Práticas recomendadas de segurança

Esta página descreve as práticas recomendadas para proteger sua instalação do Google Distributed Cloud.

Segurança física do hardware

Você é responsável pela segurança física do rack do Distributed Cloud, como limitar o acesso a pessoal autorizado. O rack do Distributed Cloud tem os seguintes recursos de segurança:

  • O acesso ao hardware instalado no rack só é possível pelas portas dianteira e traseira.
  • O rack não pode ser desmontado com facilidade. Não há fixadores estruturais acessíveis externamente, como parafusos, porcas, fechos ou rebites.
  • As portas do rack são equipadas com fechaduras com chave. O Google fornece uma cópia da chave e retém outra para proteção.
  • Em instalações com vários racks, todas as fechaduras são iguais.
  • As portas do rack têm malha metálica perfurada à prova de violação para ventilação.
  • Durante a instalação, o rack é parafusado com segurança ao piso do local de instalação usando os suportes e braçadeiras de transporte.

Se você tiver mais dúvidas sobre a segurança do rack físico, entre em contato com seu representante de vendas Google Cloud .

Segurança do armazenamento local

O Distributed Cloud usa o Linux Unified Key Setup (LUKS) para criptografar os volumes lógicos em cada nó do Distributed Cloud. Você pode usar chaves de criptografia gerenciadas pelo cliente (CMEK) ou Google-owned and managed keys para encapsular a chave de criptografia de disco (DEK) do LUKS. Quando você atribui um nó a um pool de nós, ele gera uma DEK LUKS e a encapsula em uma senha LUKS gerenciada pelo Google, também conhecida como chave de criptografia de chaves (KEK), ou em uma fornecida por você pelo Cloud KMS. Você pode escolher se quer usar o Cloud KMS ao criar um pool de nós. O Distributed Cloud se integra ao Cloud KMS usando o modelo de criptografia de envelope.

Além disso, cada máquina do Distributed Cloud faz o seguinte em cada inicialização a frio:

  • Se você não estiver usando o Cloud KMS, a máquina vai gerar uma nova KEK (senha do LUKS) e configurar o armazenamento criptografado do zero.

  • Se você estiver usando o Cloud KMS, a máquina vai buscar a KEK no Cloud KMS e desbloquear os volumes lógicos atuais que contêm seus dados.

Ativar o suporte para chaves de criptografia gerenciadas pelo cliente (CMEK) para armazenamento local

Para ativar a integração do Cloud KMS com o Distributed Cloud, siga estas etapas:

  1. Crie um keyring, uma chave simétrica e uma ou mais versões de chave para usar com o Distributed Cloud. É preciso criar esses artefatos na mesma região Google Cloud da instalação do Distributed Cloud. Para instruções, consulte Criar uma chave.

  2. Conceda o papel Criptografador/Descriptografador do Cloud KMS CryptoKey (roles/cloudkms.cryptoKeyEncrypterDecrypter) à conta de serviço do Distributed Cloud no seu projetoGoogle Cloud . Faça isso para cada versão de chave que você quer usar com o Distributed Cloud. Se você revogar essa função depois de integrar a instalação do Distributed Cloud ao Cloud KMS, perderá o acesso aos dados armazenados nas máquinas do Distributed Cloud.

  3. Crie um pool de nós usando a flag --local-disk-kms-key e forneça o caminho completo para a versão da chave que você quer usar com esse pool de nós.

  4. Crie um cluster usando a flag --control-plane-kms-key e forneça o caminho completo para a versão da chave que você quer usar com o nó que executa o plano de controle do cluster.

Para mais informações, consulte Chaves de criptografia gerenciadas pelo cliente (CMEK) na documentação do Cloud KMS.

Recuperação e backups de dados

Você é responsável por manter backups redundantes funcionais de todos os dados que escolher armazenar no hardware do Distributed Cloud e exportar esses dados quando decidir devolver o hardware do Distributed Cloud ao Google.

Todos os dados ainda presentes no hardware do Distributed Cloud quando ele é devolvido ao Google são apagados. Se ocorrer uma falha no hardware do Distributed Cloud e o Google realizar reparos no local, todas as mídias de armazenamento serão removidas da máquina do Distributed Cloud em manutenção e ficarão sob sua custódia durante o reparo.

Segurança de rede

Os requisitos da sua empresa e a política de segurança de rede da sua organização determinam as etapas necessárias para proteger o tráfego de rede que entra e sai da instalação do Distributed Cloud. Além disso, recomendamos o seguinte:

  • Permita apenas conexões de entrada com pools de endereços IP virtuais expostos pelo balanceador de carga integrado do Distributed Cloud e com sub-redes do Distributed Cloud.

  • Não permitir conexões de entrada de recursos de rede externos para sub-redes que atendem às camadas de gerenciamento do sistema e gerenciamento de serviços.

  • Não permitir conexões de entrada de recursos de rede externa para endereços IP de endpoints do plano de controle local. Para mais informações, consulte Modo de capacidade de sobrevivência.

Para mais informações sobre como preparar sua rede local para conectar hardware do Distributed Cloud, consulte Redes.

A seguir