AlloyDB Omni 고객은 워크로드에서 서비스의 가치를 최대한 활용하는 데 필요한 AlloyDB Omni를 구성하고 운영할 책임이 있습니다.
| 레이어 | Google 측 책임 | 고객 책임 | |
|---|---|---|---|
| 하드웨어 및 호스트 | 물리 인프라 | 해당하는 경우 최소 및 권장 요구사항 제공 | 전원, 냉각, 하드웨어와 같은 물리적 서버, VM 또는 에지 기기를 프로비저닝합니다. |
| 호스트 운영체제 (OS) | 해당하는 경우 최소 및 권장 요구사항 제공 | Linux 커널을 관리하고, OS 보안 패치를 적용하고, 호스트 노드를 강화합니다. | |
| Kubernetes | 클러스터 관리 | 해당하는 경우 최소 및 권장 요구사항 제공 | 업그레이드를 포함하여 업계 표준 권장사항에 따라 클러스터를 매일 관리합니다. |
| 스토리지 (CSI/PV) | 해당하는 경우 최소 및 권장 요구사항 제공 | 스토리지 클래스를 프로비저닝하고 기본 어플라이언스를 관리합니다. AlloyDB Omni에는 블록 기기가 필요하므로 블록 기기 클래스를 선택해야 합니다. | |
| 네트워킹 (CNI) | 해당하는 경우 최소 및 권장 요구사항 제공 | 네트워크 레이어를 프로비저닝하고 관리합니다(예: 포드 네트워킹, 인그레스 컨트롤러, 부하 분산기, 노드 간 방화벽 규칙). | |
| 역할 기반 액세스 제어 (RBAC) | AlloyDB Omni Kubernetes 연산자에 필요한 서비스 계정, 역할, 역할 바인딩을 제공합니다. | 이러한 역할 기반 액세스 제어 (RBAC) 규칙을 클러스터에 적용하고 내부 보안 정책과 일치하는지 확인합니다. AlloyDB Omni 리소스에 액세스하려면 추가 RBAC 역할 및 역할 바인딩을 만듭니다. | |
| 보안 비밀 관리 | 표준 Kubernetes 보안 비밀을 읽어 초기 postgres 사용자 등의 리소스를 프로비저닝합니다. |
클러스터에서 Kubernetes 보안 비밀을 만들고 보호하고 순환합니다. | |
| 인증서 관리 | 인증서 통합을 위해 표준 Kubernetes 보안 비밀 및 cert-manager를 사용합니다. |
cert-manager의 수명 주기를 설치, 구성, 관리합니다. |
|
| 연산자 소프트웨어 | 개발 및 출시 | AlloyDB Omni 연산자 로직 및 CRD를 개발하고 컨테이너 이미지, Helm 차트, OLM 번들을 게시합니다. | 없음. Artifact Registry에 저장된 아티팩트를 배포에 사용할 수 있습니다. |
| 설치 및 수명 주기 | 문서 및 업그레이드 아티팩트를 제공합니다. | ||
| 데이터베이스 엔진 | 데이터베이스 바이너리 | 열 기반 엔진 및 AI 가속과 같은 독점 최적화가 포함된 AlloyDB Omni 컨테이너 이미지를 제공합니다. | 없음. |
| 패치 | 엔진의 보안 패치 및 마이너 버전 업데이트와 메이저 버전 업데이트를 출시합니다. 업그레이드 안내를 제공합니다. | 각 출시의 중요도에 따라 최대한 빨리 업그레이드를 예약합니다. | |
| 사용자 관리 |
|
|
|
| 데이터 관리 | 백업 | S3 호환
통합으로 pgBackrest를 사용하여 관리되는 백업을 관리하기 위한 `BackupPlan` 및 `Backup` CRD와 로직을 제공합니다. |
백업 일정 및 보관을 구성하고 로컬, S3 또는 Cloud Storage 대상 스토리지 버킷을 프로비저닝합니다. |
| 고가용성 (HA) | 자동 장애 조치 로직 및 복구 메커니즘을 제공합니다. | 장애 조치를 지원하는 대기 대상을 제공하기에 충분한 노드와 영역을 프로비저닝합니다. | |
| 암호화 (저장 데이터) | 투명 데이터 암호화 (TDE)를 지원합니다. | 스토리지 레이어 암호화를 관리하여 요구사항을 충족하는지 확인합니다. | |
| 암호화 (전송 중인 데이터) | 내부 연산자 구성요소에 mTLS를 제공하고 사용자-데이터베이스 연결을 위한 서버 측 TLS를 구성합니다. | 보안 TLS 클라이언트를 사용하여 데이터베이스에 연결하고 기본 인증서 인프라를 관리합니다. | |
| 모니터링 가능성 | 측정항목 | Prometheus 호환 엔드포인트를 사용하여 내부 데이터베이스 측정항목을 노출합니다. | Prometheus, OpenTelemetry 또는 기타 호환 솔루션 및 스토리지 스택을 사용하여 스크래퍼를 배포하고 관리합니다. 시스템의 전반적인 상태를 모니터링합니다. |
| 로깅 | 컨테이너의 디스크에 있는 파일에 PostgreSQL 및 감사 로그를 작성하고 순환합니다. | 로그를 스토리지 백엔드(예: Splunk 또는 ELK)로 전송하기 위해 로그 수집기(예: Fluentd 및 Fluent Bit)를 배포합니다. 로그 수집기가 권장되는 최소 1개월 동안 로그를 보존하도록 구성되어 있는지 확인합니다. | |
| 시각화 | 표준 워크로드를 모니터링하기 위한 샘플 측정항목 및 로그 대시보드를 제공합니다. | Grafana와 같은 시각화 도구의 상태를 배포하고 모니터링합니다. 대시보드를 만들고 일상적인 운영 작업에 통합합니다. | |
| 알림 | 없음 | 알림 파이프라인(예: PagerDuty 통합)을 관리합니다. | |
| 지원 | 문제 해결 | 소프트웨어 버그 및 엔진 오류를 지원합니다. 이 라이선스 구독을 받으려면 이 지원이 필요합니다. | 문서 및 기술 자료를 통해 초기 지원을 제공합니다. 인프라 관련 문제를 디버그합니다. |
보안 및 FIPS 규정 준수
데이터를 보호하기 위해 AlloyDB Omni는 연방 정보 처리 표준 (FIPS) 140-2 또는 140-3 검증 암호화 모듈을 사용합니다. FIPS 규정 준수는 Google과 고객의 공동 책임입니다.
다음 다이어그램은 AlloyDB Omni의 아키텍처 레이어 전반에서 FIPS 규정 준수 책임이 Google과 고객 간에 어떻게 분할되는지 보여줍니다.
다음 표에서는 AlloyDB Omni의 FIPS 경계 및 책임을 설명합니다.
| FIPS 경계 레이어 | 책임 | 설명 |
|---|---|---|
| FIPS 규정 준수 하드웨어 | 고객 | 물리적 하드웨어 및 암호화 구성요소는 NIST 인증을 받아야 하며 FIPS 승인 상태로 구성되어야 합니다. |
| Kubernetes 노드 OS | 고객 | 워커 노드 호스트 운영체제(예: RHEL)는 FIPS 모드로 실행되어야 합니다. FIPS 상태를 확인해야 합니다 (cat /proc/sys/crypto/fips_enabled가 1을 반환함). |
| Kubernetes 컨트롤 플레인 | 고객 | kubelet과 같은 컨트롤 플레인 구성요소와 네트워킹 및 스토리지 플러그인은 FIPS 검증 암호화 모듈(예: Go-BoringCrypto로 빌드됨)을 사용해야 합니다. |
| AlloyDB Omni 연산자 컨트롤러 | Google에서 개발하고 FIPS 규정 준수 기본 이미지 (Red Hat UBI)를 기반으로 빌드되었으며 데이터베이스가 실행되는 컨테이너에서 FIPS 규정 준수가 사용 설정되어 있습니다. | |
| AlloyDB Omni 컨테이너 이미지 | BoringSSL과 같은 FIPS 규정 준수 암호화 라이브러리를 사용하고 비밀번호 해싱 (scram-sha-256) 및 TLS 암호화 모음의 FIPS 승인 알고리즘을 적용합니다. |
|
| 커스텀 CA의 인증서 | 공유 | 디지털 인증서는 키 강도 및 서명 알고리즘에 대한 FIPS 표준을 충족해야 합니다. 인증서 체인은 FIPS 규정 준수 루트 CA로 다시 추적되어야 합니다. |
STIG 공유 책임
국방 정보 시스템국 (DISA)은 소프트웨어, 운영체제, 데이터베이스의 사이버 보안 표준 및 강화 요구사항을 설정하기 위해 보안 기술 구현 가이드 (STIG)를 게시합니다. 이러한 가이드는 취약점과 사이버 위협으로부터 시스템을 보호하기 위한 특정 보안 매개변수를 정의합니다.
STIG 규칙의 전체 목록은 AlloyDB Omni STIG 규정 준수를 참조하세요.
STIG 요구사항에 따라 환경을 강화하는 것은 보안이 강화된 부문 또는 정부 부문에서 운영 승인 (ATO)을 받는 데 필수적입니다. AlloyDB Omni는 기본적으로 많은 데이터베이스 수준 보안 제어를 구현하지만 완전한 STIG 규정 준수를 달성하는 것은 고객이 인프라 수준 설정을 구성하고 확인해야 하는 공유 책임입니다.
다음 표에는 고객의 조치, 유효성 검사 또는 구성이 필요한 모든 STIG 취약점 ID가 나열되어 있습니다. 자세한 내용은 Red Hat Enterprise Linux의 PostgreSQL 9.x 보안 기술 구현 가이드 (STIG) 규정 준수 체크리스트를 참조하세요.
| STIG 또는 SRG ID | 보안 제어 설명 | 플랫폼 및 연산자 기본 동작 | 필수 고객 조치 또는 구성 |
|---|---|---|---|
| V-233535 | 감사 로그 오류가 발생하면 지원 담당자에게 즉시 알립니다. | 표준 오류 진단은 컨테이너 stdout 및 stderr에 작성됩니다. |
고객은 수집이 중단될 때 트리거되도록 SIEM 또는 로그 전달자 측정항목(예: Splunk/Elastic 알림)을 구성해야 합니다. |
| V-233599 | 감사 스토리지가 용량의 75% 에 도달하면 지원 담당자에게 알립니다. | 파일 시스템 측정항목은 표준 Prometheus 엔드포인트를 통해 노출됩니다. | 고객은 /obs/ 디스크 공간이 75%를 초과할 때 지원팀에 알리도록 Prometheus 및 Grafana에서 알림 규칙을 설정해야 합니다. |
| V-233610 | 감사 데이터를 별도의 연속 로그 시설로 오프로드합니다. | 감사 로그는 /obs/diagnostic/ 볼륨에 영구적으로 작성됩니다. |
고객은 로그 파일을 중앙 SIEM으로 지속적으로 스트리밍하도록 로그 전달자(예: FluentBit 및 Vector)를 구성해야 합니다. |
| V-233603 | 공개 키 인프라 (PKI) 또는 승인된 인증 기관 (CA)에서 발급한 종단 개체 인증서만 신뢰합니다. | 연산자는 cert-manager를 사용하여 로컬 TLS 구성을 구성합니다. |
고객은 신뢰 체인을 설정하기 위해 PKI 루트 및 중간 CA 인증서를 연산자에게 제공해야 합니다. |
| V-233520 | 승인된 논리적 액세스 승인을 적용합니다. | 일반 텍스트 비밀번호와 메시지 다이제스트 알고리즘 5 (MD5)를 거부합니다. SSL을 통한 scram-sha-256을 허용합니다. |
고객은 연결 문자열에서 sslmode=verify-full로 SCRAM-SHA-256을 사용하도록 클라이언트를 구성해야 합니다. |
| V-233522 | 사용자당 동시 세션 기준점을 제한합니다. | 기본 데이터베이스 역할에는 max_connections로 제한되는 무한 한도가 있습니다. |
고객은 커스텀 애플리케이션 역할의 연결 한도 (ALTER ROLE ... CONNECTION LIMIT)를 명시적으로 변경해야 합니다. |
| V-233584 | 저장된 분류 정보에 NSA 승인 암호화를 사용합니다. | 데이터베이스 컨테이너는 보안이 강화된 UBI9 기본 레이어를 사용합니다. | 고객은 기본 Kubernetes 호스트 커널에 FIPS 140 모드가 사용 설정되어 있는지 확인해야 합니다. |
| V-233515 | Active Directory (AD) 및 경량 디렉터리 액세스 프로토콜 (LDAP) 조직 수준 인증 메커니즘과 통합합니다. | 연산자는 커스텀 인증 구성을 지원합니다. | 고객은 AD 및 LDAP ID를 데이터베이스 클러스터 구성에 매핑해야 합니다. |
| V-233583 | 해시에 FIPS 검증 암호화 모듈을 사용합니다. | 컨테이너는 해싱 함수를 위해 호스트 OpenSSL FIPS 모듈을 사용합니다. | 고객은 호스트 VM 노드에서 FIPS 모드를 활성화해야 합니다. |
| V-233585 | FIPS 검증 암호화를 사용하여 분류되지 않은 정보를 보호합니다. | FIPS 지원 암호화를 사용하여 통신 및 스토리지를 암호화합니다. | 고객은 호스트 노드가 FIPS 검증되었는지 확인해야 합니다. |
| V-233619 | 모든 작업에 FIPS 검증 암호화 모듈을 사용합니다. | UBI9 FIPS 지원 컨테이너 이미지 바이너리를 적용합니다. | 고객은 호스트 커널에서 FIPS 모드를 사용 설정해야 합니다. |
| V-233623 | DBMS가 인증된 OpenSSL FIPS가 있는 호스트에서 실행되는지 확인합니다. | 데이터베이스 포드는 호스트 OpenSSL FIPS 구성을 사용합니다. | 고객은 호스트 OpenSSL이 NIST 인증 FIPS 목록과 일치하는지 확인해야 합니다. |
| V-233615 | PKI 인증 ID를 연결된 사용자 계정에 매핑합니다. | 연산자는 ID에 보안 SCRAM-SHA-256 비밀번호 인증을 사용합니다. |
고객은 직접 비밀번호 로그인을 사용하지 않는 경우 외부 조직 디렉터리 역할을 데이터베이스 역할에 매핑해야 합니다. |
| V-233540 | 데이터베이스 설치 계정을 승인된 사용자만으로 제한합니다. | 컨테이너는 파일 권한 및 실행을 postgres 사용자로 제한합니다. |
고객은 포드에 대한 무단 터미널 액세스를 방지하기 위해 호스트 노드 액세스 (SSH/Kubectl)를 잠가야 합니다. |