보안 게시판

문서 버전을 선택합니다.

AlloyDB Omni Kubernetes 배포의 보안 상황을 평가하고 컨트롤 플레인 및 데이터베이스 클러스터 업그레이드를 계획하려면 이 페이지에서 보안 정책, 연산자 아키텍처, 역할 기반 액세스 제어(RBAC) 및 보안 컨텍스트, 일반적인 취약점 및 노출(CVE) 공개 관행을 검토하세요.

피드 리더에서 최신 AlloyDB Omni 출시 노트 및 보안 업데이트를 받으려면 AlloyDB Omni 출시 노트 피드를 구독하세요.

연산자 아키텍처 및 보안 컨텍스트

Kubernetes용 AlloyDB Omni는 애플리케이션 쿼리를 처리하는 데이터베이스 엔진 포드에서 Kubernetes 컨트롤 플레인을 분리합니다.

  • 컨트롤 플레인 및 연산자 구성요소: 각 AlloyDB Omni 연산자 출시 버전은 Red Hat Universal Base Image 9(UBI 9)를 기반으로 빌드된 10개의 컨테이너 이미지로 구성됩니다.
    • operator/fleet-operator: DBCluster 및 Fleet 커스텀 리소스를 조정하는 Fleet 수준 Kubernetes 컨트롤러
    • operator/local-operator: 로컬 데이터베이스 포드 수명 주기를 관리하고 신뢰할 수 있는 클러스터 내부 Kubernetes API 서버와만 통신하는 인스턴스 수준 Kubernetes 컨트롤러
    • alloydbomni-operator-catalog 및 alloydbomni-operator-olm-bundle: Red Hat OpenShift Operator Lifecycle Manager(OLM) 카탈로그 색인 및 선언적 번들 메타데이터 이미지
    • operator/dbinit 및 operator/backupinit: 데이터베이스 부트스트랩, 백업, 복원 워크플로를 위한 임시 초기화 컨테이너
    • operator/alloydbomni-monitor(monitoring-agent 대체), operator/g-pgbouncer, operator/logrotate, operator/node-manager: 상태 프로브, 연결 풀링, 로그 순환, 스토리지 관리를 위한 컴패니언 사이드카 및 노드 관리 컨테이너
  • RBAC 및 보안 컨텍스트: AlloyDB Omni 연산자는 범위가 지정된 Kubernetes Role 및 ClusterRole 권한을 사용하여 대상 네임스페이스 내에서 커스텀 리소스를 조정하고 제한된 컨테이너 보안 컨텍스트로 컨트롤 플레인 및 사이드카 워크로드를 실행합니다.
  • 데이터베이스 엔진 포드: 연산자가 관리하는 데이터베이스 인스턴스는 독립형 AlloyDB Omni 데이터베이스 커널 컨테이너 이미지를 실행합니다. 운영자 버전에 지원되는 데이터베이스 커널 버전을 확인하려면 호환되는 Kubernetes 운영자 및 데이터베이스 클러스터 버전 선택을 참조하세요.

범위 및 심각도 필터링

해결 워크플로를 실행 가능한 보안 권고에 집중하고 스캐너 노이즈를 줄이기 위해 AlloyDB Omni 취약점 요약 및 자세한 CVE 로그는 다음 보고 정책을 따릅니다.

  • 엄격한 심각 및 높음 심각도 필터링: 취약점 요약 테이블 및 상세 CVE 로그는 국가 취약점 데이터베이스(NVD) 및 업스트림 공급업체 심각도 등급을 기준으로 심각 및 높음 심각도 CVE만 보고합니다. 심각도가 낮음 및 중간인 권고는 요약 수 및 세부 로그에서 제외됩니다.
  • 분리된 컨트롤 플레인 및 데이터베이스 커널 보고: Kubernetes 기반 AlloyDB Omni의 컨트롤 플레인 게시판은 10개의 AlloyDB Omni 연산자 및 사이드카 컨테이너 이미지와 관련된 취약점을 보고합니다.
  • 버전별 격리: 상세 CVE 로그는 표준화된 4열 스키마(CVE ID, Severity, Impacted images, Mitigated in)를 사용하여 출시 버전별 전용 하위 페이지로 구성됩니다. 각 출시 로그 내에서 후속 출시에서 해결된 취약점은 Mitigated in 열에 완화 출시 버전을 표시합니다.

취약점 평가 및 새로고침 정책

Google은 게시된 모든 AlloyDB Omni 컨테이너 이미지를 NVD, Red Hat 보안 데이터, Debian 보안 추적기, Go 취약점 데이터베이스와 비교하여 정기적으로 검사합니다. Google은 새 버전이 게시되면 AlloyDB Omni 보안 게시판을 새로고침합니다.

  • 수정된 CVE: 이전 AlloyDB Omni 오퍼레이터 컨트롤 플레인 컨테이너 이미지에 있던 취약점이 후속 오퍼레이터 출시 버전에서 완화되었습니다. Google은 지원되는 최신 AlloyDB Omni 연산자 출시 버전과 지원되는 PostgreSQL 메이저 버전 18, 17, 16, 15의 최신 마이너 버전에 보안 패치를 적용합니다.
  • 대체된 컨테이너 이미지: 새 AlloyDB Omni 연산자 출시 버전에서 이전 출시 버전의 CVE를 완화하면 Google은 대체된 컨테이너 이미지 다이제스트를 지원 중단된 것으로 표시합니다. 항상 지원되는 최신 출시 버전에 해당하는 연산자 및 컨트롤 플레인 에이전트 이미지를 배포합니다.

FIPS 140-3 규정 준수 및 CVE 패치

부 버전 및 패치 버전에 걸쳐 보안 취약점을 지속적으로 패치하면서 미국 연방 정보 처리 표준(FIPS) 140-3 규정 준수를 유지하기 위해 AlloyDB Omni는 내부 FIPS 검증 암호화 모듈을 외부 암호화 및 프로토콜 라이브러리에서 분리합니다.

  • 암호화 모듈에 대한 FIPS 검증: 미국 국립표준기술연구소(NIST) 암호화 모듈 검증 프로그램(CMVP)은 고정된 내부 암호화 모듈 또는 제공업체를 인증하고 인증서 번호를 발급합니다. 검증된 경계 내의 명령어를 수정하면 삽입된 해시 기반 메시지 인증 코드(HMAC) 무결성 체크섬이 변경되고 인증서가 무효화됩니다.
  • 배포의 FIPS 규정 준수: AlloyDB Omni 배포는 /proc/sys/crypto/fips_enabled 파일이 1로 설정된 Red Hat Enterprise Linux(RHEL) 9와 같은 FIPS 지원 호스트 OS에서 실행될 때 FIPS 140-3 규정 준수 모드로 작동합니다. 이 모드에서 배포는 전원 켜기 KAT(Known-Answer Test) 및 HMAC 무결성 검사가 사용 설정된 FIPS 검증 모듈을 통해 모든 보안 관련 암호화 작업을 라우팅합니다. 또한 TLS 1.2 이상의 승인된 전송 계층 보안(TLS) 버전, 승인된 암호화 스위트, scram-sha-256 비밀번호 인증 방법을 적용합니다. AlloyDB Omni 오퍼레이터 컨테이너 이미지와 Red Hat UBI 9 데이터베이스 컨테이너 이미지(-ubi9)는 FIPS를 지원하며, 기본 호스트 OS에서 FIPS 모드를 사용 설정하고 확인하는 것은 조직의 책임입니다. 자세한 내용은 보안 및 FIPS 규정 준수를 참조하세요.
  • FIPS 경계 외부의 CVE 패치: TLS 상태 머신, X.509 및 ASN.1 인증서 파싱, HTTP/2, 네트워크 I/O와 같은 프로토콜 파싱 및 네트워킹 라이브러리는 고정된 FIPS 모듈 경계 외부의 외부 레이어에 있습니다. 이러한 구성요소는 검증된 경계 외부에 있으므로 Google은 내부 암호화 모듈을 수정하거나 NIST CMVP 인증을 무효화하지 않고 마이너 및 패치 출시 전반에 걸쳐 외부 레이어 CVE를 패치합니다. 하위 수준 암호화 프리미티브 구현 자체의 취약점만 내부 FIPS 모듈 업데이트가 필요합니다.
다음 표에서는 AlloyDB Omni 오퍼레이터 컨트롤 플레인 및 사이드카 컨테이너 이미지 전반의 암호화 스택을 설명합니다. 여기에는 고정된 내부 FIPS 경계와 출시 버전 전반에 패치된 외부 암호화 및 프로토콜 레이어가 포함됩니다.

암호화 스택 컨트롤 플레인 컨테이너 이미지 바이너리 내부 FIPS 검증 모듈 또는 제공업체 외부 암호화 및 프로토콜 레이어
GOFIPS140=v1.0.0 빌드 설정을 사용하는 Go 기본 제공 FIPS operator/fleet-operator
operator/local-operator
operator/logrotate
operator/node-manager
operator/dbinit
operator/backupinit 		/operator
/local
/logrotate
/nodemgr
dbinit
dbdaemon
credfetcher
backupinit
backupdaemon 		Go 암호화 모듈 v1.0.0, NIST CMVP 인증서 #5247 Go 표준 라이브러리 패키지 crypto/tls, crypto/x509, net/http, 외부 Go 패키지(예: golang.org/x/crypto), Go 런타임 및 컴파일러
OpenSSL 3 operator/g-pgbouncer /usr/bin/pgbouncer RHEL 9 OpenSSL FIPS 제공업체 openssl-libs RPM 패키지의 /lib64/libssl.so.3 및 /lib64/libcrypto.so.3, pgbouncer C 바이너리
BoringSSL 및 BoringCrypto operator/alloydbomni-monitor boringcrypto로 빌드된 /monitoring_agent Go 바이너리 Google BoringCrypto 모듈(BCM) monitoring_agent용 Go crypto/tls, crypto/x509, net/http 패키지

다음 단계