AlloyDB Omni 공동 책임

문서 버전을 선택합니다.

이 페이지에서는 AlloyDB Omni 고객의 책임과 RPM 조정자 배포 옵션을 사용할 때 Google의 책임을 설명합니다.

AlloyDB Omni 고객은 워크로드에서 서비스의 가치를 최대한 활용할 수 있도록 AlloyDB Omni를 구성하고 운영할 책임이 있습니다.

공유 책임 매트릭스

다음 표에는 AlloyDB Omni RPM 조정자 배포의 각 레이어에서 Google과 고객의 책임이 요약되어 있습니다.

레이어 Google의 책임 고객 책임
하드웨어 및 호스트 물리 인프라 해당하는 경우 최소 및 권장 요구사항을 제공합니다. 전원, 냉각, 하드웨어를 포함한 물리 서버, VM 또는 에지 기기를 프로비저닝합니다.
호스트 운영체제 (OS) 해당하는 경우 최소 및 권장 요구사항을 제공합니다. Linux 커널을 관리하고, OS 보안 패치를 적용하고, 호스트 노드 (예: RHEL 9 또는 Rocky Linux 9)를 강화합니다.
인프라 및 OS 구성요소 스토리지 해당하는 경우 최소 및 권장 요구사항을 제공합니다. 로컬 디스크 또는 SAN 볼륨을 프로비저닝합니다. AlloyDB Omni에는 XFS 또는 ext4와 같은 지원되는 파일 시스템으로 구성된 블록 기기가 필요합니다.
네트워킹 해당하는 경우 최소 및 권장 요구사항을 제공합니다. firewalld 또는 iptables를 사용하여 IP 라우팅, 부하 분산기, 방화벽 규칙과 같은 네트워크 계층을 프로비저닝하고 관리하여 PostgreSQL의 5432 및 etcd의 2379와 2380과 같은 필수 포트를 엽니다.
호스트 액세스 제어 AlloyDB Omni 조정자 구성요소에 필요한 서비스 계정 및 역할을 제공합니다. 내부 보안 정책에 맞게 SSH 액세스, sudo 권한, SELinux 정책, Linux 사용자 계정을 관리합니다.
Secret Manager 표준 변수 및 인벤토리 파일을 읽어 초기 postgres 사용자 등의 리소스를 프로비저닝합니다. Ansible 조정 및 데이터베이스 액세스에 사용되는 비밀번호, SSH 키, 토큰을 안전하게 저장합니다.
인증서 관리 인증서 통합을 위한 구성 옵션을 제공합니다. 호스트 머신에서 전송 계층 보안 (TLS) 및 SSL 인증서의 수명 주기를 생성, 배포, 관리합니다.
조정자 소프트웨어 개발 및 출시 CLI 및 Ansible 컬렉션을 포함한 AlloyDB Omni 조정자를 개발하고 RPM 패키지를 게시합니다. 없음. 제공된 Yum 저장소의 아티팩트를 배포에 사용할 수 있습니다.
설치 및 수명 주기 문서, RPM 아티팩트, 배포 인벤토리 템플릿을 제공합니다.

설치 전에 호환성을 확인합니다.

alloydbctl 조정자 CLI 또는 Ansible 플레이북을 사용하여 AlloyDB Omni를 설치하거나 업그레이드하려면 안내를 따르세요.
데이터베이스 엔진 데이터베이스 바이너리 열 기반 엔진 및 AI 가속과 같은 독점 최적화가 포함된 AlloyDB Omni RPM 패키지를 제공합니다. 없음.
패치 엔진의 보안 패치와 부 버전 및 메이저 버전 업데이트를 출시합니다. 업그레이드 안내를 제공합니다. 각 출시의 중요도에 따라 최대한 빨리 업그레이드를 예약합니다.
사용자 관리

초기 관리 권한 사용자를 프로비저닝합니다.

사용자 대상 postgres 수퍼유저를 프로비저닝합니다.

경량 디렉터리 액세스 프로토콜 (LDAP) 및 Active Directory (AD) 통합 안내를 제공합니다.

초기 수퍼유저의 비밀번호를 제공합니다.

다른 모든 역할과 사용자를 만들고 관리합니다.
데이터 관리 백업 S3 호환 통합으로 pgBackRest를 사용하여 백업을 관리하는 자동화를 제공합니다. 백업 일정 및 보관 기간을 구성하고 로컬, S3 또는 Cloud Storage 대상 버킷을 프로비저닝합니다.
고가용성 (HA) etcd 및 클러스터 관리자를 사용하여 자동 장애 조치 로직 및 복구 메커니즘을 제공합니다. 장애 조치 및 고가용성 아키텍처를 지원하기에 충분한 노드(예: 제어 노드, etcd 노드, 기본 및 대기 데이터베이스 노드)를 프로비저닝합니다.
저장 데이터 암호화 블록 수준 암호화 볼륨에 배포를 지원합니다. 보안 요구사항을 충족하도록 Linux Unified Key Setup (LUKS) 및 dm-crypt와 같은 스토리지 레이어 암호화를 관리합니다.
전송 중인 데이터 암호화 사용자-데이터베이스 연결 및 내부 클러스터 통신을 위해 서버 측 TLS를 구성합니다. 보안 TLS 클라이언트를 사용하여 데이터베이스에 연결하고 기본 인증서 인프라를 관리합니다.
모니터링 가능성 측정항목 Prometheus 호환 엔드포인트를 사용하여 내부 데이터베이스 측정항목을 노출합니다. Prometheus, OpenTelemetry 또는 기타 호환 솔루션 및 스토리지 스택을 사용하여 스크레이퍼를 배포하고 관리합니다. 시스템의 전반적인 상태를 모니터링합니다.
로깅 디스크의 파일에 PostgreSQL 및 감사 로그를 쓰고 순환을 관리합니다. Fluent Bit 또는 Vector와 같은 로그 수집기를 배포하여 Splunk 또는 ELK 스택과 같은 스토리지 백엔드로 로그를 전송합니다. 최소 1개월 동안 로그를 보관하는 것이 좋습니다.
시각화 표준 워크로드를 모니터링하기 위한 샘플 측정항목 및 대시보드를 제공합니다. Grafana와 같은 시각화 도구의 상태를 배포하고 모니터링합니다. 대시보드를 만들고 일상적인 운영 작업에 통합합니다.
알림 없음. PagerDuty 통합을 사용하는 등 알림 파이프라인을 관리합니다.
지원 문제 해결 소프트웨어 버그 및 엔진 오류에 대한 지원을 제공합니다. 이 지원을 받으려면 구독이 필요합니다. 문서 및 기술 자료를 통해 초기 지원을 제공합니다. 인프라 관련 문제를 디버그합니다.

보안 및 FIPS 규정 준수

데이터를 보호하기 위해 AlloyDB Omni는 연방 정보 처리 표준 (FIPS) 140-2 또는 140-3 검증 암호화 모듈을 사용합니다. FIPS 규정 준수는 다음 표에 설명된 대로 Google과 고객의 공동 책임입니다.

FIPS 경계 레이어 책임 설명
FIPS 준수 하드웨어 고객 물리 하드웨어 및 암호화 구성요소는 NIST 인증을 받아야 하며 FIPS 승인 상태로 구성되어야 합니다.
호스트 OS 고객 VM 또는 베어메탈 호스트 운영체제 (예: RHEL 9)는 FIPS 모드에서 실행되어야 합니다. cat /proc/sys/crypto/fips_enabled 명령어가 1을 반환하는지 확인합니다.
조정자 컨트롤 플레인 고객 Ansible 조정자 또는 CLI를 실행하는 제어 노드는 FIPS 검증 OS 구성을 사용해야 합니다.
조정자 구성요소 Google Google에서 개발하고 FIPS 지원 기본 OS와 호환되는 RPM으로 배포되며 클러스터 작업을 안전하게 관리합니다.
데이터베이스 바이너리 Google FIPS 검증 호스트 OpenSSL 암호화 모듈에 연결하고 비밀번호 해싱 (SCRAM-SHA-256) 및 TLS 암호화 스위트의 FIPS 승인 알고리즘을 적용합니다.
커스텀 CA의 인증서 공유 디지털 인증서는 키 강도 및 서명 알고리즘에 관한 FIPS 표준을 충족해야 합니다. 인증서 체인은 FIPS 준수 루트 CA로 다시 추적되어야 합니다.

STIG 공유 책임

국방 정보 시스템국 (DISA)은 소프트웨어, 운영체제, 데이터베이스의 사이버 보안 표준 및 강화 요구사항을 설정하기 위해 보안 기술 구현 가이드 (STIG)를 게시합니다.

STIG 요구사항에 따라 환경을 강화하는 것은 보안이 엄격한 부문 또는 정부 부문에서 운영 승인 (ATO)을 받는 데 필수적입니다. AlloyDB Omni는 기본적으로 많은 데이터베이스 수준 보안 제어를 구현하지만 완전한 STIG 규정 준수는 고객이 인프라 수준 설정을 구성하고 확인해야 하는 공유 책임입니다.

다음 표에는 고객의 조치, 검증 또는 구성이 필요한 STIG 취약점 ID가 나와 있습니다. 자세한 내용은 Red Hat Enterprise Linux의 PostgreSQL 9.x 보안 기술 구현 가이드 (STIG) 규정 준수 체크리스트를 참조하세요.

STIG 또는 SRG ID 보안 제어 설명 플랫폼 및 운영자 기본 동작 필요한 고객 액션 또는 구성
V-233535 감사 로그 오류가 발생하면 지원 담당자에게 즉시 알립니다. 표준 오류 진단이 stdout 및 stderr에 작성됩니다. 고객은 수집이 중단될 때 트리거되도록 SIEM 또는 로그 전달자 측정항목을 구성해야 합니다.
V-233599 감사 스토리지가 용량의 75% 에 도달하면 지원 담당자에게 알립니다. 파일 시스템 측정항목은 표준 Prometheus 엔드포인트를 통해 노출됩니다. 고객은 로그 디스크 공간이 75%를 초과할 때 지원팀에 알리도록 Prometheus 및 Grafana에서 알림 규칙을 설정해야 합니다.
V-233610 감사 데이터를 별도의 연속 로그 시설로 오프로드합니다. 감사 로그는 로컬 로그 디렉터리에 영구적으로 작성됩니다. 고객은 로그 전달자를 구성하여 로그 파일을 중앙 SIEM으로 지속적으로 스트리밍해야 합니다.
V-233603 공개 키 인프라 (PKI) 또는 승인된 인증 기관 (CA)에서 발급한 종단 개체 인증서만 신뢰합니다. 조정자는 로컬 TLS 구성을 사용합니다. 고객은 트러스트 체인을 설정하기 위해 PKI 루트 및 중간 CA 인증서를 제공해야 합니다.
V-233520 승인된 논리적 액세스 승인을 적용합니다. 일반 텍스트 비밀번호와 메시지 다이제스트 알고리즘 5 (MD5)를 거부합니다. SSL을 통한 SCRAM-SHA-256을 허용합니다. 고객은 연결 문자열에서 sslmode=verify-full로 SCRAM-SHA-256을 사용하도록 클라이언트를 구성해야 합니다.
V-233522 사용자당 동시 세션 한도를 제한합니다. 기본 데이터베이스 역할에는 max_connections로 제한되는 무한 한도가 있습니다. 고객은 커스텀 애플리케이션 역할에 ALTER ROLE ... CONNECTION LIMIT를 사용하여 연결 한도를 명시적으로 변경해야 합니다.
V-233584 저장된 분류 정보에 NSA 승인 암호화를 사용합니다. RPM 패키지는 보안이 강화된 RHEL 9 라이브러리를 사용합니다. 고객은 기본 호스트 Linux 커널에 FIPS 140 모드가 사용 설정되어 있는지 확인해야 합니다.
V-233515 AD 및 LDAP 조직 수준 인증 메커니즘과 통합합니다. 데이터베이스는 커스텀 인증 구성을 지원합니다. 고객은 AD 및 LDAP ID를 데이터베이스 클러스터 구성에 매핑해야 합니다.
V-233583 해시에 FIPS 검증 암호화 모듈을 사용합니다. RPM은 해시 함수에 호스트 OpenSSL FIPS 모듈을 사용합니다. 고객은 호스트 OS에서 FIPS 모드를 활성화해야 합니다.
V-233585 FIPS 검증 암호화를 사용하여 분류되지 않은 정보를 보호합니다. FIPS 지원 암호화를 사용하여 통신 및 스토리지를 암호화합니다. 고객은 호스트 머신이 FIPS 검증되었는지 확인해야 합니다.
V-233619 모든 작업에 FIPS 검증 암호화 모듈을 사용합니다. FIPS 지원 RPM 바이너리를 적용합니다. 고객은 호스트 커널에서 FIPS 모드를 사용 설정해야 합니다.
V-233623 인증된 OpenSSL FIPS 모드가 있는 호스트에서 DBMS를 실행합니다. 데이터베이스는 호스트 OpenSSL FIPS 구성을 사용합니다. 고객은 호스트 OpenSSL 모듈이 NIST 인증 FIPS 목록과 일치하는지 확인해야 합니다.
V-233615 PKI 인증 ID를 연결된 사용자 계정에 매핑합니다. 데이터베이스는 ID에 보안 SCRAM-SHA-256 비밀번호 인증을 사용합니다. 고객은 직접 비밀번호 로그인을 사용하지 않는 경우 외부 조직 디렉터리 역할을 데이터베이스 역할에 매핑해야 합니다.
V-233540 데이터베이스 설치 계정을 승인된 사용자만으로 제한합니다. RPM은 파일 권한 및 실행을 postgres 사용자로 제한합니다. 고객은 VM에 대한 무단 터미널 액세스를 방지하기 위해 SSH 제한과 같은 호스트 노드 액세스를 잠가야 합니다.