Tanggung jawab bersama AlloyDB Omni

Pilih versi dokumentasi:

Halaman ini menjelaskan tanggung jawab Anda sebagai pelanggan AlloyDB Omni dan tanggung jawab Google saat menggunakan opsi deployment orchestrator RPM.

Sebagai pelanggan AlloyDB Omni, Anda bertanggung jawab untuk mengonfigurasi dan mengoperasikan AlloyDB Omni sehingga workload Anda mendapatkan nilai maksimal dari layanan.

Matriks tanggung jawab bersama

Tabel berikut merangkum tanggung jawab Google dan pelanggan di setiap lapisan deployment orchestrator RPM AlloyDB Omni:

Lapisan Tanggung jawab Google Tanggung jawab pelanggan
Hardware dan host Infrastruktur fisik Memberikan persyaratan minimum dan yang direkomendasikan jika berlaku. Menyediakan server fisik, VM, atau perangkat edge, termasuk daya, pendinginan, dan hardware.
Sistem operasi (OS) host Memberikan persyaratan minimum dan yang direkomendasikan jika berlaku. Mengelola kernel Linux, menerapkan patch keamanan OS, dan memperkuat node host (seperti RHEL 9 atau Rocky Linux 9).
Komponen infrastruktur dan OS Penyimpanan Memberikan persyaratan minimum dan yang direkomendasikan jika berlaku. Menyediakan disk lokal atau volume SAN. AlloyDB Omni memerlukan perangkat blok yang dikonfigurasi dengan sistem file yang didukung seperti XFS atau ext4.
Jaringan Memberikan persyaratan minimum dan yang direkomendasikan jika berlaku. Menyediakan dan mengelola lapisan jaringan—seperti perutean IP, load balancer, dan aturan firewall menggunakan firewalld atau iptables—untuk membuka port yang diperlukan seperti 5432 untuk PostgreSQL dan 2379 serta 2380 untuk etcd.
Kontrol akses host Menyediakan akun layanan dan peran yang diperlukan untuk komponen orchestrator AlloyDB Omni. Mengelola akses SSH, hak istimewa sudo, kebijakan SELinux, dan akun pengguna Linux agar selaras dengan kebijakan keamanan internal Anda.
Pengelolaan secret Membaca variabel standar dan file inventaris untuk menyediakan resource, seperti pengguna postgres awal. Menyimpan sandi, kunci SSH, dan token yang digunakan untuk orkestrasi Ansible dan akses database dengan aman.
Pengelolaan sertifikat Menyediakan opsi konfigurasi untuk integrasi sertifikat. Membuat, mendistribusikan, dan mengelola siklus proses sertifikat SSL dan Transport Layer Security (TLS) di mesin host.
Software orchestrator Pengembangan dan rilis Mengembangkan orchestrator AlloyDB Omni, termasuk koleksi CLI dan Ansible, serta memublikasikan paket RPM. Tidak ada. Anda dapat menggunakan artefak dari repositori Yum yang disediakan untuk deployment Anda.
Penginstalan dan siklus proses Menyediakan dokumentasi, artefak RPM, dan template inventaris deployment.

Memverifikasi kompatibilitas sebelum penginstalan.

Mengikuti petunjuk untuk menginstal atau mengupgrade AlloyDB Omni menggunakan CLI orchestrator alloydbctl atau playbook Ansible.
Database engine Biner database Menyediakan paket RPM AlloyDB Omni dengan pengoptimalan eksklusif seperti columnar engine dan akselerasi AI. Tidak ada.
Sedang memberikan patch Merilis patch keamanan dan update versi minor dan utama untuk engine. Memberikan petunjuk upgrade. Menjadwalkan upgrade sesegera mungkin, bergantung pada tingkat keparahan setiap rilis.
Pengelolaan pengguna

Menyediakan pengguna administratif awal.

Menyediakan superuser postgres yang ditampilkan kepada pengguna.

Memberikan petunjuk untuk integrasi Lightweight Directory Access Protocol (LDAP) dan Active Directory (AD).

Memberikan sandi untuk pengguna super awal.

Membuat dan mengelola semua peran dan pengguna lainnya.
Pengelolaan data Cadangan Menyediakan otomatisasi untuk mengelola cadangan menggunakan pgBackRest dengan integrasi yang kompatibel dengan S3. Mengonfigurasi jadwal dan retensi cadangan, serta menyediakan bucket target lokal, S3, atau Cloud Storage.
Ketersediaan tinggi (HA) Menyediakan logika failover otomatis dan mekanisme pemulihan menggunakan etcd dan Pengelola Cluster. Menyediakan node yang memadai—seperti node kontrol, node etcd, dan node database utama dan standby—untuk mendukung arsitektur failover dan ketersediaan tinggi.
Enkripsi dalam penyimpanan Mendukung deployment pada volume terenkripsi tingkat blok. Mengelola enkripsi lapisan penyimpanan, seperti Linux Unified Key Setup (LUKS) dan dm-crypt, untuk memenuhi persyaratan keamanan Anda.
Enkripsi saat transit Mengonfigurasi TLS sisi server untuk koneksi pengguna ke database dan komunikasi cluster internal. Menghubungkan ke database menggunakan klien TLS yang aman dan mengelola infrastruktur sertifikat yang mendasarinya.
Kemampuan observasi Metrik Mengekspos metrik database internal menggunakan endpoint yang kompatibel dengan Prometheus. Men-deploy dan mengelola scraper menggunakan Prometheus, OpenTelemetry, atau solusi kompatibel lainnya dan tumpukan penyimpanannya. Memantau kondisi sistem secara keseluruhan.
Logging Menulis log audit dan PostgreSQL ke file di disk dan mengelola rotasi. Men-deploy kolektor log, seperti Fluent Bit atau Vector, untuk mengirim log ke backend penyimpanan seperti Splunk atau tumpukan ELK. Mempertahankan log selama minimal satu bulan yang direkomendasikan.
Visualisasi Menyediakan metrik dan dasbor contoh untuk memantau workload standar. Men-deploy dan memantau kondisi alat visualisasi, seperti Grafana. Membuat dasbor dan menggabungkannya dalam tugas operasional harian Anda.
Pemberitahuan Tidak ada. Mengelola pipeline pemberitahuan, seperti menggunakan integrasi PagerDuty.
Dukungan Pemecahan masalah Memberikan dukungan untuk bug software dan error engine. Untuk mendapatkan dukungan ini, Anda memerlukan langganan. Memberikan dukungan awal melalui dokumentasi dan pusat informasi. Men-debug masalah terkait infrastruktur.

Kepatuhan terhadap FIPS dan keamanan

Untuk mengamankan data Anda, AlloyDB Omni menggunakan modul kriptografi yang divalidasi Federal Information Processing Standards (FIPS) 140-2 atau 140-3. Kepatuhan terhadap FIPS adalah tanggung jawab bersama antara Google dan pelanggan, seperti yang dijelaskan dalam tabel berikut:

Lapisan batas FIPS Tanggung jawab Deskripsi
Hardware yang sesuai dengan FIPS Pelanggan Komponen hardware fisik dan kriptografi harus disertifikasi NIST dan dikonfigurasi dalam status yang disetujui FIPS.
OS host Pelanggan Sistem operasi host bare metal atau VM (seperti RHEL 9) harus berjalan dalam mode FIPS. Pastikan perintah cat /proc/sys/crypto/fips_enabled menampilkan 1.
Bidang kontrol orchestrator Pelanggan Node kontrol yang menjalankan orchestrator atau CLI Ansible harus menggunakan konfigurasi OS yang divalidasi FIPS.
Komponen orchestrator Google Dikembangkan oleh Google, didistribusikan sebagai RPM yang kompatibel dengan OS dasar yang mendukung FIPS, dan mengelola operasi cluster dengan aman.
Biner database Google Menautkan ke modul kriptografi OpenSSL host yang divalidasi FIPS dan menerapkan algoritma yang disetujui FIPS untuk hashing sandi (SCRAM-SHA-256) dan cipher suite TLS.
Sertifikat dari CA kustom Dibagikan Sertifikat digital harus memenuhi standar FIPS untuk kekuatan kunci dan algoritma tanda tangan. Rantai sertifikat harus dapat dilacak kembali ke CA Root yang sesuai dengan FIPS.

Tanggung jawab bersama STIG

Defense Information Systems Agency (DISA) memublikasikan Security Technical Implementation Guides (STIG) untuk menetapkan standar keamanan siber dan persyaratan penguatan untuk software, sistem operasi, dan database.

Memperkuat lingkungan Anda sesuai dengan persyaratan STIG sangat penting untuk mendapatkan Authorization to Operate (ATO) di sektor pemerintah atau yang sangat aman. Meskipun AlloyDB Omni menerapkan banyak kontrol keamanan tingkat database secara default, mencapai kepatuhan STIG penuh adalah tanggung jawab bersama yang mengharuskan pelanggan mengonfigurasi dan memverifikasi setelan tingkat infrastruktur.

Tabel berikut mencantumkan ID kerentanan STIG yang memerlukan tindakan, validasi, atau konfigurasi oleh pelanggan. Untuk informasi lengkap, lihat checklist kepatuhan Security Technical Implementation Guide (STIG) PostgreSQL 9.x di Red Hat Enterprise Linux.

ID STIG atau SRG Deskripsi kontrol keamanan Perilaku default platform dan operator Tindakan atau konfigurasi pelanggan yang diperlukan
V-233535 Segera beri tahu staf dukungan jika terjadi kegagalan log audit. Diagnostik error standar ditulis ke stdout dan stderr. Pelanggan harus mengonfigurasi metrik SIEM atau penerus log untuk memicu saat penyerapan menurun.
V-233599 Beri tahu staf dukungan saat penyimpanan audit mencapai kapasitas 75%. Metrik sistem file diekspos melalui endpoint Prometheus standar. Pelanggan harus menyiapkan aturan pemberitahuan di Prometheus dan Grafana untuk memberi tahu dukungan saat ruang disk log melebihi 75%.
V-233610 Lepaskan data audit ke fasilitas log berkelanjutan yang terpisah. Log audit ditulis secara persisten ke direktori log lokal. Pelanggan harus mengonfigurasi penerus log untuk melakukan streaming file log secara berkelanjutan ke SIEM pusat.
V-233603 Hanya percayai sertifikat entitas akhir yang dikeluarkan oleh infrastruktur kunci publik (PKI) atau Certificate Authority (CA) yang disetujui. Orchestrator menggunakan konfigurasi TLS lokal. Pelanggan harus menyediakan sertifikat CA Root dan Menengah PKI untuk membuat rantai kepercayaan.
V-233520 Terapkan otorisasi akses logis yang disetujui. Menolak sandi teks biasa dan algoritma Message-Digest 5 (MD5). Mengizinkan SCRAM-SHA-256 melalui SSL. Pelanggan harus mengonfigurasi klien untuk menggunakan SCRAM-SHA-256 dengan sslmode=verify-full dalam string koneksinya.
V-233522 Batasi batas sesi serentak per pengguna. Peran database default memiliki batas tak terbatas yang dibatasi oleh max_connections. Pelanggan harus mengubah batas koneksi secara eksplisit menggunakan ALTER ROLE ... CONNECTION LIMIT untuk peran aplikasi kustom.
V-233584 Gunakan kriptografi yang disetujui NSA untuk informasi rahasia dalam penyimpanan. Paket RPM mengandalkan library RHEL 9 yang aman dan diperkuat. Pelanggan harus memverifikasi bahwa kernel Linux host yang mendasarinya telah mengaktifkan mode FIPS 140.
V-233515 Berintegrasi dengan mekanisme autentikasi tingkat organisasi AD dan LDAP. Database mendukung konfigurasi autentikasi kustom. Pelanggan harus memetakan identitas AD dan LDAP ke dalam konfigurasi cluster database.
V-233583 Gunakan modul kriptografi yang divalidasi FIPS untuk hash. RPM mengandalkan modul FIPS OpenSSL host untuk fungsi hashing. Pelanggan harus mengaktifkan mode FIPS di OS host.
V-233585 Gunakan kriptografi yang divalidasi FIPS untuk melindungi informasi yang tidak diklasifikasikan. Mengenkripsi komunikasi dan penyimpanan menggunakan sandi yang mendukung FIPS. Pelanggan harus memverifikasi bahwa mesin host divalidasi FIPS.
V-233619 Gunakan modul kriptografi yang divalidasi FIPS untuk semua operasi. Menerapkan biner RPM yang siap untuk FIPS. Pelanggan harus mengaktifkan mode FIPS di kernel host.
V-233623 Jalankan DBMS di host dengan modul FIPS OpenSSL bersertifikasi. Database mengandalkan konfigurasi FIPS OpenSSL host. Pelanggan harus memverifikasi bahwa modul OpenSSL host cocok dengan daftar FIPS bersertifikasi NIST.
V-233615 Petakan identitas yang diautentikasi PKI ke akun pengguna terkait. Database menggunakan autentikasi sandi SCRAM-SHA-256 yang aman untuk identitas. Pelanggan harus memetakan peran direktori organisasi eksternal ke peran database jika tidak menggunakan login sandi langsung.
V-233540 Batasi akun penginstalan database hanya untuk pengguna yang diotorisasi. RPM membatasi izin file dan eksekusi untuk pengguna postgres. Pelanggan harus mengunci akses node host, seperti dengan batasan SSH, untuk mencegah akses terminal yang tidak sah ke VM.