function的服务账号授予Security Center Viewer权限。
3. 创建Cloud Scheduler作业，设置触发频率为*/30 * * * *，目标选择上述Cloud Function。

方案3：GCE虚拟机定时检查（适配第三方工具） #

如果必须使用cis-level1这类第三方服务，可在运行systemd的GCE实例中设置cron：

1. 在GCE实例中安装并配置好cis-level1服务。
2. 编辑crontab：

   crontab -e
   

3. 添加定时任务：

   */30 * * * * /usr/bin/systemctl status cis-level1 >> /var/log/cis-compliance.log 2>&1
   

内容的提问来源于stack exchange，提问作者Jaswant Jain