AlloyDB Omni Kubernetes デプロイのセキュリティ ポスチャーを評価し、コントロール プレーンとデータベース クラスタのアップグレードを計画するには、このページでセキュリティ ポリシー、オペレーター アーキテクチャ、ロールベース アクセス制御（RBAC）とセキュリティ コンテキスト、共通脆弱性識別子（CVE）の開示方法を確認してください。
フィード リーダーで AlloyDB Omni の最新のリリースノートとセキュリティ アップデートを受け取るには、AlloyDB Omni リリースノート フィードに登録します。
オペレーターのアーキテクチャとセキュリティ コンテキスト
Kubernetes 上の AlloyDB Omni は、Kubernetes コントロール プレーンを、アプリケーション クエリを処理するデータベース エンジン Pod から分離します。
- コントロール プレーンとオペレーター コンポーネント: AlloyDB Omni Operator の各リリースは、Red Hat Universal Base Image 9（UBI 9）をベースに構築された 10 個のコンテナ イメージで構成されています。
operator/fleet-operator:DBClusterとフリートのカスタム リソースを調整するフリートレベルの Kubernetes コントローラoperator/local-operator: ローカル データベース Pod のライフサイクルを管理し、信頼できるクラスタ内部の Kubernetes API サーバーとのみ通信するインスタンス レベルの Kubernetes コントローラ。alloydbomni-operator-catalogとalloydbomni-operator-olm-bundle: Red Hat OpenShift Operator Lifecycle Manager（OLM）カタログ インデックスと宣言型バンドル メタデータ イメージoperator/dbinitとoperator/backupinit: データベースのブートストラップ、バックアップ、復元ワークフロー用の一時的な初期化コンテナoperator/alloydbomni-monitor（monitoring-agentを置き換え）、operator/g-pgbouncer、operator/logrotate、operator/node-manager: ヘルスプローブ、接続プーリング、ログ ローテーション、ストレージ管理用のコンパニオン サイドカーとノード マネージャー コンテナ
- RBAC とセキュリティ コンテキスト: AlloyDB Omni Operator は、スコープ設定された Kubernetes の
Role権限とClusterRole権限を使用して、ターゲット Namespace 内のカスタム リソースを調整し、制限付きのコンテナ セキュリティ コンテキストでコントロール プレーンとサイドカー ワークロードを実行します。 - データベース エンジン Pod: オペレーターによって管理されるデータベース インスタンスは、スタンドアロンの AlloyDB Omni データベース カーネル コンテナ イメージを実行します。オペレーターのバージョンでサポートされているデータベース カーネルのバージョンを確認するには、互換性のある Kubernetes オペレーターとデータベース クラスタのバージョンを選択するをご覧ください。
範囲と重大度によるフィルタリング
修復ワークフローを、対応可能なセキュリティ アドバイザリに集中させ、スキャナのノイズを低減するため、AlloyDB Omni の脆弱性の概要と詳細な CVE ログは、次のレポート ポリシーに従います。
- 重大度が「重大」と「高」の厳格なフィルタリング: 脆弱性の概要テーブルと詳細な CVE ログには、National Vulnerability Database（NVD）とアップストリーム ベンダーの重大度評価に基づいて、重大度が「重大」と「高」の CVE のみが報告されます。重大度が「低」と「中」のアドバイザリは、概要のカウントと詳細ログから除外されます。
- コントロール プレーンとデータベース カーネルのレポートの分離: AlloyDB Omni on Kubernetes のコントロール プレーンの速報では、10 個の AlloyDB Omni Operator とサイドカー コンテナ イメージに固有の脆弱性が報告されます。
- バージョン固有の分離: 詳細な CVE ログは、標準化された 4 列のスキーマ（
CVE ID、Severity、Impacted images、Mitigated in）を使用して、リリース バージョンごとに専用のサブページに整理されます。各リリースログ内で、 後続のリリースで修正された脆弱性にはMitigated in列に緩和策のリリース バージョンが表示されます。
脆弱性評価と更新ポリシー
Google は、公開されているすべての AlloyDB Omni コンテナ イメージを、NVD、Red Hat セキュリティ データ、Debian セキュリティ トラッカー、Go 脆弱性データベースに対して定期的にスキャンします。Google は、新しいリリースが公開されると、AlloyDB Omni のセキュリティに関する公開情報を更新します。- 修正された CVE: 以前の AlloyDB Omni Operator コントロール プレーン コンテナ イメージに存在していた脆弱性が、以降のオペレーター リリースで軽減されています。Google は、サポートされている最新の AlloyDB Omni Operator リリースと、サポートされている PostgreSQL メジャー バージョン 18、17、16、15 の最新マイナー バージョンにセキュリティ パッチを適用します。
- 置き換えられたコンテナ イメージ: 新しい AlloyDB Omni Operator リリースで以前のリリースからの CVE が軽減されると、Google は置き換えられたコンテナ イメージ ダイジェストを非推奨としてマークします。常に、サポートされている最新のリリースに対応するオペレーターとコントロール プレーン エージェントのイメージをデプロイします。
FIPS 140-3 準拠と CVE パッチ適用
連邦情報処理標準（FIPS）140-3 への準拠を維持しながら、マイナー リリースとパッチリリース全体でセキュリティの脆弱性に継続的にパッチを適用するため、AlloyDB Omni は、内部の FIPS 認定暗号モジュールを外部の暗号ライブラリとプロトコル ライブラリから分離します。
- 暗号モジュールの FIPS 検証: 米国国立標準技術研究所（NIST）の暗号モジュール検証プログラム（CMVP）は、フリーズされた内部暗号モジュールまたはプロバイダを認定し、証明書番号を発行します。検証済みの境界内の命令を変更すると、埋め込まれたハッシュベースのメッセージ認証コード（HMAC）の整合性チェックサムが変更され、証明書が無効になります。
- デプロイの FIPS コンプライアンス: AlloyDB Omni デプロイは、FIPS 対応のホスト OS（
/proc/sys/crypto/fips_enabledファイルが1に設定された Red Hat Enterprise Linux（RHEL）9 など）で実行されると、FIPS 140-3 準拠モードで動作します。このモードでは、デプロイは、電源投入時の既知回答テスト（KAT）と HMAC 完全性チェックが有効になっている FIPS 検証済みモジュールを介して、セキュリティ関連のすべての暗号オペレーションをルーティングします。また、承認済みの Transport Layer Security（TLS）バージョン（TLS 1.2 以降）、承認済みの暗号スイート、scram-sha-256パスワード認証方法も適用されます。AlloyDB Omni Operator コンテナ イメージと Red Hat UBI 9 データベース コンテナ イメージ（-ubi9）は FIPS に対応しています。基盤となるホスト OS で FIPS モードを有効にして検証することは、組織の責任となります。詳細については、セキュリティと FIPS コンプライアンスをご覧ください。 - FIPS 境界外の CVE パッチ適用: TLS ステート マシン、X.509 および ASN.1 証明書解析、HTTP/2、ネットワーク I/O などのプロトコル解析ライブラリとネットワーキング ライブラリは、凍結された FIPS モジュール境界の外側のレイヤにあります。これらのコンポーネントは検証済みの境界の外側にあるため、Google は内部の暗号モジュールを変更したり、NIST CMVP 認証を無効にしたりすることなく、マイナー リリースとパッチリリースで外側のレイヤの CVE にパッチを適用します。低レベルの暗号プリミティブ実装自体の内部に脆弱性がある場合にのみ、内部 FIPS モジュールの更新が必要になります。
| 暗号スタック | コントロール プレーンのコンテナ イメージ | バイナリ | 内部の FIPS 認定モジュールまたはプロバイダ | 外部の暗号化レイヤとプロトコル レイヤ |
|---|---|---|---|---|
GOFIPS140=v1.0.0 ビルド設定を使用した Go 組み込み FIPS |
operator/fleet-operatoroperator/local-operatoroperator/logrotateoperator/node-manageroperator/dbinitoperator/backupinit
|
/operator/local/logrotate/nodemgrdbinitdbdaemoncredfetcherbackupinitbackupdaemon
|
Go 暗号モジュール v1.0.0、NIST CMVP 証明書 #5247 |
Go 標準ライブラリ パッケージ crypto/tls、crypto/x509、net/http、外部 Go パッケージ（golang.org/x/crypto など）、Go ランタイムとコンパイラ |
| OpenSSL 3 | operator/g-pgbouncer |
/usr/bin/pgbouncer |
RHEL 9 OpenSSL FIPS プロバイダ |
openssl-libs RPM パッケージの /lib64/libssl.so.3 と /lib64/libcrypto.so.3、および pgbouncer C バイナリ |
| BoringSSL と BoringCrypto | operator/alloydbomni-monitor |
/monitoring_agent boringcrypto でビルドされた Go バイナリ |
Google BoringCrypto モジュール（BCM） |
monitoring_agent 用の Go crypto/tls、crypto/x509、net/http パッケージ |
次のステップ
- 互換性のある Kubernetes Operator とデータベース クラスタのバージョンを選択する。
- AlloyDB Omni データベースのバージョン ポリシーを確認します。
- AlloyDB Omni のリリースノートを読む。