Halaman ini menjelaskan praktik terbaik untuk mengamankan penginstalan Google Distributed Cloud Anda.
Keamanan hardware fisik
Anda bertanggung jawab atas keamanan fisik hardware Distributed Cloud, seperti membatasi akses ke personel yang berwenang.
Faktor bentuk Distributed Cloud Rack memiliki fitur keamanan berikut:
- Akses ke hardware yang terpasang di rak hanya dapat dilakukan melalui pintu rak depan dan belakang.
- Rak tidak dapat dibongkar dengan mudah. Tidak ada pengencang struktural yang dapat diakses dari luar seperti sekrup, mur, kait, atau paku keling.
- Pintu rak dilengkapi dengan kunci. Google memberi Anda salinan kunci dan menyimpan salinannya untuk diamankan.
- Untuk penginstalan multi-rak, semua kunci rak memiliki kunci yang sama.
- Pintu rak memiliki jaring logam berlubang yang tahan terhadap upaya pembukaan paksa untuk ventilasi.
- Selama pemasangan, rak dikencangkan dengan aman ke lantai lokasi pemasangan menggunakan penyangga dan braket pengiriman.
Faktor bentuk Distributed Cloud Server memiliki fitur keamanan berikut:
- Sensor penyusupan. Jika pihak yang tidak berwenang membuka mesin secara fisik, Anda dan Google akan langsung diberi tahu tentang penyusupan fisik tersebut.
Jika ada pertanyaan lebih lanjut tentang keamanan rak fisik, hubungi tenaga penjual Anda. Google Cloud
Keamanan platform
Platform hardware Distributed Cloud memiliki fitur keamanan berikut:
Trusted Platform Module (TPM). TPM adalah root of trust yang membuat dan menyimpan kunci enkripsi untuk semua data yang disimpan, diterima, dan dikirimkan oleh Distributed Cloud.
Sertifikat platform. Sertifikat platform adalah catatan manufaktur dan identitas TPM yang aman secara kriptografis. Sertifikat ini berfungsi sebagai bukti integritas supply chain untuk hardware Distributed Cloud.
Penguncian port. Semua port eksternal dan internal selain port Ethernet, seperti port konsol USB dan RS-232, dinonaktifkan di tingkat firmware dan hanya diaktifkan untuk servis.
Keamanan penyimpanan lokal
Hardware Distributed Cloud dikirim dengan jenis penyimpanan internal berikut, bergantung pada faktor bentuknya:
- Distributed Cloud Racks dikirimkan dengan drive Solid State Disk (SSD).
- Distributed Cloud Servers dikirimkan dengan drive Disk Enkripsi Mandiri (SED).
Distributed Cloud menggunakan Linux Unified Key Setup (LUKS) untuk mengenkripsi volume logis di setiap node Distributed Cloud. Anda memiliki opsi untuk menggunakan kunci enkripsi yang dikelola pelanggan (CMEK) atau Google-owned and managed keys untuk mengenkripsi kunci enkripsi disk LUKS (DEK). Saat Anda menetapkan node ke node pool, node akan membuat LUKS DEK dan menggabungkannya dalam frasa sandi LUKS yang dikelola Google, yang juga dikenal sebagai kunci enkripsi kunci (KEK), atau yang disediakan oleh Anda melalui Cloud KMS. Anda dapat memilih apakah akan menggunakan Cloud KMS saat membuat node pool. Distributed Cloud terintegrasi dengan Cloud KMS menggunakan model enkripsi amplop.
Distributed Cloud secara otomatis mengganti frasa sandi LUKS dan SED sesuai jadwal rutin.
Selain itu, setiap mesin Distributed Cloud melakukan hal berikut pada setiap cold start:
Jika Anda tidak menggunakan Cloud KMS, mesin akan membuat KEK baru (frasa sandi LUKS) dan menyiapkan penyimpanan terenkripsi dari awal.
Jika Anda menggunakan Cloud KMS, mesin akan mengambil KEK dari Cloud KMS dan membuka kunci volume logis yang ada yang menyimpan data Anda.
Mengaktifkan dukungan untuk kunci enkripsi yang dikelola pelanggan (CMEK) untuk penyimpanan lokal
Untuk mengaktifkan integrasi Cloud KMS dengan Distributed Cloud, selesaikan langkah-langkah berikut:
Buat keyring, kunci simetris, dan satu atau beberapa versi kunci untuk digunakan dengan Distributed Cloud. Anda harus membuat artefak ini di region Google Cloud yang sama dengan penginstalan Distributed Cloud Anda. Untuk mengetahui petunjuknya, lihat Membuat kunci.
Berikan peran Pengenkripsi/Pendekripsi CryptoKey Cloud KMS (
roles/cloudkms.cryptoKeyEncrypterDecrypter) ke Akun Layanan Distributed Cloud di Google Cloud project Anda. Anda harus melakukannya untuk setiap versi kunci yang ingin digunakan dengan Distributed Cloud. Jika Anda mencabut peran ini setelah mengintegrasikan penginstalan Distributed Cloud dengan Cloud KMS, Anda akan kehilangan akses ke data yang disimpan di mesin Distributed Cloud.Buat node pool menggunakan flag
--local-disk-kms-key, dan berikan jalur lengkap ke versi kunci yang ingin Anda gunakan dengan node pool tersebut.Buat cluster menggunakan tanda
--control-plane-kms-key, dan berikan jalur lengkap ke versi kunci yang ingin Anda gunakan dengan node yang menjalankan bidang kontrol cluster.Secara opsional, gunakan flag
--offline-reboot-ttlsaat membuat cluster untuk menentukan jangka waktu saat node yang telah di-reboot dapat bergabung kembali ke cluster saat cluster berjalan di node survivabilitas. Jika Anda tidak menentukan periode ini, node yang di-reboot tidak dapat bergabung kembali ke cluster hingga keluar dari mode survivabilitas.PERHATIAN: Jika Anda menentukan periode waktu tunggu mulai ulang, node yang offline dapat dimulai ulang dan bergabung kembali ke cluster meskipun Anda menonaktifkan atau menghapus kunci penyimpanan untuk waktu yang ditentukan.
Untuk mengetahui informasi selengkapnya, lihat Kunci enkripsi yang dikelola pelanggan (CMEK) di dokumentasi Cloud KMS.
Pemulihan dan pencadangan data
Anda bertanggung jawab untuk mempertahankan fungsi cadangan redundan dari semua data yang Anda pilih untuk disimpan di hardware Distributed Cloud dan mengekspor data tersebut saat Anda memilih untuk mengembalikan hardware Distributed Cloud ke Google.
Semua data yang masih ada di hardware Distributed Cloud saat dikembalikan ke Google akan dihapus. Jika terjadi kegagalan hardware Distributed Cloud dan Google melakukan perbaikan di lokasi, semua media penyimpanan akan dikeluarkan dari mesin Distributed Cloud yang sedang diperbaiki dan akan diserahkan kepada Anda selama perbaikan atau dihapus secara aman, lalu dikirim untuk dihancurkan. Google membersihkan dan menghancurkan semua perangkat penyimpanan yang dikeluarkan dari hardware Distributed Cloud yang telah dikembalikan ke Google sebagai akibat dari reparasi atau penonaktifan dengan aman.
Keamanan jaringan
Traffic jaringan antara hardware Distributed Cloud dan Google Cloud dienkripsi menggunakan tunnel MASQUE atau TLS yang menggunakan sertifikat per mesin. Distributed Cloud otomatis merotasi sertifikat ini sesuai jadwal rutin.
Persyaratan bisnis dan kebijakan keamanan jaringan organisasi Anda menentukan langkah-langkah yang diperlukan untuk mengamankan traffic jaringan yang masuk dan keluar dari penginstalan Distributed Cloud Anda. Selain itu, kami merekomendasikan hal berikut:
Hanya mengizinkan koneksi masuk ke kumpulan alamat IP virtual yang diekspos oleh load balancer bawaan Distributed Cloud dan ke subnetwork Distributed Cloud.
Melarang koneksi masuk dari resource jaringan eksternal ke subnetwork yang melayani lapisan pengelolaan sistem dan pengelolaan layanan.
Melarang koneksi masuk dari resource jaringan eksternal ke alamat IP endpoint bidang kontrol lokal. Untuk mengetahui informasi selengkapnya, lihat Mode keandalan.
Untuk mengetahui informasi selengkapnya tentang cara menyiapkan jaringan lokal untuk menghubungkan hardware Distributed Cloud, lihat Jaringan.