במסמך הזה מפורטות הנחיות להגדרה שיעזרו לכם לפרוס Google Cloud בצורה מאובטחת מדיניות רשת בארצות הברית (ארה"ב) שתעמוד בדרישות התכנון של FedRAMP High ומשרד ההגנה האמריקאי (DoD) ברמת ההשפעה 2 (IL2), ברמת ההשפעה 4 (IL4) וברמת ההשפעה 5 (IL5). המסמך הזה מיועד לאדריכלי פתרונות, למהנדסי רשת ולמהנדסי אבטחה שתפקידם לתכנן ולפרוס פתרונות רשת ב- Google Cloud. התרשים הבא מציג עיצוב של רשת אזור נחיתה לעומסי עבודה עם רגולציה מחמירה.
ארכיטקטורה
העיצוב של הרשת שמוצג בתרשים הקודם תואם לדרישות של מסגרת התאימות בארה"ב ל-FedRAMP High ול-DoD IL2, IL4 ו-IL5. הארכיטקטורה הזו כוללת את הרכיבים הבאים, שמתוארים בפירוט בהמשך המסמך:
- ענן וירטואלי פרטי (VPC): רשתות ה-VPC האלה הן גלובליות, אבל צריך ליצור תת-רשתות רק באזורים בארה"ב.
- מאזני עומסים אזוריים: מאזני העומסים האלה הם אזוריים ולא גלובליים. הם תומכים רק בפריסות בארה"ב. שימו לב: יכול להיות שיהיה צורך באימות נוסף מול DISA כדי לקבל אישור של משרד ההגנה (DoD) לרמות IL4 ו-IL5, אם משתמשים במאזני עומסים חיצוניים שאפשר לגשת אליהם ישירות דרך האינטרנט.
- כללי מדיניות אבטחה של Google Cloud Armor: אפשר להשתמש בכללי המדיניות האלה עם כללי מדיניות אבטחה של מאזני עומסים אזוריים נתמכים.
- Private Service Connect (PSC), גישה פרטית ל-Google (PGA) ו-גישה לשירותים פרטיים (PSA): האפשרויות האלה מאפשרות קישוריות פרטית לשירותים מנוהלים של Google באזור. אתם צריכים להפעיל גישה פרטית לשירותים ולממשקי API שמנוהלים על ידי Google באזור הרלוונטי, באמצעות האפשרות המתאימה לתרחיש השימוש שלכם.
- שירותים של צד שלישי: כשמדובר בשירותים של צד שלישי שבהם יש צרכנים ומפיקים, אתם צריכים לוודא שגם שירות ההפקה וגם הנתונים שנמצאים במעבר עומדים בדרישות התאימות שלכם.
- סביבות שאינן סביבות ייצור: הקצאת סביבות אחרות כמו סביבות שאינן סביבות ייצור, סביבות בדיקה וסביבות אבטחת איכות (QA) בהתאם לאסטרטגיית ה-VPC של הארגון.
תרחיש שימוש
Assured Workloads הוא מסגרת תאימות שיכולה לעזור לספק את אמצעי הבקרה לאבטחה שאתם צריכים כדי לעמוד בדרישות הרגולטוריות של FedRAMP High ו-DoD IL2, IL4 ו-IL5. אחרי הפריסה באמצעות Assured Workloads, אתם אחראים להגדיר מדיניות רשת תואמת ומאובטחת. למידע על תרחישי שימוש אחרים לצורך תאימות, אפשר לעיין במאמר Hosting FedRAMP Moderate and High Workloads on Google Cloud במסמכי FedRAMP.
ההנחיות האלה מתייחסות רק לרכיבי רשת. עליכם להגדיר את עומסי העבודה בהתאם למודל האחריות המשותפת, מטריצת האחריות של לקוחות FedRAMP, שירותים Google Cloud בתחום, FedRAMP וההנחיות של Assured Workloads. מידע נוסף על עמידה בדרישות התאימות לשירותים אחרים של Google Cloud זמין במרכז המשאבים בנושא תאימות.
השירותים שמוזכרים במסמך הזה הם רק דוגמאות. כדי לוודא שאתם עומדים בדרישות הנכונות של רמת התאימות לעומס העבודה שלכם, אתם צריכים לעיין בשירותים שנכללים בתוכניות התאימות.
מוצרים שלא נכללים בהיקף
השירותים הבאים לא עומדים בדרישות התאימות של FedRAMP High או של DoD IL2, IL4 ו-IL5 לגבי גבולות שיפוט:
- מאזן עומסים גלובלי חיצוני של אפליקציות (ALB)
- Google Cloud Armor גלובלי
- מאזן עומסים גלובלי חיצוני בשרת proxy
מומלץ לדון עם צוות התמיכה של Google לגבי הסיכון בשימוש בשירותים האלה ברשת לפני שמתחילים לתכנן את הרשת.
שיקולים לגבי העיצוב
בקטע הזה מתוארים שיקולי עיצוב שבהם ההגדרות שמתוארות במסמך הזה הן בחירה מתאימה.
שימוש ב-Assured Workloads
כדי לעמוד בדרישות רגולטוריות שקשורות לריבונות הנתונים ולמיקום של נתונים Google Cloud , כמו FedRAMP High ו-DoD IL4 ו-IL5, צריך להשתמש ב-Assured Workloads. כדי להבין אם העקרונות האלה רלוונטיים לתוכנית התאימות שלכם ב- Google Cloud, מומלץ לעיין בסקירה כללית של Assured Workloads בשלבים הראשונים של שלב התכנון. אתם אחראים להגדיר את המדיניות של הרשת ושל IAM.
צריך להגדיר תיקייה של Assured Workloads ולהגדיר את תוכנית התאימות המתאימה. במקרה כזה, צריך להגדיר את תוכנית התאימות המתאימה לערך FedRAMP
High או IL2, IL4, IL5. התיקייה הזו מספקת גבול רגולטורי בתוך ארגון כדי לזהות סוגי נתונים מפוקחים. כברירת מחדל, כל פרויקט שנמצא בתיקייה הזו יירש את אמצעי ההגנה על האבטחה והתאימות שהוגדרו ברמת התיקייה של Assured Workloads.
Assured Workloads מגבילה את האזורים שאפשר לבחור עבור המשאבים האלה על סמך תוכנית התאימות שבחרתם באמצעות שירות מדיניות הארגון למגבלה על משאבים.
התאמה אזורית
כדי לתמוך בתוכניות התאימות שמוגדרות בהנחיות האלה, אתם צריכים להשתמש באחד או יותר מהאזורים של Google בארה"ב. שימו לב ש-FedRAMP High ו-DoD IL4 ו-IL5 כוללים דרישה כללית לשמירת הנתונים בתוך גבול גיאוגרפי בארה"ב. כדי לדעת אילו אזורים אפשר להוסיף, אפשר לעיין במיקומים של Assured Workloads.
תאימות ברמת המוצר
באחריותכם לוודא שמוצר או שירות תומכים בדרישות המתאימות של ריבונות נתונים ומיקום נתונים לתרחיש השימוש שלכם. כשאתם רוכשים או משתמשים בתוכנית תאימות לטירגוט, אתם צריכים גם לפעול בהתאם להנחיות האלה לגבי כל מוצר שבו אתם משתמשים כדי לעמוד בדרישות התאימות הרלוונטיות. ב-Assured Workloads מוגדרת מדיניות הגבלה על השימוש במשאבים שניתנת לשינוי ומשקפת את השירותים שתואמים למסגרת התאימות שנבחרה.
פריסה
כדי לעזור לכם לעמוד בדרישות התאימות, מומלץ לפעול לפי ההנחיות שבקטע הזה לגבי שירותי רשת פרטיים.
הגדרות של רשתות בענן וירטואלי פרטי (VPC)
צריך לבצע את ההגדרות הבאות של הענן הווירטואלי הפרטי (VPC):
- תת-רשתות: יוצרים תת-רשתות באזורים בארה"ב שמפורטים בקטע התאמה אזורית. Assured Workloads מחילה מדיניות כדי להגביל את היצירה של רשתות משנה במיקומים אחרים.
- כללי חומת אש: צריך להגדיר כללי חומת אש של VPC כדי לאפשר או לחסום חיבורים רק אל מכונות וירטואליות ברשת ה-VPC או מהן.
הגדרות של Private Service Connect
Private Service Connect הוא תכונה של Google Cloud רשתות שמאפשרת לצרכנים לגשת לשירותים מנוהלים באופן פרטי מתוך רשת ה-VPC שלהם.
שני הסוגים של Private Service Connect (נקודות קצה של Private Service Connect וקצה עורפי של Private Service Connect) תומכים באמצעי הבקרה שמתוארים במסמך הזה, כשהם מוגדרים עם מאזני עומסים אזוריים. מומלץ להחיל את פרטי ההגדרה שמתוארים בטבלה הבאה:
| סוג Private Service Connect | מאזני עומסים נתמכים | סטטוס העמידה בדרישות |
|---|---|---|
| נקודות קצה של Private Service Connect ל-Google APIs | לא רלוונטי | לא נתמך |
| בק-אנדים של Private Service Connect ל-Google APIs |
|
השימוש בהם תואם כשמשתמשים באחד ממאזני העומסים האזוריים הבאים:
|
| נקודות קצה של Private Service Connect לשירותים שפורסמו |
|
מציית |
| בק-אנדים של Private Service Connect לשירותים שפורסמו |
|
עומד בדרישות כשמשתמשים בו עם מאזן העומסים האזורי הבא:
|
רפליקציה של חבילות נתונים
רפליקציה של חבילות נתונים היא תכונה של VPC שבעזרתה אפשר לשמור על תאימות. התכונה Packet Mirroring מתעדת את כל התנועה ואת נתוני החבילות, כולל מטען וכותרות, ומעבירה אותם למרכזי איסוף של נתוני יעד לצורך ניתוח. הסטטוס של העמידה בתנאי המדיניות של VPC מועבר לרפליקציה של חבילות נתונים.
Cloud Load Balancing
Google Cloud מציע סוגים שונים של מאזני עומסים, כפי שמתואר במאמר סקירה כללית של Application Load Balancer. בארכיטקטורה הזו, צריך להשתמש במאזני עומסים אזוריים.
Cloud DNS
אתם יכולים להשתמש ב-Cloud DNS כדי לעמוד בדרישות התאימות. Cloud DNS הוא שירות DNS מנוהל ב- Google Cloud שכולל תמיכה באזורי העברה פרטיים, באזורי פירינג, באזורי חיפוש הפוך ובמדיניות של שרתי DNS. תחומים ציבוריים ב-Cloud DNS לא עומדים בדרישות של FedRAMP High ושל DoD IL2, IL4 או IL5.
Cloud Router
Cloud Router הוא מוצר אזורי שאפשר להגדיר עבור Cloud VPN, Cloud Interconnect ו-Cloud NAT. חובה להגדיר את Cloud Router רק באזורים בארה"ב. כשיוצרים או עורכים רשת VPC, אפשר להגדיר את מצב הניתוב הדינמי כאזורי או כגלובלי. אם מפעילים את מצב הניתוב הגלובלי, צריך להגדיר את מצב הפרסום בהתאמה אישית כך שיכלול רק רשתות בארה"ב.
Cloud NAT
Cloud NAT הוא מוצר NAT אזורי מנוהל שמאפשר גישה יוצאת לאינטרנט למשאבים פרטיים ללא כתובות IP חיצוניות. חובה להגדיר שער Cloud NAT באזורים בארה"ב שיש בהם רכיב Cloud Router משויך.
Cloud VPN
חובה להשתמש בנקודות קצה של Cloud VPN שנמצאות בארה"ב. מוודאים ששער ה-VPN מוגדר לשימוש רק באזור הנכון בארה"ב, כמו שמתואר במאמר התאמה אזורית. מומלץ להשתמש בסוג HA VPN ל-Cloud VPN. להצפנה, צריך להשתמש רק בצפנים שתואמים לתקן FIPS 140-2 כדי ליצור אישורים ולהגדיר את האבטחה של כתובת ה-IP. מידע נוסף על הצפנות הנתמכות ב-Cloud VPN זמין במאמר הצפנות IKE נתמכות. הנחיות לבחירת צופן שתואם לתקני FIPS 140-2 מופיעות במאמר בנושא אימות FIPS 140-2. אחרי שמבצעים הגדרה, אי אפשר לשנות צופן קיים ב-Google Cloud. חשוב לוודא שמגדירים את אותו הצופן במכשיר של צד שלישי שבו משתמשים עם Cloud VPN.
Cloud Armor
Cloud Armor הוא שירות להפחתת מתקפות DDoS ולהגנה על אפליקציות. הוא עוזר להגן מפני התקפות DDoS על פריסות Google Cloud של לקוחות עם עומסי עבודה שחשופים לאינטרנט. Cloud Armor למאזן עומסים חיצוני אזורי של אפליקציות נועד לספק את אותה רמת הגנה ויכולות לעומסי עבודה אזוריים עם איזון עומסים. חומות האש של אפליקציות אינטרנט (WAF) ב-Google Cloud Armor פועלות בהיקף אזורי, ולכן ההגדרות והתנועה שלכם נמצאות באזור שבו נוצרו המשאבים. צריך ליצור כללי מדיניות אזוריים לאבטחת קצה עורפי ולצרף אותם לשירותים לקצה עורפי שההיקף שלהם הוא אזורי. אפשר להחיל את מדיניות האבטחה האזורית החדשה רק על שירותי קצה עורפיים (backend) בהיקף אזורי באותו אזור, והיא מאוחסנת, מוערכת ונאכפת באזור. Cloud Armor למאזני עומסים ברשת ולמכונות וירטואליות מרחיב את ההגנה מפני DDoS של Cloud Armor לעומסי עבודה שחשופים לאינטרנט דרך כלל העברה של מאזן עומסים ברשת (או העברת פרוטוקולים), או דרך מכונה וירטואלית שחשופה ישירות דרך כתובת IP ציבורית. כדי להפעיל את ההגנה הזו, צריך להגדיר הגנה מתקדמת מפני מתקפות DDoS ברשת.
Dedicated Interconnect
כדי להשתמש ב-Dedicated Interconnect, הרשת שלכם צריכה להתחבר פיזית לרשת של Google במתקן לאחסון ואירוח שרתים (colocation facility) נתמך. ספק המתקן מספק מעגל של 10G או 100G בין הרשת שלכם לבין נקודת נוכחות של Google Edge. מותר להשתמש ב-Cloud Interconnect רק במתקני שרתים משותפים בארה"ב שמשרתים אזורים בארה"ב. Google Cloud
כשמשתמשים ב-Partner Cloud Interconnect, צריך להתייעץ עם ספק השירות כדי לוודא שהמיקומים שלו נמצאים בארה"ב ומחוברים לאחד מ Google Cloud המיקומים בארה"ב שמפורטים בהמשך החלק הזה.
כברירת מחדל, התעבורה שנשלחת דרך Cloud Interconnect לא מוצפנת. אם רוצים להצפין את התעבורה שנשלחת דרך Cloud Interconnect, אפשר להגדיר VPN over Cloud Interconnect או MACsec.
בטבלה הבאה מופיעה רשימה מלאה של האזורים והמיקומים המשותפים הנתמכים:
| אזור | מיקום | שם נקודת האיסוף | נקודת איסוף |
|---|---|---|---|
| us-east4 (וירג'יניה) | Ashburn | iad-zone1-1 |
Equinix Ashburn (DC1-DC11) |
| Ashburn | iad-zone2-1 |
Equinix Ashburn (DC1-DC11) | |
| Ashburn | iad-zone1-5467 |
CoreSite - Reston (VA3) | |
| Ashburn | iad-zone2-5467 |
CoreSite - Reston (VA3) | |
| us-east5 (קולומבוס) | קולומבוס | cmh-zone1-2377 |
Cologix COL1 |
| קולומבוס | cmh-zone2-2377 |
Cologix COL1 | |
| us-central1 (איווה) | Council Bluffs | cbf-zone1-575 |
מרכזי נתונים בנברסקה (1623 Farnam) |
| Council Bluffs | cbf-zone2-575 |
מרכזי נתונים בנברסקה (1623 Farnam) | |
| us-south1 (דאלאס) | דאלאס | dfw-zone1-4 |
Equinix Dallas (DA1) |
| דאלאס | dfw-zone2-4 |
Equinix Dallas (DA1) | |
| us-west1 (אורגון) | פורטלנד | pdx-zone1-1922 |
EdgeConneX Portland (EDCPOR01) |
| פורטלנד | pdx-zone2-1922 |
EdgeConneX Portland (EDCPOR01) | |
| us-west2 (לוס אנג'לס) | לוס אנג'לס | lax-zone1-8 |
Equinix Los Angeles (LA1) |
| לוס אנג'לס | lax-zone2-8 |
Equinix Los Angeles (LA1) | |
| לוס אנג'לס | lax-zone1-19 |
CoreSite - LA1 - One Wilshire | |
| לוס אנג'לס | lax-zone2-19 |
CoreSite - LA1 - One Wilshire | |
| לוס אנג'לס | lax-zone1-403 |
Digital Realty LAX (600 West 7th) | |
| לוס אנג'לס | lax-zone2-403 |
Digital Realty LAX (600 West 7th) | |
| לוס אנג'לס | lax-zone1-333 |
Equinix LA3/LA4 – לוס אנג'לס, אל סגונדו | |
| לוס אנג'לס | lax-zone2-333 |
Equinix LA3/LA4 – לוס אנג'לס, אל סגונדו | |
| us-west3 (סולט לייק סיטי) | סולט לייק סיטי | slc-zone1-99001 |
Aligned Salt Lake (SLC-01) |
| סולט לייק סיטי | slc-zone2-99001 |
Aligned Salt Lake (SLC-01) | |
| us-west4 (לאס וגאס) | לאס וגאס | las-zone1-770 |
Switch Las Vegas |
| לאס וגאס | las-zone2-770 |
Switch Las Vegas |
המאמרים הבאים
- מידע נוסף על Google Cloud המוצרים שבהם נעשה שימוש במדריך העיצוב הזה:
- לדוגמאות נוספות של ארכיטקטורות, תרשימים ושיטות מומלצות, עיינו במאמר Cloud Architecture Center.
שותפים ביצירת התוכן
מחברים:
- Haider Witwit | Networking Specialist Architect
- בהווין דסאי | מנהל מוצר
תורמי תוכן אחרים:
- Ashwin Gururaghavendran | מהנדס תוכנה
- פרסי ואדיה | מנהל קבוצת מוצרים
- Daniel Lees | Cloud Security Architect
- מרקיז קרול | יועץ
- מישל צ'ובירקה | Cloud Security Advocate