AlloyDB Omni 客戶有責任設定及操作 AlloyDB Omni，確保工作負載能充分發揮這項服務的價值。
共同責任矩陣
下表摘要列出在 AlloyDB Omni RPM 自動調度管理工具部署的各層面中，Google 和客戶的責任：
| 圖層 | Google 的責任 | 客戶的責任 | |
|---|---|---|---|
| 硬體和主機 | 實體基礎架構 | 請視情況提供最低和建議規格。 | 佈建實體伺服器、VM 或邊緣裝置，包括電力、冷卻和硬體。 |
| 主機作業系統 (OS) | 請視情況提供最低和建議規格。 | 管理 Linux 核心、套用作業系統安全性修補程式，以及強化主機節點 (例如 RHEL 9 或 Rocky Linux 9)。 | |
| 基礎架構和 OS 元件 | 儲存空間 | 請視情況提供最低和建議規格。 | 佈建本機磁碟或 SAN 磁碟區。AlloyDB Omni 需要設定區塊裝置，並採用支援的檔案系統，例如 XFS 或 ext4。 |
| 網路 | 請視情況提供最低和建議規格。 | 使用 firewalld 或 iptables 佈建及管理網路層 (例如 IP 路由、負載平衡器和防火牆規則)，開啟 PostgreSQL 的 5432 和 etcd 的 2379 和 2380 等必要連接埠。 |
|
| 主辦人存取控管 | 提供 AlloyDB Omni 自動調度管理工具元件所需的服務帳戶和角色。 | 管理 SSH 存取權、sudo 權限、SELinux 政策和 Linux 使用者帳戶，確保符合內部安全性政策。 |
|
| Secret 管理 | 讀取標準變數和資產檔案，以佈建資源，例如初始 postgres 使用者。 |
安全地儲存密碼、安全殼層金鑰和權杖，用於 Ansible 自動化調度管理和資料庫存取。 | |
| 憑證管理 | 提供憑證整合的設定選項。 | 在主體機器上產生、發布及管理傳輸層安全標準 (TLS) 和 SSL 憑證的生命週期。 | |
| Orchestrator 軟體 | 開發與發布 | 開發 AlloyDB Omni 自動調度管理工具，包括 CLI 和 Ansible 集合，並發布 RPM 套件。 | 無，您可以將提供的 Yum 存放區中的構件用於部署作業。 |
| 安裝和生命週期 | 提供說明文件、RPM 構件和部署項目清單範本。 |
安裝前請先確認相容性。 按照操作說明，使用 |
|
| 資料庫引擎 | 資料庫二進位檔 | 提供 AlloyDB Omni RPM 套件，其中包含資料欄引擎和 AI 加速等專有最佳化功能。 | 無 |
| 正在套用修補程式 | 發布引擎的安全性修補程式，以及子版本和主要版本更新。提供升級操作說明。 | 根據各版本的關鍵程度，盡快安排升級。 | |
| 使用者管理 |
佈建初始管理員使用者。 佈建面向使用者的 提供輕量型目錄存取通訊協定 (LDAP) 和 Active Directory (AD) 整合的操作說明。 |
提供初始超級使用者的密碼。 建立及管理所有其他角色和使用者。 |
|
| 資料管理 | 備份 | 提供自動化功能，使用 pgBackRest 搭配 S3 相容整合功能管理備份。 |
設定備份排程和保留期限，並佈建本機、S3 或 Cloud Storage 目標 bucket。 |
| 高可用性 (HA) | 使用 etcd 和叢集管理工具，提供自動容錯移轉邏輯和修復機制。 |
佈建足夠的節點，例如控制節點、etcd 節點，以及主要和待機資料庫節點，以支援容錯移轉和高可用性架構。 |
|
| 靜態資料加密 | 支援在區塊層級加密磁碟區上部署。 | 管理儲存層加密，例如 Linux Unified Key Setup (LUKS) 和 dm-crypt，以符合安全性需求。 |
|
| 傳輸中資料加密 | 為使用者與資料庫之間的連線，以及內部叢集通訊，設定伺服器端 TLS。 | 使用安全的 TLS 用戶端連線至資料庫，並管理基礎憑證基礎架構。 | |
| 觀測能力 | 指標 | 使用與 Prometheus 相容的端點，公開內部資料庫指標。 | 使用 Prometheus、OpenTelemetry 或其他相容解決方案及其儲存空間堆疊，部署及管理抓取工具。監控系統的整體健康狀態。 |
| 記錄 | 將 PostgreSQL 和稽核記錄寫入磁碟上的檔案，並管理輪替。 | 部署記錄收集器 (例如 Fluent Bit 或 Vector)，將記錄傳送至儲存空間後端 (例如 Splunk 或 ELK 堆疊)。建議至少保留一個月的記錄。 | |
| 圖表 | 提供指標和資訊主頁範例，用於監控標準工作負載。 | 部署及監控視覺化工具 (例如 Grafana) 的健康狀態。建立資訊主頁，並納入日常作業工作。 | |
| 警告 | 無 | 管理警報管道，例如使用 PagerDuty 整合。 | |
| 支援 | 疑難排解 | 提供軟體錯誤和引擎錯誤的支援。如要取得這項支援，您需要訂閱。 | 透過說明文件和知識庫提供初步支援。對基礎架構相關問題進行偵錯。 |
安全性與 FIPS 法規遵循
為保護資料，AlloyDB Omni 採用通過聯邦資訊處理標準 (FIPS) 140-2 或 140-3 驗證的加密模組。FIPS 法規遵循是 Google 和客戶的共同責任，如下表所示：
| FIPS 邊界層 | 責任 | 說明 |
|---|---|---|
| 符合 FIPS 規範的硬體 | 客戶 | 實體硬體和加密編譯元件必須通過 NIST 認證，並設定為 FIPS 核准狀態。 |
| 主機 OS | 客戶 | VM 或裸機主機作業系統 (例如 RHEL 9) 必須以 FIPS 模式執行。確認 cat /proc/sys/crypto/fips_enabled 指令傳回 1。 |
| 自動調度管理工具控制層 | 客戶 | 執行 Ansible 編排器或 CLI 的控制節點必須使用通過 FIPS 驗證的 OS 設定。 |
| 自動化調度管理工具元件 | 由 Google 開發，以 RPM 形式發布，與啟用 FIPS 的基礎 OS 相容，可安全管理叢集作業。 | |
| 資料庫二進位檔 | 連結至通過 FIPS 驗證的主機 OpenSSL 密碼編譯模組，並強制執行 FIPS 核准的密碼雜湊演算法 (SCRAM-SHA-256) 和 TLS 加密套件。 |
|
| 自訂 CA 憑證 | 共用 | 數位憑證必須符合 FIPS 標準的金鑰強度和簽章演算法。憑證鏈結必須追溯至符合 FIPS 規範的根 CA。 |
STIG 共同責任
美國國防資訊系統局 (DISA) 發布了安全技術導入指南 (STIG)，為軟體、作業系統和資料庫制定網路安全標準和強化要求。
在高度安全的環境或政府部門中，必須根據 STIG 規定強化環境，才能取得營運授權 (ATO)。雖然 AlloyDB Omni 預設會實作許多資料庫層級的安全控管措施，但要完全符合 STIG 規範，客戶必須共同承擔責任，設定及驗證基礎架構層級的設定。
下表列出需要客戶採取行動、驗證或設定的 STIG 安全漏洞 ID。如需完整資訊，請參閱「PostgreSQL 9.x on Red Hat Enterprise Linux Security Technical Implementation Guide (STIG) compliance checklist」。
| STIG 或 SRG ID | 安全控管措施說明 | 平台和電信業者預設行為 | 客戶須採取的行動或設定 |
|---|---|---|---|
| V-233535 | 如果稽核記錄失敗，請立即通知支援人員。 | 標準錯誤診斷會寫入 stdout 和 stderr。 |
客戶必須設定 SIEM 或記錄轉送程式指標，才能在擷取量下降時觸發警報。 |
| V-233599 | 稽核儲存空間容量達到 75% 時，提醒支援人員。 | 檔案系統指標會透過標準 Prometheus 端點公開。 | 客戶必須在 Prometheus 和 Grafana 中設定警告規則，以便在記錄磁碟空間超過 75% 時通知支援團隊。 |
| V-233610 | 將稽核資料卸載至獨立的連續記錄設施。 | 稽核記錄會持續寫入本機記錄目錄。 | 客戶必須設定記錄轉送工具，將記錄檔持續串流至中央 SIEM。 |
| V-233603 | 只信任由公用金鑰基礎架構 (PKI) 或核准的憑證授權單位 (CA) 核發的終端實體憑證。 | Orchestrator 會使用本機 TLS 設定。 | 客戶必須提供 PKI 根憑證和中繼 CA 憑證，才能建立信任鏈。 |
| V-233520 | 強制執行核准的邏輯存取授權。 | 拒絕純文字密碼和訊息摘要演算法 5 (MD5)。允許透過 SSL 進行 SCRAM-SHA-256。 |
客戶必須將用戶端設為在連線字串中使用 SCRAM-SHA-256 和 sslmode=verify-full。 |
| V-233522 | 限制每位使用者的並行工作階段門檻。 | 預設資料庫角色的限制為無限，但受限於 max_connections。 |
客戶必須明確使用 ALTER ROLE ... CONNECTION LIMIT 變更自訂應用程式角色的連線限制。 |
| V-233584 | 使用 NSA 核准的密碼編譯技術，保護靜態機密資訊。 | RPM 套件依賴安全且經過強化的 RHEL 9 程式庫。 | 客戶必須確認基礎主機 Linux 核心已啟用 FIPS 140 模式。 |
| V-233515 | 與 AD 和 LDAP 機構層級驗證機制整合。 | 資料庫支援自訂驗證設定。 | 客戶必須將 AD 和 LDAP 身分對應至資料庫叢集設定。 |
| V-233583 | 使用通過 FIPS 驗證的加密編譯模組進行雜湊。 | RPM 仰賴主機 OpenSSL FIPS 模組執行雜湊函式。 | 客戶必須在主機 OS 啟用 FIPS 模式。 |
| V-233585 | 使用通過 FIPS 驗證的加密技術，保護未分類資訊。 | 使用符合 FIPS 規範的密碼編譯演算法，加密通訊和儲存空間。 | 客戶必須確認主體機器已通過 FIPS 驗證。 |
| V-233619 | 所有作業均使用通過 FIPS 驗證的加密模組。 | 強制執行支援 FIPS 的 RPM 二進位檔。 | 客戶必須在主機核心上啟用 FIPS 模式。 |
| V-233623 | 在具備經認證 OpenSSL FIPS 模組的主機上執行 DBMS。 | 資料庫仰賴主機 OpenSSL FIPS 設定。 | 客戶必須確認主機 OpenSSL 模組與 NIST 認證的 FIPS 清單相符。 |
| V-233615 | 將 PKI 驗證的身分對應至相關聯的使用者帳戶。 | 資料庫使用安全的 SCRAM-SHA-256 密碼驗證身分。 |
如果客戶不使用直接密碼登入，則必須將外部組織目錄角色對應至資料庫角色。 |
| V-233540 | 限制只有獲得授權的使用者才能使用資料庫安裝帳戶。 | RPM 會將檔案權限和執行作業限制為 postgres 使用者。 |
客戶必須鎖定主機節點存取權 (例如透過 SSH 限制)，防止未經授權的終端機存取 VM。 |