如要評估 AlloyDB Omni RPM 套件在 Red Hat Enterprise Linux (RHEL) 和 Rocky Linux 上的部署作業資安態勢，並規劃升級，請參閱本頁的安全政策、安全漏洞範圍，以及常見安全漏洞與揭露事項 (CVE) 揭露做法。
如要在動態消息閱讀器中接收最新的 AlloyDB Omni 版本資訊和安全性更新，請訂閱 AlloyDB Omni 版本資訊動態消息。
範圍和嚴重性篩選
為確保修復工作流程著重於可採取行動的安全諮詢，並減少掃描器雜訊，AlloyDB Omni 漏洞摘要和詳細 CVE 記錄會遵循下列回報政策：
- 嚴格篩選「重大」和「高」嚴重性：安全漏洞摘要表格和詳細 CVE 記錄，只會根據美國國家安全漏洞資料庫 (NVD) 和上游供應商的嚴重性評等，回報「重大」和「高」嚴重性的 CVE。嚴重性為「低」和「中」的公告不會計入摘要計數，也不會列入詳細記錄。
- 版本專屬隔離：詳細的 CVE 記錄會使用標準化的 4 欄結構定義 (
CVE ID、Severity、AlloyDB Omni version和Mitigated in)，依發布版本整理至專屬子頁面。在每個發布記錄中，Mitigated in欄則會顯示後續發布版本，代表安全漏洞已在該版本中修復。
安全漏洞評估和更新政策
Google 會定期根據 NVD 和 Red Hat 安全性資料，掃描所有已發布的 AlloyDB Omni RPM 套件。 Google 會在發布新版本時更新 AlloyDB Omni 安全性公告：- 已修正的 CVE：先前 AlloyDB Omni RPM 套件中存在的安全漏洞，已在後續的小型或修補程式版本中獲得緩解。Google 會將安全性修補程式套用至支援的 PostgreSQL 主要版本 18 和 17 的最新子版本。
- RPM 部署作業的主機 OS 套件：使用 RPM 套件部署 AlloyDB Omni 時，AlloyDB Omni 會提供 PostgreSQL 資料庫核心和套裝擴充功能套件。主機 Linux 發行版本會管理系統程式庫，例如
openssl-libs、glibc、libevent、systemd和 Linux 核心。在 RHEL 或 Rocky Linux 主機上執行sudo dnf update --security，定期套用主機 OS 安全性更新。
FIPS 140-3 法規遵循和 CVE 修補
為維持符合聯邦資訊處理標準 (FIPS) 140-3 規範，同時持續修補次要版本和修補程式版本中的安全漏洞，AlloyDB Omni 會將內部通過 FIPS 驗證的加密編譯模組，與外部加密編譯和通訊協定程式庫分離：
- 密碼編譯模組的 FIPS 驗證：美國國家標準與技術研究院 (NIST) 的密碼編譯模組驗證計畫 (CMVP) 會認證凍結的內部密碼編譯模組或供應商，並核發憑證編號。修改該驗證邊界內的任何指令，都會改變其內嵌的雜湊式訊息驗證碼 (HMAC) 完整性核對和，並使憑證失效。
- 部署作業符合 FIPS 規範：在啟用 FIPS 的主機 OS (例如 RHEL 9，且
/proc/sys/crypto/fips_enabled檔案設為1) 上執行時，AlloyDB Omni 部署作業會以符合 FIPS 140-3 規範的模式運作。在這種模式下，部署作業會透過 FIPS 驗證模組，轉送所有與安全性相關的加密編譯作業，並啟用開機已知答案測試 (KAT) 和 HMAC 完整性檢查。此外，也會強制執行核准的傳輸層安全標準 (TLS) 版本 (TLS 1.2 以上版本)、核准的加密套件，以及scram-sha-256密碼驗證方式。AlloyDB Omni RPM 套件支援 FIPS，貴組織必須在基礎主機 OS 啟用及驗證 FIPS 模式。 - FIPS 邊界外的 CVE 修補：通訊協定剖析和網路程式庫 (例如 TLS 狀態機器、X.509 和 ASN.1 憑證剖析、HTTP/2 和網路 I/O) 位於凍結 FIPS 模組邊界外的外層。由於這些元件位於經過驗證的邊界之外，Google 會在次要版本和修補程式版本中修補外層 CVE，而不會修改內部密碼編譯模組或撤銷其 NIST CMVP 認證。只有在低階密碼編譯原始碼實作本身存在安全漏洞時，才需要更新內部 FIPS 模組。
alloydbomni18 和 alloydbomni17 資料庫套件會動態連結至 openssl-libs RPM 套件中的主機 OS OpenSSL 3 程式庫，並在主機核心啟用 FIPS 模式時，使用主機 RHEL 9 OpenSSL FIPS 供應器。在主機 OS 上套用 openssl-libs 安全性更新，可修復外層 TLS 和 X.509 安全漏洞，同時保留經認證的 OpenSSL FIPS 供應商邊界。