בדף הזה מתוארות שיטות מומלצות לאבטחת ההתקנה של Google Distributed Cloud.
אבטחת חומרה פיזית
באחריותכם לאבטח פיזית את החומרה המחוברת של Distributed Cloud, למשל להגביל את הגישה לעובדים מורשים.
אבטחת פלטפורמה
פלטפורמת החומרה של Distributed Cloud במודל מחובר כוללת את תכונות האבטחה הבאות:
חיישן פיזי לפריצה. אם גורם לא מורשה יפתח את המכונה באופן פיזי, אתם ו-Google תקבלו הודעה מיידית על הפריצה הפיזית.
מודול פלטפורמה מהימן (TPM). מודול ה-TPM הוא שורש האמון שיוצר ומאחסן מפתחות הצפנה לכל הנתונים שמאוחסנים ב-Distributed Cloud Connected, וגם לנתונים שמתקבלים ממנו ומועברים אליו.
אישור פלטפורמה. אישור הפלטפורמה הוא רשומה מאובטחת מבחינה קריפטוגרפית של הזהות של TPM ושל תהליך הייצור. האישור משמש כהוכחה לתקינות שרשרת האספקה של חומרה שמחוברת ל-Distributed Cloud.
נעילת יציאות. כל היציאות החיצוניות והפנימיות מלבד יציאות אתרנט, כמו יציאות USB ויציאות קונסולה מסוג RS-232, מושבתות ברמת הקושחה ומופעלות רק לצורך תיקון.
אבטחה של אחסון מקומי
חומרה שמחוברת ל-Distributed Cloud נשלחת עם כונני דיסק בהצפנה עצמית (SED) ומשתמשת ב-Linux Unified Key Setup (LUKS) כדי להצפין את הכרכים הלוגיים בכל צומת שמחובר ל-Distributed Cloud. יש לכם אפשרות להשתמש במפתחות הצפנה בניהול הלקוח (CMEK) או לעטוף את המפתח להצפנת נתונים (DEK) של הצפנת הדיסק LUKS. Google-owned and managed keys
כשמקצים צומת למאגר צמתים, הצומת יוצר מפתח DEK של LUKS ועוטף אותו בביטוי סיסמה של LUKS בניהול Google, שנקרא גם מפתח להצפנת מפתחות הצפנה (KEK), או במפתח שאתם מספקים דרך Cloud KMS. אתם יכולים לבחור אם להשתמש ב-Cloud KMS כשיוצרים מאגר צמתים. Distributed Cloud connected משולב עם Cloud KMS באמצעות מודל הצפנת המעטפה.
Distributed Cloud connected מסובב אוטומטית את ביטויי הסיסמה של LUKS ו-SED לפי לוח זמנים קבוע.
בנוסף, כל מכונה שמחוברת ל-Distributed Cloud מבצעת את הפעולות הבאות בכל הפעלה במצב התחלתי (cold start):
אם אתם לא משתמשים ב-Cloud KMS, המכונה יוצרת KEK חדש (ביטוי סיסמה של LUKS) ומגדירה אחסון מוצפן מההתחלה.
אם אתם משתמשים ב-Cloud KMS, המכונה מאחזרת את מפתח הצפנת המפתחות מ-Cloud KMS ומבטלת את הנעילה של הכרכים הלוגיים הקיימים שמכילים את הנתונים שלכם.
הגדרת תמיכה במפתחות הצפנה בניהול הלקוח (CMEK) לאחסון מקומי
כברירת מחדל, תוכן של לקוחות מוצפן ב-Google Distributed Cloud במודל מחובר במצב מנוחה. Distributed Cloud connected מטפל בהצפנה בשבילכם בלי שתצטרכו לבצע פעולות נוספות. האפשרות הזו נקראת הצפנת ברירת המחדל של Google.
אם אתם רוצים לשלוט במפתחות ההצפנה, אתם יכולים להשתמש במפתחות הצפנה בניהול הלקוח (CMEK) ב-Cloud KMS עם שירותים משולבי CMEK, כולל Distributed Cloud connected. שימוש במפתחות Cloud KMS מאפשר לכם לשלוט ברמת ההגנה, במיקום, בלוח הזמנים של הרוטציה, בשימוש ובהרשאות הגישה, ובגבולות הקריפטוגרפיים. בנוסף, באמצעות Cloud KMS תוכלו לצפות ביומני ביקורת ולשלוט במחזורי החיים של המפתחות. במקום ש-Google תהיה הבעלים של מפתחות ההצפנה של המפתחות (KEK) הסימטריים שמגנים על הנתונים שלכם ותנהל אותם, אתם שולטים במפתחות האלה ומנהלים אותם ב-Cloud KMS.
אחרי שמגדירים את המשאבים עם CMEK, חוויית הגישה למשאבים המחוברים של Distributed Cloud דומה לשימוש בהצפנה שמוגדרת כברירת מחדל ב-Google. מידע נוסף על אפשרויות ההצפנה זמין במאמר מפתחות הצפנה בניהול הלקוח (CMEK).
כדי להפעיל את השילוב של Cloud KMS עם Distributed Cloud connected, צריך לבצע את השלבים הבאים:
יוצרים אוסף מפתחות, מפתח סימטרי וגרסה אחת או יותר של מפתח לשימוש עם Distributed Cloud connected. צריך ליצור את הארטיפקטים האלה באותו Google Cloud אזור שבו נמצאת ההתקנה המחוברת של Distributed Cloud. הוראות מפורטות מופיעות במאמר יצירת מפתח.
מקצים את התפקיד Cloud KMS CryptoKey Encrypter/Decrypter (
roles/cloudkms.cryptoKeyEncrypterDecrypter) לחשבון השירות המחובר ל-Distributed Cloud בפרויקטGoogle Cloud . צריך לעשות את זה לכל גרסת מפתח שרוצים להשתמש בה עם Distributed Cloud במודל מחובר. אם מבטלים את ההרשאה של התפקיד הזה אחרי שמשלבים את ההתקנה של Distributed Cloud Connected עם Cloud KMS, מאבדים את הגישה לנתונים שמאוחסנים במכונות של Distributed Cloud Connected.יוצרים מאגר צמתים באמצעות הדגל
--local-disk-kms-keyומספקים את הנתיב המלא לגרסת המפתח שרוצים להשתמש בה במאגר הצמתים הזה.יוצרים אשכול באמצעות הדגל
--control-plane-kms-keyומספקים את הנתיב המלא לגרסת המפתח שרוצים להשתמש בה עם הצומת שמריץ את מישור הבקרה של האשכול.אופציונלי: משתמשים בדגל
--offline-reboot-ttlכשיוצרים את האשכול כדי לציין חלון זמן שבמהלכו צמתים שהופעלו מחדש יכולים להצטרף מחדש לאשכול בזמן שהאשכול פועל בצומת שניתן לשחזור. אם לא מציינים את חלון הזמן הזה, הצמתים שהופעלו מחדש לא יכולים להצטרף מחדש לאשכול עד שהם יוצאים ממצב הישרדות.זהירות: אם מציינים חלון זמן קצוב להפעלה מחדש, צמתים שהועברו למצב אופליין יכולים להפעיל מחדש ולהצטרף מחדש לאשכול גם אם משביתים או מוחקים את מפתח האחסון למשך הזמן שצוין.
כדי להחזיר אשכול או מאגר צמתים לשימוש ב- Google-owned and Google-managed encryption key, משתמשים בדגל --use-google-managed-key כמו שמתואר באחת מהאפשרויות הבאות:
מידע נוסף זמין במאמר בנושא מפתחות הצפנה בניהול הלקוח (CMEK) במסמכי התיעוד של Cloud KMS.
אבטחה ב-Symcloud Storage
ב-Symcloud Storage הנתונים מוצפנים באופן אוטומטי באופן הבא:
- במצב מנוחה, כשהן מאוחסנות בכרכים של Symcloud Storage
- במהלך העברה, כשמעבירים בין צמתים של Symcloud Storage
שחזור וגיבוי נתונים
אתם אחראים לשמירה של גיבויים מיותרים תקינים של כל הנתונים שבחרתם לאחסן בחומרה שמחוברת ל-Distributed Cloud, ולייצא את הנתונים האלה כשאתם בוחרים להחזיר ל-Google או למשלב המערכות (SI) המוסמך על ידי Google שמכר לכם את החומרה.
אם מתרחשת תקלה בציוד שמחובר ל-Distributed Cloud ו-Google או שותף SI מוסמך של Google מבצע תיקונים באתר, כל אמצעי האחסון מוסרים מהמכונה שמחוברת ל-Distributed Cloud שמטופלת, והם מועברים לחזקתכם למשך התיקון או שנמחקים בצורה מאובטחת ואז נשלחים להשמדה.
אם רכשתם את הציוד של Distributed Cloud מ-SI שמוסמך על ידי Google ואתם כבר לא משתמשים ב-Distributed Cloud אבל בחרתם לשמור את הציוד ולשנות את הייעוד שלו, ה-SI ימחק את כל התוכנות של Google ואת הנתונים שלכם מהציוד של Distributed Cloud במהלך הוצאה משירות.
אבטחת רשת
תעבורת הנתונים ברשת בין חומרה שמחוברת ל-Distributed Cloud לבין Google Cloud מוצפנת באמצעות מנהרות MASQUE או TLS שמשתמשות באישורים לכל מכונה. Distributed Cloud מחובר ומבצע רוטציה אוטומטית של האישורים האלה לפי לוח זמנים קבוע.
הדרישות העסקיות שלכם ומדיניות אבטחת הרשת של הארגון קובעות את השלבים הנדרשים כדי לאבטח את תעבורת הרשת שנכנסת להתקנה המחוברת של Distributed Cloud ויוצאת ממנה. בנוסף, מומלץ:
ההרשאה מאפשרת רק חיבורים נכנסים למאגרי כתובות IP וירטואליות שנחשפים על ידי מאזן העומסים המובנה של Distributed Cloud במודל מחובר, ולרשתות משנה של Distributed Cloud.
איסור חיבורים נכנסים ממשאבי רשת חיצוניים לרשתות משנה שמשרתות את שכבות ניהול המערכת וניהול השירות.
איסור חיבורים נכנסים ממשאבי רשת חיצוניים לכתובות IP של נקודות קצה (endpoints) של מישור הבקרה המקומי. מידע נוסף זמין במאמר בנושא מצב הישרדות.
מידע נוסף על הכנת הרשת המקומית לחיבור של ציוד Distributed Cloud זמין במאמר בנושא רשתות.