Blueprint de segurança: PCI no GKE

Last reviewed 2025-03-12 UTC

O blueprint do PCI no Google Kubernetes Engine contém um conjunto de Terraform configurações e scripts que demonstram como inicializar um ambiente do PCI em Google Cloud. O núcleo desse blueprint é o Online Boutique aplicativo, em que os usuários podem procurar itens, adicioná-los ao carrinho e comprar itens.

Esse blueprint foi desenvolvido para o Padrão de segurança de dados do setor de cartões de pagamento (PCI DSS) versão 3.2.1. O blueprint permite implantar cargas de trabalho no GKE que se alinham ao PCI DSS de maneira repetível, com suporte e segura.

• Arquitetura
• Mapeamento de conformidade
• Recursos implantáveis
• Perguntas frequentes
• Recursos

Arquitetura

Visão geral do projeto

Nesse blueprint, você inicializará um ambiente de dados do titular do cartão (CDE) no Google Cloud que contém a seguinte hierarquia de recursos:

• Um recurso organizacional.
• Um recurso de pasta. Esse tipo fornece um mecanismo de agrupamento e limites de isolamento entre projetos.

• Recursos do projeto. Você implantará os seguintes Google Cloud projetos:

  • Rede: o projeto host da VPC compartilhada.
  • Gerenciamento: um projeto que manterá a infraestrutura de geração de registros e de monitoramento, como o Cloud Logging.
  • No escopo: um projeto que contém os recursos nesse estado. Na solução, o projeto consiste em um cluster do GKE projetado para executar aplicativos no escopo. No exemplo, isso inclui os serviços de front-end, pagamentos e finalização da compra.
  • Fora do escopo: um projeto que contém os recursos nesse estado. Na solução, isso é um cluster do GKE projetado para executar o restante dos serviços.

Aplicativo e projetos

O diagrama a seguir ilustra o limite do CDE no Google Cloud e quais projetos estão no escopo da avaliação do PCI do aplicativo microsservices demo. Ao criar seu ambiente, você usa uma ilustração como esta para comunicar Google Cloud sobre recursos dentro e fora de seu limite do PCI.

O caminho 1 mostra dados de registro dos clusters do Kubernetes que vão para o Cloud Logging.

Layout de rede

Este diagrama ilustra os detalhes da rede e da sub-rede em cada projeto. Ele documenta os fluxos de dados entre projetos, além de fora e dentro do limite do CDE.

Tráfego criptografado

Este diagrama ilustra o tráfego criptografado que entra e sai do limite do PCI:

1. O tráfego criptografado por TLS (HTTPS) de fora da VPC vai para o balanceador de carga público no escopo.
2. O tráfego criptografado por TLS entre os nós do cluster do Kubernetes no escopo para o cluster fora do escopo vai para os balanceadores de carga internos.
3. O tráfego dos balanceadores de carga internos para o cluster fora do escopo é criptografado com mTLS usando o Istio.
4. A comunicação dentro de cada cluster é criptografada com mTLS usando o Istio.

Mapeamento de conformidade

O blueprint descrito neste documento aborda uma variedade de requisitos de conformidade com o PCI DSS. A tabela nesta seção destaca algumas dessas exigências.

Observação: O artigo PCI on GKE Blueprint Review for PCI Compliance (PDF) fornece uma avaliação independente de terceiros sobre o blueprint feita pelo Coalfire, auditor de PCI DSS do Google. Ele também fornece orientações sobre os elementos que você precisa abordar ao usar o blueprint.

Os itens na tabela a seguir não atendem a todos os requisitos. A conformidade com algumas exigências é atendida pela Google Cloud infraestrutura como parte da responsabilidade compartilhada entre você e o Google. A conformidade com outros requisitos precisa ser implementada por você. Para uma explicação detalhada do modelo de responsabilidade compartilhada, veja Como explorar a segurança do contêiner: o modelo de responsabilidade compartilhada no GKE no Google Cloud blog.

Observação: o mapeamento de conformidade descreve como os controles implementados neste blueprint ajudam você a cumprir um requisito do PCI. No entanto, o blueprint não garante a conformidade com o PCI para os requisitos especificados mais adiante neste documento. É importante observar que a descrição dos detalhes de implementação no blueprint precisa ser revisada, analisada e aprovada por você e seu avaliador de segurança qualificado (QSA, na sigla em inglês), e disposta em camadas com outros recursos de segurança que abordam todos os sistemas no escopo e aplicativos de uma solução holística para atender aos requisitos do PCI.

Os números entre parênteses se referem às seções do documento do padrão de segurança de dados do setor de cartões de pagamento (PCI). É possível fazer o download do documento na biblioteca do site do PCI Security Standards Council.

Requisito	Seção	Descrição
Implementar a segmentação e a proteção de limites	1.3.2, 1.3.4	Esse blueprint ajuda você a implementar uma segmentação lógica usando Google Cloud projetos. A segmentação permite criar um limite para a avaliação do PCI. Esse blueprint executa o Istio no Google Kubernetes Engine como um complemento que permite criar uma malha de serviço no cluster do GKE que inclui todos os componentes necessários. O blueprint também cria um perímetro de segurança usando VPC em todos os Google Cloud projetos no escopo do PCI.
Configurar o acesso de privilégio mínimo aos Google Cloud recursos	7.1, 7.2	Esse blueprint ajuda você a implementar o controle de acesso com base em papéis para gerenciar quem tem acesso aos Google Cloud recursos. O blueprint também implementa controles de acesso específicos do GKE, como controle de acesso com base em papéis (RBAC, na sigla em inglês) e namespaces para restringir o acesso aos recursos do cluster.
Estabelecer políticas no nível da organização		Com esse blueprint, você estabelece políticas que se aplicam ao seu Google Cloud recurso Organização, como estas: Nenhum endereço IP externo Compartilhamento restrito de domínio Imagens confiáveis
Impor a separação de tarefas por meio da VPC compartilhada	7.1.2, 7.1.3	Esse projeto usa a VPC compartilhada para conectividade e o controle de rede segregado para aplicar a separação de tarefas (em inglês).
Aumentar a segurança do cluster	2.2, 2.2.5	Os clusters do GKE nesse blueprint são protegidos conforme descrito no Guia de segurança do GKE.

Essa lista é apenas um subconjunto dos controles de segurança implementados no blueprint que podem atender aos requisitos do PCI DSS. Encontre uma lista completa dessas exigências no documento Requisitos do PCI DSS no GitHub.

Recursos implantáveis

O PCI and GKE Blueprint repositório (em inglês) no GitHub contém um conjunto de configurações e scripts do Terraform que mostram como inicializar um ambiente do PCI em Google Cloud. O blueprint "PCI no GKE" também mostra Google Cloud serviços, ferramentas, e projetos que são úteis para iniciar seu próprio Google Cloud ambiente do PCI.

Perguntas frequentes

Como faço para usar esse blueprint?

O blueprint "PCI no GKE" fornece informações com instruções prescritivas sobre como criar ou migrar cargas de trabalho no GKE que estejam alinhadas aos requisitos de conformidade com o PCI.

O blueprint é composto pelos seguintes elementos (links em inglês):

• Um guia de implementação
• Arquiteturas de referência
• Scripts do Terraform que implementam a infraestrutura como código (IaC, na sigla em inglês)
• Um aplicativo de demonstração
• Mapeamentos de conformidade com o PCI

Recomendamos que você leia o guia de implementação e analise as arquiteturas de referência antes de implantar o ambiente do PCI usando o Terraform. Fornecemos um aplicativo de e-commerce de demonstração que pode ser implantado para testar o ambiente do blueprint do PCI.

Essa é a única maneira de executar cargas de trabalho em conformidade com o PCI no Google Cloud?

Não. O PCI DSS é um conjunto de padrões de segurança, e há muitas maneiras de interpretar e implementar os controles para atender aos padrões. O blueprint foi criado como um conjunto de práticas recomendadas e sugestões para ajudar sua conformidade com o PCI DSS.

O blueprint inclui práticas recomendadas para conformidade com o PCI com o Google Distributed Cloud?

Embora algumas das diretrizes no blueprint se apliquem ao Google Distributed Cloud, o foco está no Google Kubernetes Engine (GKE) em execução no Google Cloud.

Vocês têm uma lista de requisitos do PCI que esse blueprint pode ajudar a atender?

Esse blueprint aborda uma variedade de requisitos de conformidade com o PCI DSS. É possível encontrar uma lista completa dessas exigências no Requisitos do PCI DSS documento (PDF) no GitHub. Esta lista aborda apenas as exigências de conformidade com o PCI compatíveis com a Google Cloud infraestrutura como parte da responsabilidade compartilhada entre você e o Google. Observe que a implementação de qualquer controle de conformidade com o PCI é de responsabilidade exclusiva do cliente e você deve conduzir sua própria avaliação de conformidade com o PCI. Para mais informações sobre o modelo de responsabilidade compartilhada, veja Como explorar a segurança do contêiner: o modelo de responsabilidade compartilhada no GKE no Google Cloud blog.

Quais serviços são compatíveis com as orientações no blueprint?

Para ver uma lista completa dos serviços compatíveis, consulte a parte superior do arquivo README (em inglês) do PCI no repositório do GKE no GitHub.

Vocês aceitam contribuições para o PCI no repositório do GKE no GitHub?

Sim. É possível enviar uma solicitação de pull ou criar uma ramificação do repositório.

Recursos

• Conformidade com o PCI DSS no Google Cloud. Este guia ajuda você a resolver questões exclusivas dos aplicativos do Google Kubernetes Engine (GKE) quando for implementar as responsabilidades do cliente para os requisitos do PCI DSS.