本文档提供了在 Google Cloud中保护包含敏感数据（包括个人身份信息 [PII] ）的大规模数据集的高级架构。该架构旨在帮助保护敏感数据，防止其意外泄露和恶意渗漏。它面向熟悉基础云网络和身份概念的数据合规官和云安全工程师。该架构重点介绍了如何使用网络边界显式替换宽松的 Identity and Access Management (IAM) 设置，以防止未经授权的公开访问，即使资源配置错误也是如此。
本文档的 部署 部分提供了一个 Terraform 代码 示例，用于自行部署此边界并模拟公开访问权限块。
架构
以下架构图展示了在 上采用的稳健的多层数据 保护策略 Google Cloud。它有效地展示了数据如何从非结构化状态转移到安全受控的环境中。
上图展示了每个 Google 服务如何从初始数据上传到数据访问权限为数据提供安全保障：
- 具有相应 IAM 权限的用户将数据上传到 BigQuery 或 Cloud Storage 数据存储服务。存储服务配置为使用客户管理的加密密钥 (CMEK) 和 Cloud KMS Autokey。
- 该服务使用从 Cloud KMS Autokey 获取的 CMEK 加密数据。
- Sensitive Data Protection 会持续检查、分类和去标识化存储库中的敏感数据。为了去标识化敏感数据，Sensitive Data Protection 会使用您配置的模板和选项遮盖数据。
- 存储服务位于 VPC Service Controls 边界内，该边界会阻止从边界外访问数据。如需向 指定用户和系统 （IAM 正文）授予访问权限， 您可以使用 Access Context Manager 访问权限级别 模板。然后，指定的主账号可以访问边界内的数据。
- VPC Service Controls 会拒绝访问权限级别模板中未指定的任何人。
使用的产品
- VPC Service Controls：一种托管式网络功能，可最大限度地降低资源的渗漏风险。 Google Cloud
- Sensitive Data Protection：一项全代管式服务，旨在 帮助您发现、分类和保护有价值的数据资产，包括 个人身份信息 (PII)。
- Cloud Key Management Service (Cloud KMS)：一项服务，可让您在单个集中式云服务中创建、导入、 和管理加密密钥以及执行加密操作。
- Access Context Manager：一项服务，可让您为 Google Cloud中的项目和资源定义基于属性的精细 访问权限控制政策。
- BigQuery：一种企业数据仓库，可帮助您使用机器学习地理空间分析和商业智能等内置功能管理和 分析数据。
- Cloud Storage：适用于各种数据类型的费用低廉且不受限制的对象存储。数据可从 内部和外部访问 Google Cloud，并且 跨位置进行复制以实现冗余。
使用场景
此架构为处理敏感 数据中 Google Cloud提供了一个稳健的安全框架。它侧重于数据保护、访问权限控制和渗漏防护。该架构通过将强大的加密与自动数据去标识化和网络边界控制相结合，帮助为敏感数据建立安全环境。此实现有助于确保数据使用客户控制的密钥 (CMEK) 进行加密，自动检测和遮盖敏感信息，并严格限制和情境化管理访问权限。这些措施有助于显著降低数据渗漏风险。
以下是本文档中介绍的架构的使用场景示例：
- 受监管的行业（金融、医疗保健、公共部门）：受到严格监管的行业需要安全框架来帮助实现合规性和数据安全。为了实现合规性并保护敏感的客户数据，务必确保静态数据的安全、发现敏感数据并实施访问权限控制。我们建议受监管的行业实施此设计，以帮助实现数据合规性。
- 不受监管的行业：不受数据 法规约束的行业可以从实施稳健的安全框架中受益。务必防止敏感数据泄露、安全存储数据，并制定控制数据访问权限的政策。本文档中的架构可以帮助不受监管的行业实现与受严格监管的行业相同的安全级别。我们建议不受监管的行业实施此设计作为最佳实践。
设计考虑事项
- 如需分析日志违规行为并防止意外锁定生产 工作负载，请始终先在 试运行模式 下实施 VPC Service Controls。
- 如需确保受信任的企业网络和管理设备可以 与受保护的资源互动，请定义精确的 Access Context Manager 政策和级别。
如需快速且经济高效地识别敏感数据可能驻留的位置，请对大型数据集运行 Sensitive Data Protection 并启用采样。 如需了解详情，请参阅以下资源：
如需确保对这些数据集进行全面保护，请在使用采样检查数据后运行全面扫描。如需了解详情，请参阅 敏感数据发现概览。
如需帮助确保自动强制执行加密，请在创建 资源之前，在文件夹或项目级启用 Cloud KMS Autokey 。
部署
如需部署此架构的示例实现，请使用 GitHub 中提供的数据安全代码示例 。
后续步骤
- 如需获得 Cloud KMS Autokey 的使用经验，请参阅 使用 Cloud KMS Autokey 轻松加密资源 Codelab。
- 了解如何将 VPC Service Controls 与 Access Context Manager 搭配使用。
- 如需查看更多参考架构、图表和最佳实践，请浏览 Cloud 架构中心。
贡献者
作者：
- Manish Gaur | 安全架构师
- James Meyer | 安全架构师
其他贡献者：
- Osvaldo Costa | 网络专家客户工程师
- Susan Wu | 对外产品经理
- Mark Schlagenhauf | 网络技术文档工程师
- Biodun Awojobi | 客户工程主管，安全与合规