作为 AlloyDB Omni 客户，您负责配置和操作 AlloyDB Omni，以确保您的工作负载从该服务中获得最大价值。
责任共担矩阵
下表总结了 Google 和客户在 AlloyDB Omni RPM 编排器部署的每个层级中的责任：
| 层级 | Google 的责任 | 客户责任 | |
|---|---|---|---|
| 硬件和主机 | 物理基础架构 | 在适用情况下提供最低和推荐要求。 | 预配物理服务器、虚拟机或边缘设备，包括电源、冷却和硬件。 |
| 主机操作系统 (OS) | 在适用情况下提供最低和推荐要求。 | 管理 Linux 内核、应用操作系统安全补丁程序，并强化主机节点（例如 RHEL 9 或 Rocky Linux 9）。 | |
| 基础架构和操作系统组件 | 存储 | 在适用情况下提供最低和推荐要求。 | 预配本地磁盘或 SAN 卷。AlloyDB Omni 需要配置了受支持文件系统（例如 XFS 或 ext4）的块设备。 |
| 网络 | 在适用情况下提供最低和推荐要求。 | 预配和管理网络层（例如 IP 路由、负载均衡器和防火墙规则，使用 firewalld 或 iptables）以打开所需的端口，例如 PostgreSQL 的 5432 和 etcd 的 2379 和 2380。 |
|
| 主机访问权限控制 | 提供 AlloyDB Omni 编排器组件所需的服务账号和角色。 | 管理 SSH 访问权限、sudo 权限、SELinux 政策和 Linux 用户账号，以符合您的内部安全政策。 |
|
| Secret 管理 | 读取标准变量和清单文件以预配资源，例如初始 postgres 用户。 |
安全地存储用于 Ansible 编排和数据库访问的密码、SSH 密钥和令牌。 | |
| 证书管理 | 提供证书集成配置选项。 | 在主机上生成、分发和管理传输层安全协议 (TLS) 和 SSL 证书的生命周期。 | |
| 编排器软件 | 开发和发布 | 开发 AlloyDB Omni 编排器，包括 CLI 和 Ansible 集合，并发布 RPM 软件包。 | 无。您可以将提供的 Yum 代码库中的工件用于部署。 |
| 安装和生命周期 | 提供文档、RPM 工件和部署清单模板。 |
在安装前验证兼容性。 按照说明使用 |
|
| 数据库引擎 | 数据库二进制文件 | 提供 AlloyDB Omni RPM 软件包，其中包含列式引擎和 AI 加速等专有优化。 | 无。 |
| 修补 | 发布引擎的安全补丁程序以及次要和主要版本更新。提供升级说明。 | 根据每个版本的严重性，尽快安排升级。 | |
| 用户管理 |
预配初始管理员用户。 预配面向用户的 提供轻量级目录访问协议 (LDAP) 和 Active Directory (AD) 集成说明。 |
提供初始超级用户的密码。 创建和管理所有其他角色和用户。 |
|
| 数据管理 | 备份 | 提供自动化功能，以便使用 pgBackRest 和与 S3 兼容的集成来管理备份。 |
配置备份时间表和保留期限，并预配本地、S3 或 Cloud Storage 目标存储桶。 |
| 高可用性 (HA) | 使用 etcd 和集群管理器提供自动故障切换逻辑和修复机制。 |
预配足够的节点（例如控制节点、etcd 节点以及主数据库节点和备用数据库节点）以支持故障切换和高可用性架构。 |
|
| 静态加密 | 支持在块级加密卷上进行部署。 | 管理存储层加密（例如 Linux Unified Key Setup (LUKS) 和 dm-crypt），以满足您的安全要求。 |
|
| 传输加密 | 为用户到数据库的连接和内部集群通信配置服务器端 TLS。 | 使用安全的 TLS 客户端连接到数据库，并管理底层证书基础架构。 | |
| 可观测性 | 指标 | 使用与 Prometheus 兼容的端点公开内部数据库指标。 | 使用 Prometheus、OpenTelemetry 或其他兼容的解决方案及其存储堆栈部署和管理抓取工具。监控系统的整体健康状况。 |
| 日志记录 | 将 PostgreSQL 和审核日志写入磁盘上的文件并管理轮替。 | 部署日志收集器（例如 Fluent Bit 或 Vector），以将日志发送到存储后端（例如 Splunk 或 ELK 堆栈）。将日志保留至少一个月（建议）。 | |
| 可视化 | 提供示例指标和信息中心来监控标准工作负载。 | 部署和监控可视化工具（例如 Grafana）的健康状况。创建信息中心并将其纳入您的日常运营任务。 | |
| 提醒 | 无。 | 管理提醒流水线，例如使用 PagerDuty 集成。 | |
| 支持 | 问题排查 | 为软件错误和引擎错误提供支持。如需获得此支持，您需要订阅。 | 通过文档和知识库提供初始支持。调试与基础架构相关的问题。 |
安全性和 FIPS 合规性
为确保数据安全，AlloyDB Omni 使用通过联邦信息处理标准 (FIPS) 140-2 或 140-3 验证的加密模块。FIPS 合规性是 Google 与客户之间的责任共担，如下表所述：
| FIPS 边界层 | 责任 | 说明 |
|---|---|---|
| 符合 FIPS 标准的硬件 | 客户 | 物理硬件和加密组件必须通过 NIST 认证，并在 FIPS 批准的状态下进行配置。 |
| 主机操作系统 | 客户 | 虚拟机或裸金属主机操作系统（例如 RHEL 9）必须在 FIPS 模式下运行。验证 cat /proc/sys/crypto/fips_enabled 命令是否返回 1。 |
| 编排器控制平面 | 客户 | 运行 Ansible 编排器或 CLI 的控制节点必须使用通过 FIPS 验证的操作系统配置。 |
| 编排器组件 | 由 Google 开发，以与启用 FIPS 的基础操作系统兼容的 RPM 形式分发，安全地管理集群操作。 | |
| 数据库二进制文件 | 链接到通过 FIPS 验证的主机 OpenSSL 加密模块，并针对密码哈希 (SCRAM-SHA-256) 和 TLS 加密套件强制执行 FIPS 批准的算法。 |
|
| 自定义 CA 颁发的证书 | 已分享 | 数字证书必须符合 FIPS 标准，以满足密钥强度和签名算法的要求。证书链必须追溯到符合 FIPS 标准的根 CA。 |
STIG 责任共担
美国国防信息系统局 (DISA) 发布了安全技术实施指南 (STIG)，以建立软件、操作系统和数据库的网络安全标准和强化要求。
根据 STIG 要求强化环境对于在高度安全或政府部门获得运营授权 (ATO) 至关重要。虽然 AlloyDB Omni 默认实现许多数据库级安全控制，但要完全符合 STIG 要求，需要客户配置和验证基础架构级设置，因此是责任共担。
下表列出了需要客户执行操作、验证或配置的 STIG 漏洞 ID。如需了解全面信息，请参阅 PostgreSQL 9.x on Red Hat Enterprise Linux Security Technical Implementation Guide (STIG) compliance checklist。
| STIG 或 SRG ID | 安全控制说明 | 平台和运算符默认行为 | 客户所需的操作或配置 |
|---|---|---|---|
| V-233535 | 审核日志失败时立即提醒支持人员。 | 标准错误诊断会写入 stdout 和 stderr。 |
客户必须配置 SIEM 或日志转发器指标，以便在摄取量下降时触发。 |
| V-233599 | 当审核存储空间达到 75% 容量时，提醒支持人员。 | 文件系统指标通过标准 Prometheus 端点公开。 | 客户必须在 Prometheus 和 Grafana 中设置提醒规则，以便在日志磁盘可用空间超过 75% 时通知支持人员。 |
| V-233610 | 将审核数据卸载到单独的持续日志记录设施。 | 审核日志会持续写入本地日志目录。 | 客户必须配置日志转发器，以将日志文件持续流式传输到中央 SIEM。 |
| V-233603 | 仅信任由公钥基础架构 (PKI) 或批准的证书授权机构 (CA) 颁发的最终实体证书。 | 编排器使用本地 TLS 配置。 | 客户必须提供其 PKI 根 CA 证书和中间 CA 证书，以建立信任链。 |
| V-233520 | 强制执行批准的逻辑访问授权。 | 拒绝明文密码和消息摘要算法 5 (MD5)。允许通过 SSL 使用 SCRAM-SHA-256。 |
客户必须将客户端配置为在其连接字符串中使用 SCRAM-SHA-256 和 sslmode=verify-full。 |
| V-233522 | 限制每个用户的并发会话阈值。 | 默认数据库角色的限制为无限，受 max_connections 限制。 |
客户必须使用 ALTER ROLE ... CONNECTION LIMIT 为自定义应用角色显式更改连接限制。 |
| V-233584 | 对静态机密信息使用 NSA 批准的加密。 | RPM 软件包依赖于安全、强化的 RHEL 9 库。 | 客户必须验证底层主机 Linux 内核是否已启用 FIPS 140 模式。 |
| V-233515 | 与 AD 和 LDAP 组织级身份验证机制集成。 | 数据库支持自定义身份验证配置。 | 客户必须将 AD 和 LDAP 身份映射到数据库集群配置中。 |
| V-233583 | 对哈希使用通过 FIPS 验证的加密模块。 | RPM 依赖于主机 OpenSSL FIPS 模块来实现哈希函数。 | 客户必须在主机操作系统上启用 FIPS 模式。 |
| V-233585 | 使用通过 FIPS 验证的加密来保护非机密信息。 | 使用支持 FIPS 的密码加密通信和存储。 | 客户必须验证主机是否通过 FIPS 验证。 |
| V-233619 | 对所有操作使用通过 FIPS 验证的加密模块。 | 强制执行支持 FIPS 的 RPM 二进制文件。 | 客户必须在主机内核上启用 FIPS 模式。 |
| V-233623 | 在具有经过认证的 OpenSSL FIPS 模块的主机上运行 DBMS。 | 数据库依赖于主机 OpenSSL FIPS 配置。 | 客户必须验证主机 OpenSSL 模块是否与 NIST 认证的 FIPS 列表匹配。 |
| V-233615 | 将通过 PKI 身份验证的身份映射到关联的用户账号。 | 数据库对身份使用安全的 SCRAM-SHA-256 密码身份验证。 |
如果客户不使用直接密码登录，则必须将外部组织目录角色映射到数据库角色。 |
| V-233540 | 将数据库安装账号限制为仅授权用户。 | RPM 将文件权限和执行限制为 postgres 用户。 |
客户必须锁定主机节点访问权限（例如使用 SSH 限制），以防止未经授权的终端访问虚拟机。 |