本文档简要介绍了在 Google Distributed Cloud (GDC) 网闸隔离配置中维护安全性的核心概念、层和运营角色。GDC 专为高度安全、断开连接的环境而设计，并符合严格的数据主权要求。
本文档适用于基础架构运营商群组、平台管理员群组和应用运营商群组中负责管理组织安全的受众群体。如需了解详情，请参阅适用于 GDC 网闸隔离配置文档的受众群体。
本文档可帮助您了解以下类别的关键安全属性：
安全策略
GDC 采用安全优先的方法，通过多层安全机制提供最大程度的控制，确保符合法定法规，并保护机密数据。它旨在本地数据中心的专用安全硬件上运行，以提供严格的租户隔离。
GDC 提供的安全层包括硬件安全、主机和节点安全、应用安全保障、网络安全、加密、Identity and Access Management (IAM)、安全和可靠性运营、合规性和安全产品。
GDC 采用共享安全模式，可保护整个应用栈。GDC 提供基础设施即服务 (IaaS)、平台即服务 (PaaS) 和软件即服务 (SaaS)。在 GDC 的所有配置中，Google 和运营商负责保护基础设施的各层。客户负责保护项目设置和应用层，包括应用容器、基础映像和依赖项。
从安全角度来看，以下受众群体组负责 GDC 的运维：
基础设施运维人员群组：管理系统基础设施的日常运维，无权访问客户数据。此角色是最高级别的系统管理员，可以是 Google、签约第三方或客户本身，取决于主权限制的性质。
平台管理员群组：管理项目资源和权限的客户角色。这是授予该客户的最高级别管理员权限，也是唯一一个可以授予客户数据的访问权限的管理级别。
应用运维人员群组：开发要部署和执行的应用，并在 GDC 上配置精细资源和权限。此角色在平台管理员 (PA) 制定的政策范围内工作，确保其系统符合客户的安全及合规性要求。
如需了解详情，请参阅文档受众群体。
设施安全
您可以在客户指定的经过网闸隔离的数据中心内部署 GDC。具体位置的物理安全措施会因个别客户的要求而异。为了遵守当地法规，数据中心可能需要获得认证，例如 ISO 27001。数据中心必须采取多项安全措施，例如：安全的外围防御系统，用于防止未经授权访问数据中心；全面的摄像头覆盖，用于监控数据中心内的所有活动；物理身份验证，用于确保只有授权人员才能访问数据中心；警卫人员，用于全天候巡逻数据中心并应对任何安全事件；严格的访问和安全政策，用于规范人员访问和使用数据中心的方式。这些安全措施是重要的初始保护层，可保护数据中心内存储的数据免遭未经授权的访问、使用、披露、中断、修改或销毁。
硬件安全
Google 制定了严格的流程来确保其硬件的安全。所有 GDC 硬件均由经过审核和认证的合作伙伴采购和组装，以满足客户特定的主权和供应链要求。该硬件经过测试和批准，符合 Google 严格的内部标准，并满足大多数注重安全的客户的需求。GDC 硬件中的所有子组件均来自经过审查且可靠的受信任供应商。硬件集成到 GDC 机架的工作在区域认证中心完成，这些中心是 Google 批准的处理敏感硬件的设施。所有处理 GDC 硬件的人员都经过背景调查，这可确保只有获得授权的人员才能访问硬件。此外，特定高风险硬件和固件组件的实际实现由专门的团队进行安全审核。这些审核会考虑以下威胁：供应链攻击、物理攻击以及针对硬件和固件组件的本地执行攻击，包括持续性威胁。这些审核可积累知识，直接为我们的硬件安全要求提供信息，包括安全固件和固件更新、固件完整性、安全启动、安全管理和维护。Google 与使用该硬件的所有供应商和团队保持密切关系，以确保提供顶级安全功能。这意味着 Google 会不断与合作伙伴合作，确保硬件尽可能安全。Google 通过改进硬件和安全要求、执行交互式安全审核以及与产品团队合作实施专为 GDC 构建的新安全功能，不仅与实际硬件和固件深度集成，还与其他产品功能深度集成，从而提高标准。
主机和节点安全
GDC 可确保默认情况下只能将我们自定义打包的安全节点操作系统 (OS) 加载到系统上。安全强化型映像和配置可大幅减少攻击面。保护静态数据和传输中数据的加密模块已通过 FIPS 140-2/3 验证，这意味着它们已经过严格的安全测试，并由独立的、经过认证的实验室进行了审核。GDC 为裸金属节点上运行的操作系统提供反恶意软件，并提供扫描存储系统的解决方案。Google 会为这些扫描器打包更新，这些更新包含在 IO 使用 GDC 升级流程应用的常规系统更新中。检测提醒会发送到 IO。GDC 还提供完整性监控和违规检测工具，以保护系统免受意外更改的影响。总体而言，这些安全措施有助于保护系统免受各种攻击。这些安全措施使攻击者难以访问系统、利用漏洞和安装恶意软件。
租用
GDC 是一个多租户代管式云平台，类似于Google Cloud Platform。该架构旨在实现租户之间的强隔离，在云用户之间提供强大的保护层，并允许用户满足严格的工作负载认证标准。GDC 提供两个层级的租户隔离。第一层称为“组织”，提供强大的物理计算隔离；第二层称为“项目”，通过逻辑隔离提供更精细的资源分配选项。
组织之间不共享任何物理计算服务器，并且操作员层也维护租户。IO 不允许访问 PA 层。同样，AO 也无法访问 PA 层。
应用安全保障
为了防范软件供应链攻击，所有 GDC 软件都是根据软件制品的供应链等级 (SLSA) 开发的，SLSA 是 Google 与 CNCF 和 Linux 基金会等组织合作开发的供应链安全框架。
SLSA 是一份标准和控制措施清单，旨在防止篡改、提高完整性并保护软件供应链中的软件包。此核对清单旨在防止攻击源代码库、构建系统和第三方依赖项软件包的漏洞利用。
所有 GDC 源代码和依赖项都存储在 Google 版本控制系统中，该系统在安全的 Google 数据中心内进行隔离和加密。所有代码都具有经过验证的历史记录，并且需要第二个人审核代码更改，然后这些更改才能被版本控制系统接受。
build 是使用 Google 发布编排系统交付的，该系统利用Google Cloud Build 和 Google 自动化测试工具，可实现容器映像和二进制文件的全自动构建、测试和发布。所有 build 都是隔离、封闭的，并使用 build-as-code 原则进行定义，并且在软件交付过程中，任何个人都无法单方面访问。
所有映像都会使用多个应用安全扫描程序进行漏洞扫描，并使用加密签名和 SHA256 校验和的组合在多个点进行验证。每个版本都包含一份软件物料清单 (SBOM)，其中包含有关软件组件、依赖项和库以及所交付数据的详细信息。
网络安全
本部分简要介绍了 GDC 网络安全。
物理网络
虽然 GDC 旨在用于断开连接的环境，但实际上，GDC 系统可能会连接到更广泛的受保护环境，该环境通过客户的内部专用网络连接，同时仍与公共互联网断开连接。
客户专用网络与 GDC 系统之间的所有网络流量都会通过防火墙和入侵检测与防御 (IDS/IPS) 系统。防火墙提供第一道防线，用于控制对系统的访问。防火墙和 IDS/IPS 根据可配置的安全政策控制入站和出站流量，并使用机器学习自动分析流量并阻止未经授权的进入。默认情况下，IDS/IPS 系统会检查基础设施的所有入站和出站通信。PA 还可以使用 IDS/IPS 系统进行自己的工作负载流量检查。防火墙和 IDS/IPS 还与组织的可观测性堆栈（用于客户工作负载）和 IO 的 SIEM 堆栈（用于基础架构）集成，以实现额外的安全分析和取证。
防火墙会强制执行默认拒绝规则作为初始安全状况，以防止意外访问和数据泄露。IO 和 PA 具有根据需要定义进一步访问规则的方法。在 GDC 内部，有两个物理上独立的网络，用于将管理和控制功能与客户工作负载数据隔离开来。
带外管理 (OOB) 网络仅用于管理功能，例如网络设备、存储设备和其他硬件组件的配置更改。只有 IO 有权访问 OOB 网络，并且他们只有在特殊情况下才拥有此访问权限。网络 ACL 的配置方式是，只有 IO 控制的 root-admin 集群中的服务器才能访问此网络。数据平面网络将工作负载服务器连接在一起，可供 PA 和 AO 访问。
软件定义网络
数据平面网络是基于虚拟路由和转发 (VRF) 的叠加网络，用于租户流量隔离。每个租户组织都有一个外部和内部 VRF 网络。面向外部的服务（例如外部负载均衡器和出站 NAT）将位于外部网域中。客户工作负载位于内部 VRF 中。
内部网络用于租户内的通信，例如节点之间的工作负载流量，以及流向组织内文件和块存储的流量。外部网络用于在组织外部进行通信。用于访问权限控制功能的租户管理流量或用于访问项目的客户流量需要通过外部网络。每个客户工作负载都有负载均衡器和 NAT 网关，用于配置入站和出站流量。
虚拟网络
GDC Virtual 虚拟网络是基于叠加网络构建的组织级网络层。它由 GDC 代管式容器网络接口 (CNI) 驱动程序（Anthos 网络数据平面）提供支持。
GDC 中的虚拟网络层在组织内提供软隔离，称为“项目”。此层提供以下网络安全功能：
- 项目网络政策：用于项目边界保护。
- 组织网络政策：用于组织边界保护。
项目网络和组织网络政策具有默认拒绝配置，作为防止意外访问和数据泄露的起点。
拒绝服务攻击保护
进入 GDC 的所有流量都会通过 IDS/IPS 和一组负载均衡器。IDS/IPS 会检测并丢弃未经授权的流量，并保护资源免受会话泛洪攻击。负载均衡器可以适当限制流量，以避免服务中断。由于任何外部连接都是通过客户的专用网络处理的，因此客户可以针对分布式攻击提供额外的拒绝服务保护层。
加密
本部分简要介绍了 GDC 加密。
PKI
GDC 提供公钥基础架构 (PKI)，用于为基础设施服务集中管理 X.509 CA。默认情况下，GDC 具有按安装的私有根 CA，以及从中分发的中间 CA 和叶 CA。除此之外，GDC 还支持在面向客户的端点安装客户颁发的证书，从而提高使用证书的灵活性。GDC 会集中协调受信任证书存储区的分发，从而使工作负载和系统服务能够更轻松地对应用流量进行身份验证和加密。总体而言，GDC 提供了一个强大的 PKI 解决方案，可保护各种基础设施服务，从而实现便捷但严格控制的信任管理。
密钥管理服务
GDC 提供由硬件安全模块 (HSM) 支持的密钥管理服务 (KMS)。KMS 是一项第一方服务。密钥材料保留在 KMS 中，而 KMS 又由 HSM 提供支持。自定义资源定义 (CRD) 包含加密密钥材料。只有 KMS 有权访问内存中的原始密钥材料。每个组织有一个 KMS。默认情况下，所有静态数据都会使用 HSM 支持的密钥进行加密。客户还可以选择管理自己的加密密钥。KMS 支持 FIPS 批准的算法和 FIPS 验证的模块。KMS 支持以安全的方式导入和导出密钥，以用于密钥托管、删除或灾难恢复用例。这些功能使 KMS 成为一种安全可靠的加密密钥管理方式。
GDC 还提供客户管理的加密密钥 (CMEK)。借助 CMEK，客户可以控制用于保护其在 GDC 中的静态数据的密钥。采用 CMEK 的主要动机之一是加密擦除，这是一种高保障的数据销毁方法，用于数据溢出修复和数据卸载。密钥可以与其保护的数据分开删除。组织中的所有数据都受一组 CMEK 保护，平台运维人员可以根据需要监控、审核和删除这些 CMEK。CMEK 密钥是您可以使用 HSM API 管理的加密密钥。CMEK 可用于加密块存储、虚拟机磁盘、数据库服务和用户容器工作负载的数据。
加密
本部分简要介绍了 GDC 加密。
静态数据
存储在文件、块和对象存储中的所有 GDC 数据均使用多级加密进行静态加密。在多租户环境中，每个租户的数据都会使用租户专用密钥进行加密，然后再写入文件、块和对象存储区：
- 块存储（应用卷、虚拟机磁盘、数据库存储）在三个级别进行加密：
- 软件层：在租户专用计算硬件中执行的 Linux 统一密钥设置 (LUKS) 加密，使用由客户管理的每个卷的 HSM 支持的密钥。
- 设备层：在存储设备中执行的卷聚合级加密 (NVE/NAE) 加密，使用由客户管理的每个租户的 HSM 支持的密钥。
- 磁盘层：自加密驱动器 (SED)，每个驱动器都有由 IO 管理的 HSM 支持的密钥。
- 对象存储在两个层级进行加密
- 存储桶层：在租户专用计算硬件中协调对象数据加密，使用由客户管理的每个存储桶的 HSM 支持的密钥。
- 磁盘层：具有每个驱动器、受 HSM 支持的密钥的 SED，由 IO 管理。
- 服务器磁盘存储空间（单个租户的系统配置数据）在一层进行加密：
- 磁盘层：SED 具有由客户管理的每个驱动器、由 HSM 支持的密钥。
传输中的数据
默认情况下，所有 GDC 流量都会使用 FIPS 140-2 认证的加密模块和业界标准协议（例如 TLS 1.2+、HTTPS 和 IPSec 隧道）进行加密。根据责任共担模型，客户还应在应用层使用加密算法，以确保在 GDC 之上部署的所有应用都满足加密要求。
Identity and Access Management (IAM)
对系统的访问权限基于最小权限原则。用户只能访问他们需要的资源。此流程可保护系统免遭未经授权的访问和滥用。此外，系统还会强制执行职责分离，例如禁止单方面访问。任何人都无法完全控制任何一个系统或流程。此流程有助于防止欺诈和错误。GDC 可以与客户现有的身份提供方集成。该系统支持 SAML 2.0 和 OIDC，可实现 IDP 联合。 借助此支持，用户可以使用其现有身份提供方对系统中的用户进行身份验证，从而在一个位置管理用户。所有用户和工作负载在访问系统之前都必须经过身份验证。RBAC 和 ABAC 用于为所有控制平面和数据访问授权。只有经过身份验证和授权的用户才能访问资源并执行操作。 所有访问都会记录在审核日志中，以便管理员跟踪谁在何时访问了资源。此流程有助于识别未经授权的访问和滥用行为。
安全运维
GDC 安全运维 (SecOps) 为具有严格安全、合规和主权要求的实体提供信息保障，以最大限度地提高受监管客户经过网闸隔离的工作负载的运营机密性、完整性和可用性。此安全架构旨在实现以下目标：
- 关联 GDC 平台日志记录，以进行安全分析和响应。
- 及时识别、报告和跟踪安全漏洞。
- 通过端点检测和响应 (EDR) 保护所有 OIC 和 GDC 资产。
- 提供工具、流程和运行手册，使 SecOps 运营中心能够持续监控，以便识别、遏制、消除网络安全突发事件并从中恢复。
| 功能 | 说明 |
|---|---|
| 安全信息和事件管理 | Elastic Security 是一个安全信息和事件管理 (SIEM) 平台，可收集、索引和分析来自各种来源的安全数据，以帮助组织检测和响应威胁。 |
| 漏洞管理 | Tenable Security Center 是一个漏洞管理平台，可帮助组织识别和修复安全漏洞。 |
| 端点检测和响应 | Elastic Security、Windows Defender 和 ClamAV。统一的安全平台，可为组织提供其安全状况的全面视图，以便更有效地检测和应对威胁。 |
| 安全案例管理 | 一种软件解决方案，可让组织管理安全事件生命周期。 |
GDC SecOps 使 IO 能够提供安全运维功能。GDC SecOps 团队提供由人员驱动的流程，包括突发事件响应、漏洞管理、安全工程和供应链风险管理。GDC SecOps 可让安全运维中心 (SOC) 实现以下目标：
| 能力 | 说明 |
|---|---|
| 检测 | 我们的安全基础设施会持续监控潜在威胁和漏洞。检测到威胁或漏洞后，安全运维团队会立即收到报告。 |
| 分类 | 安全运维团队会对每起突发事件进行分类，以确定威胁的严重程度和适当的响应措施。 |
| contain 属性 | 安全运维团队采取措施来控制威胁并防止其扩散。 |
| 调查 | 安全运维团队会调查突发事件，以确定根本原因并找出安全状况中的任何薄弱环节。 |
| 响应 | 安全运维团队采取措施来应对突发事件，并减轻已造成的任何损害。 |
| 恢复 | 安全运维团队会采取措施，从突发事件中恢复，并将我们的系统和网络恢复到正常状态。 |
漏洞管理
GDC 在发布前会在测试环境中运行多个漏洞识别流程，以便及时发现任何潜在的常见漏洞和风险 (CVE)。GDC 还在生产环境中提供漏洞扫描功能，用于日常监控和报告。生产环境中的所有发现结果都会集成到安全运维流程中，以便跟踪和缓解威胁搜寻目的。
安全突发事件响应
如果在部署到 GDC 的代码中发现漏洞，或者系统内发生突发事件，IO 和 GDC 安全团队会执行一组突发事件响应流程，以缓解漏洞、创建和应用安全补丁，并与受影响方沟通。此突发事件管理流程与 Google 的标准突发事件管理流程类似，但针对 GDC 的断开连接性质进行了修改。
对于发现的每个 CVE 或突发事件，系统都会分配一名突发事件指挥官 (IC) 来运行响应流程。IC 负责管理该流程，包括验证和确认突发事件、为漏洞分配通用漏洞评分系统 (CVSS) 评分、管理创建补丁并准备交付的流程，以及创建适当的通信。
可靠性运维
本部分简要介绍了 GDC 可靠性操作。
记录和监控
GDC 附带一个可观测性平台，可为 GDC 平台、服务和工作负载提供监控、日志记录、跟踪和报告功能。
日志记录子系统会将所有核心 GDC 平台和服务以及客户工作负载中的日志提取并汇总到时序数据库中，并通过交互式界面 (UI) 和 API 提供这些数据。
关键审核日志事件包括以下方面：
- 用户身份验证和授权请求。
- 生成和撤消身份验证令牌。
- 所有管理员权限和更改。
- 所有控制平面 API 操作。
- 所有安全性事件，包括 IDS、IPS、防火墙、杀毒软件。
紧急访问权限
IO 无法访问客户数据。不过，在紧急情况下，IO 可能需要访问客户数据。在这些情况下，GDC 具有一组紧急访问程序，PA 可使用这些程序明确授予 IO 访问权限以进行问题排查。
所有紧急访问凭据都会离线存储在保险箱中，或使用根植于 HSM 的密钥进行加密。对这些凭证的访问是可审核的事件，可以触发提醒。
例如，如果 IAM 配置已损坏并阻止用户访问，则 IO 会通过安全工作站使用基于 SSH 证书的身份验证，并且需要多方批准才能建立访问权限。所有操作都会被跟踪并可供审核。SSH 密钥会在紧急访问事件后发生变化。
灾难恢复
GDC 附带一个备份系统，可让 PA 为集群、命名空间或虚拟机创建和管理备份政策。备份系统包含用于安排、运行备份、恢复数据和报告的典型系统。
升级并更新系统
由于 GDC 是一个经过网闸隔离的环境，因此基础架构运维人员会处理客户系统的所有更新。Google 会在安全位置对二进制文件更新进行签名和发布，以供 IO 下载。IO 会验证二进制文件，并将其移至 GDC 进行分发和部署。
此系统包括所有软件和固件更新，包括 GDC 软件、节点级操作系统、防病毒和恶意软件定义和签名、存储和网络设备、设备更新以及任何其他二进制文件更新。
变更管理 - 基础设施即代码
GDC 使用基础设施即代码 (IAC) 自动预配和部署 GDC 配置。IAC 明确了基础架构运维团队内部的职责分工。 例如，提出配置更改与授权更改，以使整个过程更加安全。借助 GDC IAC，所有配置更改都会通过多方审核和审批流程进行验证，以确保仅部署已获授权的配置。这些审核可创建透明且可审核的流程，提高更改的一致性，并减少配置偏移。
合规流程
GDC 已做好准备，可满足 NIST 800-53、SOC 2 等常见合规制度的要求，并可帮助您获得 FIPS 140-2 和 3 等认证。 GDC 还会通过各种认证流程，并符合 Google 级安全标准。合规是一个持续的过程。 为了帮助客户和运营商完成这一过程，GDC 提供了持续监控和测试。作为持续监控流程的安全实践的一部分，GDC 会跟踪资产清单变更，例如未知软件和硬件，或添加新软件或硬件。GDC 通过模拟恶意方的攻击来执行常规渗透测试。GDC 会定期扫描系统，查找恶意软件，并在发现任何感染时向 GDC 发出提醒。灾难恢复测试流程会测试 GDC 从涉及灾难的情况中恢复的能力。这些流程可确保 GDC 数据和系统安全。
安全技术实施指南 (STIG) 合规性
根据 STIG 规则 RHEL-08-040320，xorg-x11-server-common 软件包是 NVIDIA GPU 驱动程序和硬件加速库（例如 Vulkan 和 Mesa）所需的已获批准的系统依赖项。图形显示管理器服务在节点操作系统映像上处于停用和非活跃状态。