AlloyDB Omni の責任の共有

ドキュメントのバージョンを選択してください。

このページでは、AlloyDB Omni をご利用のお客様の責任範囲と、RPM オーケストレーターのデプロイ オプションを使用する場合の Google の責任範囲について説明します。

AlloyDB Omni のお客様は、ワークロードがサービスから最大の価値を引き出せるように、AlloyDB Omni を構成、運用する責任があります。

責任の共有マトリックス

次の表に、AlloyDB Omni RPM オーケストレーター デプロイの各レイヤにおける Google とお客様の責任の概要を示します。

層 Google の責任 お客様の責任
ハードウェアとホスト 物理インフラストラクチャ 該当する場合は、最小要件と推奨要件を提示します。 電源、冷却、ハードウェアなどを含む物理サーバー、VM、エッジ デバイスをプロビジョニングします。
ホスト オペレーティング システム（OS） 該当する場合は、最小要件と推奨要件を指定します。 Linux カーネルを管理し、OS セキュリティ パッチを適用して、ホストノード（RHEL 9 や Rocky Linux 9 など）を強化する。
インフラストラクチャと OS コンポーネント ストレージ 該当する場合は、最小要件と推奨要件を提示します。 ローカル ディスクまたは SAN ボリュームをプロビジョニングします。AlloyDB Omni には、XFS や ext4 などのサポートされているファイル システムで構成されたブロック デバイスが必要です。
ネットワーキング 該当する場合は、最小要件と推奨要件を提示します。 firewalld または iptables を使用して、IP ルーティング、ロードバランサ、ファイアウォール ルールなどのネットワーク層をプロビジョニングして管理し、PostgreSQL の 5432、etcd の 2379 と 2380 などの必要なポートを開きます。
ホストのアクセス制御 AlloyDB Omni オーケストレーター コンポーネントに必要なサービス アカウントとロールを指定します。 SSH アクセス、sudo 権限、SELinux ポリシー、Linux ユーザー アカウントを管理して、内部セキュリティ ポリシーに合わせます。
Secret Manager 標準変数とインベントリ ファイルを読み取り、初期 postgres ユーザーなどのリソースをプロビジョニングします。 Ansible のオーケストレーションとデータベース アクセスに使用されるパスワード、SSH 認証鍵、トークンを安全に保存する。
証明書の管理 証明書の統合の構成オプションを指定します。 ホストマシンで Transport Layer Security（TLS）証明書と SSL 証明書のライフサイクルを生成、配布、管理します。
オーケストレーター ソフトウェア 開発とリリース CLI や Ansible コレクションなどの AlloyDB Omni オーケストレーターを開発し、RPM パッケージを公開する。 なし。提供された Yum リポジトリのアーティファクトをデプロイに使用できます。
インストールとライフサイクル ドキュメント、RPM アーティファクト、デプロイ インベントリ テンプレートを提供します。

インストールする前に互換性を確認してください。

alloydbctl オーケストレーター CLI または Ansible ハンドブックを使用して AlloyDB Omni をインストールまたはアップグレードする手順に沿って操作します。
データベース エンジン データベース バイナリ カラム型エンジンや AI アクセラレーションなどの独自の最適化を備えた AlloyDB Omni RPM パッケージを提供します。 なし
パッチ適用と エンジンのセキュリティ パッチ、マイナー バージョン アップデート、メジャー バージョン アップデートをリリースします。アップグレードの手順を説明します。 各リリースの重要度に応じて、できるだけ早くアップグレードをスケジュールします。
ユーザー管理

最初の管理者権限を持つユーザーをプロビジョニングします。

ユーザー向けの postgres スーパーユーザーをプロビジョニングします。

Lightweight Directory Access Protocol（LDAP）と Active Directory（AD）の統合に関する手順を提供します。

初期スーパーユーザーのパスワードを指定します。

他のすべてのロールとユーザーを作成して管理する。
データ マネジメント バックアップ S3 互換の統合で pgBackRest を使用してバックアップを管理する自動化を提供します。 バックアップ スケジュールと保持を構成し、ローカル、S3、または Cloud Storage のターゲット バケットをプロビジョニングします。
高可用性（HA） etcd とクラスタ マネージャーを使用して、自動フェイルオーバー ロジックと修復メカニズムを提供します。 フェイルオーバーと高可用性アーキテクチャをサポートするために、十分なノード（コントロール ノード、etcd ノード、プライマリ データベース ノード、スタンバイ データベース ノードなど）をプロビジョニングします。
保存データの暗号化 ブロックレベルの暗号化されたボリュームへのデプロイをサポートします。 セキュリティ要件を満たすように、Linux Unified Key Setup（LUKS）や dm-crypt などのストレージ レイヤの暗号化を管理します。
転送データの暗号化 ユーザーとデータベースの接続と内部クラスタ通信用にサーバーサイド TLS を構成します。 安全な TLS クライアントを使用してデータベースに接続し、基盤となる証明書インフラストラクチャを管理します。
オブザーバビリティ 指標 Prometheus 互換のエンドポイントを使用して、内部データベースの指標を公開します。 Prometheus、OpenTelemetry、またはその他の互換性のあるソリューションとそのストレージ スタックを使用して、スクレーパーをデプロイして管理します。システムの全体的な健全性をモニタリングする。
ロギング PostgreSQL ログと監査ログをディスク上のファイルに書き込み、ローテーションを管理します。 Fluent Bit や Vector などのログコレクタをデプロイして、Splunk や ELK スタックなどのストレージ バックエンドにログを送信します。ログは、推奨される最小期間である 1 か月間保持します。
可視化 標準ワークロードをモニタリングするためのサンプル指標とダッシュボードを提供する。 Grafana などの可視化ツールをデプロイして、その健全性をモニタリングする。ダッシュボードを作成し、日々の運用タスクに組み込む。
アラート なし PagerDuty インテグレーションなどを使用して、アラート パイプラインを管理する。
サポート トラブルシューティング ソフトウェアのバグやエンジンのエラーのサポートを提供します。このサポートを利用するには、サブスクリプションが必要です。 ドキュメントとナレッジベースを通じて初期サポートを提供します。インフラストラクチャ関連の問題をデバッグする。

セキュリティと FIPS コンプライアンス

データを保護するため、AlloyDB Omni は連邦情報処理標準（FIPS）140-2 または 140-3 認定の暗号モジュールを使用します。FIPS コンプライアンスは、次の表に示すように、Google とお客様の責任の共有です。

FIPS 境界レイヤ 責任範囲 説明
FIPS 準拠のハードウェア 顧客 物理ハードウェアと暗号コンポーネントは、NIST 認定を受け、FIPS 承認済みの状態で構成されている必要があります。
ホスト OS 顧客 VM またはベアメタル ホスト オペレーティング システム（RHEL 9 など）は FIPS モードで実行する必要があります。cat /proc/sys/crypto/fips_enabled コマンドが 1 を返すことを確認します。
オーケストレーター コントロール プレーン 顧客 Ansible オーケストレーターまたは CLI を実行する制御ノードは、FIPS 検証済みの OS 構成を使用する必要があります。
オーケストレーター コンポーネント Google Google が開発し、FIPS 対応のベース OS と互換性のある RPM として配布され、クラスタ オペレーションを安全に管理します。
データベース バイナリ Google FIPS 検証済みのホスト OpenSSL 暗号モジュールにリンクし、パスワード ハッシュ（SCRAM-SHA-256）と TLS 暗号スイートに FIPS 承認済みのアルゴリズムを適用します。
カスタム CA の証明書 共有 デジタル証明書は、鍵の強度と署名アルゴリズムに関する FIPS 規格を満たしている必要があります。証明書チェーンは、FIPS 準拠のルート CA にさかのぼる必要があります。

STIG の責任の共有

米国国防情報システム局（DISA）は、ソフトウェア、オペレーティング システム、データベースのサイバーセキュリティ標準と強化要件を確立するために、セキュリティ技術実装ガイド（STIG）を公開しています。

STIG の要件に従って環境を強化することは、セキュリティが重視される分野や政府機関で運用認可（ATO）を取得するために不可欠です。AlloyDB Omni は、デフォルトで多くのデータベース レベルのセキュリティ管理を実装していますが、完全な STIG コンプライアンスを達成するには、お客様がインフラストラクチャ レベルの設定を構成して検証する必要があるという責任の共有です。

次の表に、お客様による対応、検証、構成が必要な STIG 脆弱性 ID を示します。詳細については、Red Hat Enterprise Linux Security Technical Implementation Guide（STIG）コンプライアンス チェックリストの PostgreSQL 9.x をご覧ください。

STIG または SRG ID セキュリティ管理の説明 プラットフォームとオペレーターのデフォルトの動作 お客様による対応または構成が必要
V-233535 監査ログの失敗時にサポート スタッフにすぐにアラートを送信する。 標準エラー診断は stdout と stderr に書き込まれます。 お客様は、取り込みが減少したときにトリガーされるように SIEM またはログ フォワーダーの指標を構成する必要があります。
V-233599 監査ストレージの容量が 75% に達したときにサポート スタッフにアラートを送信します。 ファイル システム指標は、標準の Prometheus エンドポイントを介して公開されます。 お客様は、ログディスク容量が 75% を超えたときにサポートに通知するよう、Prometheus と Grafana でアラートルールを設定する必要があります。
V-233610 監査データを別個の継続的ログ機能にオフロードします。 監査ログは、ローカル ログ ディレクトリに永続的に書き込まれます。 顧客は、ログファイルを中央の SIEM に継続的にストリーミングするようにログ フォワーダーを構成する必要があります。
V-233603 公開鍵基盤（PKI）または承認された認証局（CA）によって発行されたエンド エンティティ証明書のみを信頼します。 オーケストレーターはローカル TLS 構成を使用します。 お客様は、信頼チェーンを確立するために、PKI ルート CA 証明書と中間 CA 証明書を提供する必要があります。
V-233520 承認された論理アクセス認可を適用する。 書式なしテキストのパスワードと Message-Digest アルゴリズム 5（MD5）を拒否します。SSL 経由の SCRAM-SHA-256 を許可します。 お客様は、接続文字列で sslmode=verify-full を使用して SCRAM-SHA-256 を使用するようにクライアントを構成する必要があります。
V-233522 ユーザーごとの同時セッション数の上限を設定します。 デフォルトのデータベース ロールには、max_connections で制限される無限の上限があります。 お客様は、カスタム アプリケーション ロールに ALTER ROLE ... CONNECTION LIMIT を使用して、接続制限を明示的に変更する必要があります。
V-233584 分類された保存データには、NSA 承認済みの暗号化を使用します。 RPM パッケージは、安全で強化された RHEL 9 ライブラリに依存しています。 お客様は、基盤となるホストの Linux カーネルで FIPS 140 モードが有効になっていることを確認する必要があります。
V-233515 AD と LDAP の組織レベルの認証メカニズムと統合します。 データベースは、カスタム認証構成をサポートしています。 お客様は、AD と LDAP の ID をデータベース クラスタ構成にマッピングする必要があります。
V-233583 ハッシュに FIPS 検証済みの暗号モジュールを使用します。 RPM は、ハッシュ関数にホストの OpenSSL FIPS モジュールを使用します。 お客様は、ホスト OS で FIPS モードを有効にする必要があります。
V-233585 FIPS 認証済みの暗号を使用して、未分類の情報を保護する。 FIPS 対応の暗号を使用して通信とストレージを暗号化します。 お客様は、ホストマシンが FIPS 認証済みであることを確認する必要があります。
V-233619 すべてのオペレーションに FIPS 検証済みの暗号モジュールを使用します。 FIPS 対応の RPM バイナリを適用します。 お客様は、ホストカーネルで FIPS モードを有効にする必要があります。
V-233623 認定済みの OpenSSL FIPS モジュールを備えたホストで DBMS を実行します。 データベースはホストの OpenSSL FIPS 構成に依存します。 お客様は、ホストの OpenSSL モジュールが NIST 認定の FIPS リストと一致していることを確認する必要があります。
V-233615 PKI 認証された ID を関連するユーザー アカウントにマッピングします。 データベースは、ID に安全な SCRAM-SHA-256 パスワード認証を使用します。 直接パスワード サインインを使用しない場合は、外部の組織ディレクトリのロールをデータベースのロールにマッピングする必要があります。
V-233540 データベース インストール アカウントを、承認されたユーザーのみに制限します。 RPM は、ファイルへのアクセス許可と実行を postgres ユーザーに制限します。 お客様は、VM への不正なターミナル アクセスを防ぐため、SSH 制限などの方法でホストノード アクセスをロックダウンする必要があります。