- Kubernetes オペレーターとコントロール プレーンのセキュリティ アドバイザリについては、Kubernetes 上の AlloyDB Omni のセキュリティに関する公開情報をご覧ください。
フィード リーダーで AlloyDB Omni の最新のリリースノートとセキュリティ アップデートを受け取るには、AlloyDB Omni リリースノート フィードに登録します。
範囲と重大度によるフィルタリング
修復ワークフローを、対応可能なセキュリティ アドバイザリに集中させ、スキャナのノイズを低減するため、AlloyDB Omni の脆弱性の概要と詳細な CVE ログは、次のレポート ポリシーに従います。
- 重大度が「重大」と「高」の厳格なフィルタリング: 脆弱性の概要テーブルと詳細な CVE ログには、National Vulnerability Database（NVD）とアップストリーム ベンダーの重大度評価に基づいて、重大度が「重大」と「高」の CVE のみが報告されます。重大度が「低」と「中」のアドバイザリは、概要のカウントと詳細ログから除外されます。
- データベース カーネルとコントロール プレーンのレポートの分離: スタンドアロンの AlloyDB Omni セキュリティに関する公開情報では、データベース カーネル コンテナ イメージ（
18.x、17.x、16.x、15.x）に固有の脆弱性が報告されます。Kubernetes オペレーターとサイドカー コンテナのアドバイザリは、Kubernetes 上の AlloyDB Omni のセキュリティに関する公開情報で個別に追跡されます。 - バージョン固有の分離: 詳細な CVE ログは、標準化された 4 列のスキーマ（
CVE ID、Severity、Impacted images、Mitigated in）を使用して、リリース バージョンごとに専用のサブページに整理されます。各リリースログ内で、 後続のリリースで修正された脆弱性にはMitigated in列に緩和策のリリース バージョンが表示されます。
脆弱性評価と更新ポリシー
Google は、公開されているすべての AlloyDB Omni コンテナ イメージを、NVD、Red Hat セキュリティ データ、Debian セキュリティ トラッカー、Go 脆弱性データベースに対して定期的にスキャンします。Google は、新しいリリースが公開されると、AlloyDB Omni のセキュリティに関する公開情報を更新します。- 修正済みの CVE: 以前の AlloyDB Omni データベース カーネル コンテナ イメージに存在していた脆弱性が、以降のマイナー リリースまたはパッチリリースで軽減されています。Google は、サポートされている PostgreSQL メジャー バージョン 18、17、16、15 の最新のマイナー バージョンにセキュリティ パッチを適用します。
- 置き換えられたコンテナ イメージ: 新しい AlloyDB Omni リリースで以前のリリースからの CVE が軽減されると、Google は置き換えられたコンテナ イメージ ダイジェストを非推奨としてマークします。サポートされている最新のリリースに対応するデータベース カーネル イメージを常に pull します。
FIPS 140-3 準拠と CVE パッチ適用
連邦情報処理標準（FIPS）140-3 への準拠を維持しながら、マイナー リリースとパッチリリース全体でセキュリティの脆弱性に継続的にパッチを適用するため、AlloyDB Omni は、内部の FIPS 認定暗号モジュールを外部の暗号ライブラリとプロトコル ライブラリから分離します。
- 暗号モジュールの FIPS 検証: 米国国立標準技術研究所（NIST）の暗号モジュール検証プログラム（CMVP）は、フリーズされた内部暗号モジュールまたはプロバイダを認定し、証明書番号を発行します。検証済みの境界内の命令を変更すると、埋め込まれたハッシュベースのメッセージ認証コード（HMAC）の整合性チェックサムが変更され、証明書が無効になります。
- デプロイの FIPS コンプライアンス: AlloyDB Omni デプロイは、FIPS 対応のホスト OS（
/proc/sys/crypto/fips_enabledファイルが1に設定された Red Hat Enterprise Linux（RHEL）9 など）で実行されると、FIPS 140-3 準拠モードで動作します。このモードでは、デプロイは、電源投入時の既知回答テスト（KAT）と HMAC 完全性チェックが有効になっている FIPS 検証済みモジュールを介して、セキュリティ関連のすべての暗号オペレーションをルーティングします。また、承認済みの Transport Layer Security（TLS）バージョン（TLS 1.2 以降）、承認済みの暗号スイート、scram-sha-256パスワード認証方法も適用されます。Red Hat Universal Base Image 9（UBI 9）データベース カーネル コンテナ イメージ（-ubi9）は FIPS に対応しています。基盤となるホスト OS で FIPS モードを有効にして検証する責任は、お客様の組織にあります。 - FIPS 境界外の CVE パッチ適用: TLS ステート マシン、X.509 および ASN.1 証明書解析、HTTP/2、ネットワーク I/O などのプロトコル解析ライブラリとネットワーキング ライブラリは、凍結された FIPS モジュール境界の外側のレイヤにあります。これらのコンポーネントは検証済みの境界の外側にあるため、Google は内部の暗号モジュールを変更したり、NIST CMVP 認証を無効にしたりすることなく、マイナー リリースとパッチリリースで外側のレイヤの CVE にパッチを適用します。低レベルの暗号プリミティブ実装自体の内部に脆弱性がある場合にのみ、内部 FIPS モジュールの更新が必要になります。
-ubi9）の暗号スタックを示します。これには、凍結された内部 FIPS 境界と、リリース間でパッチが適用される外部暗号レイヤとプロトコル レイヤが含まれます。
| 暗号スタック | データベース カーネル コンテナ イメージ | バイナリ | 内部の FIPS 認定モジュールまたはプロバイダ | 外部の暗号化レイヤとプロトコル レイヤ |
|---|---|---|---|---|
| BoringSSL と BoringCrypto | alloydbomni（-ubi9） |
postgres と pgbackrest の C バイナリ |
Google BoringCrypto モジュール（BCM） |
BoringSSL libssl、および postgres と pgbackrest の非 BCM libcrypto パッケージ x509、asn1、pem、bio |
| OpenSSL 3 |
alloydbomni の Red Hat UBI 9 ベース OS レイヤ（-ubi9） |
ベース OS の共有ライブラリとユーティリティ | RHEL 9 OpenSSL FIPS プロバイダ |
openssl-libs RPM パッケージの /lib64/libssl.so.3 と /lib64/libcrypto.so.3 |