이 페이지에서는 Google Distributed Cloud 설치를 보호하기 위한 권장사항을 설명합니다.
물리적 하드웨어 보안
승인된 인력에 대한 액세스 제한과 같은 Distributed Cloud 랙의 물리적 보안은 사용자가 책임집니다. Distributed Cloud 랙 자체에는 다음과 같은 보안 기능이 있습니다.
- 랙에 설치된 하드웨어는 랙 전면 및 후면 도어를 통해서만 액세스할 수 있습니다.
- 랙을 쉽게 분해할 수 없습니다. 나사, 너트, 래치, 리벳과 같은 외부에서 접근 가능한 구조적 패스너가 없습니다.
- 랙 도어에는 열쇠 잠금장치가 장착되어 있습니다. Google에서는 키 사본을 제공하며 안전한 보관을 위해 사본을 보유합니다.
- 다중 랙 설치의 경우 모든 랙 잠금 장치는 동일한 키로 잠깁니다.
- 랙 도어에는 환기를 위해 구멍이 뚫린 조작 방지 금속 메시가 있습니다.
- 설치 중에 랙은 배송 브레이스와 브래킷을 사용하여 설치 사이트 바닥에 단단히 볼트로 고정됩니다.
물리적 랙의 보안에 관해 더 궁금한 점이 있으면 Google Cloud 영업 담당자에게 문의하세요.
로컬 스토리지 보안
Distributed Cloud는 Linux Unified Key Setup (LUKS)을 사용하여 각 Distributed Cloud 노드의 논리 볼륨을 암호화합니다. 고객 관리 암호화 키 (CMEK)를 사용하거나Google-owned and managed keys LUKS 디스크 암호화 키 (DEK)를 래핑할 수 있습니다. 노드를 노드 풀에 할당하면 노드는 LUKS DEK를 생성하고 이를 Google 관리 LUKS 비밀번호(키 암호화 키(KEK)라고도 함) 또는 Cloud KMS를 통해 제공된 비밀번호로 래핑합니다. 노드 풀을 만들 때 Cloud KMS를 사용할지 선택할 수 있습니다. Distributed Cloud는 봉투 암호화 모델을 사용하여 Cloud KMS와 통합됩니다.
또한 각 Distributed Cloud 머신은 콜드 시작할 때마다 다음을 실행합니다.
Cloud KMS를 사용하지 않는 경우 머신에서 새 KEK(LUKS 비밀번호)를 생성하고 처음부터 암호화된 스토리지를 설정합니다.
Cloud KMS를 사용하는 경우 머신은 Cloud KMS에서 KEK를 가져와 데이터를 보유하는 기존 논리 볼륨을 잠금 해제합니다.
로컬 스토리지에 고객 관리 암호화 키 (CMEK) 지원 사용 설정
Distributed Cloud와의 Cloud KMS 통합을 사용 설정하려면 다음 단계를 완료하세요.
Distributed Cloud와 함께 사용할 키링, 대칭 키, 하나 이상의 키 버전을 만듭니다. 이러한 아티팩트는 Distributed Cloud 설치와 동일한 Google Cloud 리전에 만들어야 합니다. 자세한 내용은 키 만들기를 참고하세요.
Google Cloud 프로젝트의 Distributed Cloud 서비스 계정에 Cloud KMS CryptoKey 암호화/복호화 역할(
roles/cloudkms.cryptoKeyEncrypterDecrypter)을 부여합니다. Distributed Cloud에서 사용할 각 키 버전에 대해 이 작업을 실행해야 합니다. Distributed Cloud 설치를 Cloud KMS와 통합한 후 이 역할을 취소하면 Distributed Cloud 머신에 저장된 데이터에 액세스할 수 없습니다.--local-disk-kms-key플래그를 사용하여 노드 풀을 만들고 해당 노드 풀에 사용할 키 버전의 전체 경로를 제공합니다.--control-plane-kms-key플래그를 사용하여 클러스터를 만들고 클러스터의 컨트롤 플레인을 실행하는 노드에서 사용할 키 버전의 전체 경로를 제공합니다.
자세한 내용은 Cloud KMS 문서의 고객 관리 암호화 키 (CMEK)를 참고하세요.
데이터 복구 및 백업
Distributed Cloud 하드웨어에 저장하기로 선택한 모든 데이터의 작동하는 중복 백업을 유지하고 Distributed Cloud 하드웨어를 Google에 반환하기로 선택한 경우 해당 데이터를 내보낼 책임은 사용자에게 있습니다.
Distributed Cloud 하드웨어를 Google에 반환할 때 하드웨어에 남아 있는 데이터는 삭제됩니다. 분산 클라우드 하드웨어에 장애가 발생하고 Google에서 현장 수리를 수행하는 경우 서비스 대상 분산 클라우드 머신에서 모든 저장 매체가 제거되고 수리 기간 동안 고객의 관리 하에 보관됩니다.
네트워크 보안
비즈니스 요구사항과 조직의 네트워크 보안 정책에 따라 Distributed Cloud 설치로 들어오고 나가는 네트워크 트래픽을 보호하는 데 필요한 단계가 결정됩니다. 또한 다음을 권장합니다.
Distributed Cloud 내장 부하 분산기에서 노출된 가상 IP 주소 풀과 Distributed Cloud 서브네트워크에 대한 인바운드 연결만 허용합니다.
시스템 관리 및 서비스 관리 계층을 제공하는 서브넷에 대한 외부 네트워크 리소스의 인바운드 연결을 허용하지 않습니다.
외부 네트워크 리소스에서 로컬 컨트롤 플레인 엔드포인트의 IP 주소로의 인바운드 연결을 허용하지 않습니다. 자세한 내용은 생존 가능성 모드를 참고하세요.
분산 클라우드 하드웨어 연결을 위해 로컬 네트워크를 준비하는 방법에 관한 자세한 내용은 네트워킹을 참고하세요.