Keamanan infrastruktur, jaringan, dan workload

Google Distributed Cloud (GDC) dengan air gap membantu melindungi rak hardware, sistem operasi host, batas multi-tenant, supply chain software, dan traffic jaringan yang di-deploy di fasilitas pusat data terakreditasi.

Keamanan fasilitas

Hardware GDC di-deploy di dalam fasilitas pusat data terakreditasi yang dikontrol oleh Anda atau operator fasilitas yang Anda tunjuk. Organisasi Anda dan operator infrastruktur bertanggung jawab untuk menerapkan kontrol akses fisik, perlindungan lingkungan, dan prosedur penanganan media untuk fasilitas yang menghosting rak GDC.

Kontrol keamanan fisik yang direkomendasikan mencakup hal berikut:

  • Kontrol akses perimeter dan rak: membatasi akses fisik ke pusat data dan rak GDC menggunakan pembaca badge, autentikasi biometrik, log pengawalan pengunjung, patroli petugas keamanan 24/7, dan pintu rak yang terkunci.
  • Pengawasan dan deteksi gangguan: memantau lorong rak dengan televisi sirkuit tertutup (CCTV) berkelanjutan dan alarm penyusupan fisik.
  • Isolasi daya, pendinginan, dan kabel: menyediakan pasokan daya redundan, pemantauan lingkungan, dan jalur kabel yang terlindungi yang memenuhi persyaratan peraturan dan akreditasi Anda (seperti ISO/IEC 27001 atau ICD 705).

Keamanan hardware

GDC berjalan di rak hardware modular yang telah terintegrasi sebelumnya, yang diproduksi dengan komponen commercial-off-the-shelf (COTS) dari produsen peralatan asli (OEM) yang telah diperiksa. Fasilitas regional bersertifikasi yang dikelola oleh personel yang telah diperiksa latar belakangnya mengintegrasikan rak hardware. Komponen hardware dan firmware berisiko tinggi juga menjalani peninjauan keamanan khusus terhadap ancaman supply chain dan gangguan fisik.

Kontrol keamanan hardware utama mencakup hal berikut:

  • Server komputasi: server bare-metal menggunakan root of trust hardware, trusted platform module (TPM 2.0), dan firmware baseboard management controller (BMC) yang ditandatangani untuk memverifikasi integritas hardware dan booting sebelum memuat sistem operasi.
  • Switch jaringan dan firewall perimeter: switch top-of-rack dan pengelolaan menerapkan kontrol akses tingkat port dan enkripsi MACsec. Firewall perimeter redundan menyediakan pemeriksaan stateful kecepatan baris dan pencegahan intrusi di batas zona.
  • Perangkat penyimpanan: perangkat penyimpanan blok, file, dan objek perusahaan menerapkan enkripsi AES-256 dalam penyimpanan dengan akselerasi hardware pada drive yang mengenkripsi sendiri (SED) dan isolasi tenant logis melalui virtual machine penyimpanan (SVM) khusus.
  • Modul keamanan hardware (HSM): peralatan HSM khusus yang terpasang ke jaringan (divalidasi FIPS 140-2 Level 3 dan FIPS 140-3) menghasilkan, menyimpan, dan melindungi kunci kriptografis root dalam hardware yang tahan terhadap modifikasi tidak sah.

Untuk informasi selengkapnya, lihat dokumentasi berikut:

Topik Dokumentasi dan panduan konfigurasi
Pengelolaan hardware dan HSM Mengontrol kunci HSM dan Mesin node cluster

Keamanan host dan node

Setiap host bare-metal dan node cluster Kubernetes di GDC menjalankan image sistem operasi yang diperkuat dan dikonfigurasi untuk meminimalkan permukaan serangan dan mencegah eskalasi hak istimewa yang tidak sah.

  • Sistem operasi yang telah melalui proses hardening STIG: node menjalankan Linux yang telah melalui proses hardening terhadap Security Technical Implementation Guides (STIG) Defense Information Systems Agency (DISA) dan tolok ukur Center for Internet Security (CIS). Paket, compiler, dan layanan jaringan yang tidak diperlukan akan dihapus dari image dasar.
  • Booting Aman UEFI: host bare-metal dan virtual machine (VM) pengguna mendukung Booting Aman UEFI untuk memverifikasi bahwa hanya bootloader dan image kernel yang ditandatangani secara kriptografis yang berjalan selama startup.
  • Kontrol akses wajib dan kernel: node menerapkan SELinux dalam mode penerapan, pemfilteran panggilan sistem seccomp, namespace Linux, dan batas resource cgroup untuk mengisolasi container dari kernel host yang mendasarinya.
  • Integritas host dan perlindungan endpoint: pemantauan integritas file (FIM) memeriksa file sistem penting untuk mendeteksi perubahan yang tidak sah, dan kontrol deteksi dan respons endpoint (EDR) serta anti-malware memantau eksekusi proses dan telemetri host.

Untuk informasi selengkapnya, lihat dokumentasi berikut:

Topik Dokumentasi dan panduan konfigurasi
Isolasi dan tolok ukur node Ringkasan isolasi node dan Tolok Ukur Kubernetes CIS
Booting Aman VM dan pengelolaan OS Melakukan booting VM dengan aman dan Mengelola paket OS

Tenancy

GDC menyediakan multi-tenancy hierarkis dengan isolasi fisik dan jaringan yang ketat antar-organisasi serta isolasi namespace logis antar-project dalam organisasi.

Isolasi logis di seluruh organisasi, cluster, dan project

Diagram berikut menunjukkan cara cluster root-admin, cluster infrastruktur organisasi, dan cluster workload diisolasi di seluruh batas pengelolaan dan tenant:

Diagram cluster root-admin GDC, cluster infrastruktur organisasi, dan cluster workload.

  • Cluster root-admin: dikhususkan untuk melakukan bootstrap organisasi, mengelola inventaris hardware, serta menjalankan layanan keamanan dan kemampuan observasi infrastruktur.
  • Organisasi: batas tenant tingkat teratas. Setiap organisasi memiliki cluster infrastruktur organisasi khusus, konfigurasi penyedia identitas, hierarki Key Management System (KMS), serta instance virtual routing and forwarding (VRF) sendiri.
  • Cluster Kubernetes: Anda dapat menyediakan cluster bersama dengan cakupan organisasi (yang menghosting beberapa project) atau cluster standar dengan cakupan project (khusus untuk satu project guna pemisahan workload yang lebih kuat).
  • Project: unit tenancy logis dalam organisasi tempat Anda men-deploy VM, container, database, dan resource penyimpanan. Project menerapkan kesamaan namespace Kubernetes, batas role-based access control (RBAC), dan kebijakan jaringan project di seluruh cluster.

Isolasi fisik dan VRF di seluruh rak

Di seluruh rak 42U fisik, GDC mengisolasi organisasi ke server komputasi, virtual machine penyimpanan (SVM), dan VRF jaringan yang terpisah, sehingga tidak ada server komputasi fisik yang digunakan bersama antarorganisasi:

Diagram yang menunjukkan komputasi fisik, peralatan penyimpanan, dan isolasi VRF di seluruh rak GDC.

Untuk informasi selengkapnya, lihat dokumentasi berikut:

Topik Dokumentasi dan panduan konfigurasi
Hierarki resource dan project Hierarki resource dan Mengelola project
Cluster Kubernetes Cluster Kubernetes di GDC dan Konfigurasi cluster
Desain batas dan workload Mendesain batas akses dan Mendesain pemisahan workload

Keamanan aplikasi

GDC mengamankan software platform yang dikirimkan melalui air gap dan aplikasi pelanggan yang di-deploy di dalam organisasi Anda.

Validasi supply chain software dan SLSA

Semua komponen platform GDC, layanan pihak pertama, dan layanan pihak ketiga terkelola dibangun di lingkungan build yang terisolasi dan hermetis, serta dipindai untuk menemukan kerentanan. Artefak ditandatangani di sisi yang terhubung ("sisi rendah") sesuai dengan persyaratan Supply-chain Levels for Software Artifacts (SLSA) sebelum ditransfer melalui air gap ("sisi tinggi").

Setiap rilis menyertakan software bill of materials (SBOM) yang menjelaskan komponen, dependensi, dan library software, serta artefak yang diverifikasi menggunakan tanda tangan kriptografis dan checksum SHA-256 sebelum deployment.

Artifact Registry dan penegakan kebijakan

GDC menerapkan kontrol image container dan kebijakan sebelum deployment:

  • Artifact Registry lokal (Harbor): image container dan chart Helm disimpan di registry Harbor lokal di dalam lingkungan air-gapped, yang mendukung penandatanganan image dan pemindaian kerentanan tanpa akses internet eksternal.
  • Kontrol penerimaan dan kebijakan organisasi: Open Policy Agent (OPA) Gatekeeper menerapkan kebijakan organisasi pada cluster Kubernetes, sehingga mencegah pod berjalan dengan eskalasi hak istimewa, akses jaringan host, atau image container yang tidak tepercaya.

Untuk informasi selengkapnya, lihat dokumentasi berikut:

Topik Dokumentasi dan panduan konfigurasi
Kebijakan dan artifact registry Mengonfigurasi kebijakan organisasi dan Membuat dan mengelola resource Harbor
Workload dan layanan Workload container di GDC dan Men-deploy layanan Marketplace

Keamanan jaringan

GDC menerapkan segmentasi jaringan berlapis-lapis mulai dari port switch fisik hingga kebijakan mesh layanan Lapisan 7.

Segmentasi VRF dan VXLAN bidang data

Fabric bidang data menggunakan Multiprotocol BGP (MP-BGP) Ethernet VPN (EVPN) dengan enkapsulasi Virtual Extensible LAN (VXLAN) untuk mengisolasi traffic antara cluster root-admin dan setiap organisasi tenant.

  • Jaringan pengelolaan out-of-band (OOB): antarmuka pengelolaan hardware beroperasi di jaringan pengelolaan yang terpisah secara fisik, terisolasi dari traffic tenant, dan hanya dapat diakses dari cluster root-admin.
  • Isolasi VRF dan VXLAN: setiap organisasi diberi Virtual Network Identifier (VNI) Lapisan 3 khusus, VRF eksternal dan internal, serta virtual machine penyimpanan (SVM) yang terisolasi sehingga traffic tenant tidak dapat melintasi batas organisasi tanpa traversal firewall eksplisit.
  • Firewall generasi berikutnya, IDPS, dan perlindungan denial of service (DoS): firewall perimeter serta sistem deteksi dan pencegahan penyusupan (IDPS) menerapkan postur penolakan default, memeriksa traffic masuk dan keluar terhadap signature ancaman, dan bekerja dengan load balancer untuk membatasi flood sesi. Log firewall dan IDPS terintegrasi dengan stack kemampuan observasi organisasi dan pemantauan keamanan infrastruktur.
  • Project dan kebijakan jaringan Kubernetes: dalam organisasi, Anda dapat menerapkan mikrosegmentasi default-deny antara project dan pod menggunakan resource NetworkPolicy Kubernetes yang didukung Cilium, ProjectNetworkPolicy, dan OrganizationNetworkPolicy.

Untuk informasi selengkapnya, lihat dokumentasi berikut:

Topik Dokumentasi dan panduan konfigurasi
Perimeter dan pencegahan ancaman Ringkasan jaringan, Pencegahan ancaman permintaan, dan Kontrol egress
Kebijakan jaringan dan log alur Kebijakan jaringan organisasi, Kebijakan jaringan project, Mengonfigurasi kebijakan jaringan Kubernetes, dan Mengelola log alur
Konektivitas eksternal Mengonfigurasi VPN GDC dan Membuat konektivitas dengan interkoneksi