בדף הזה מובאת סקירה כללית על פתרון Bare Metal HSM.
סקירה כללית
Bare Metal HSM הוא שירות של תשתית כשירות (IaaS) שמאפשר לפרוס מודולים לאבטחת חומרה (HSM) בבעלות הלקוח לצד עומסי העבודה שלכם ב-Google Cloud . מודולי ה-HSM שלכם נפרסים במתקנים שעומדים בדרישות התאימות לתקן PCI, כדי לעמוד בדרישות האבטחה, התאימות והשיהוי הנמוך שלכם.
כדי לתמוך בהעברת עומסי העבודה שלכם לענן, Google מארחת את מודולי ה-HSM שלכם ומספקת אבטחה פיזית ואבטחת רשת, מקום במתקן ובמדף, חשמל ושילוב רשת בתשלום חודשי.
Bare Metal HSM מאפשר לכם להתקשר ישירות עם Google כדי למקם את ה-HSM שלכם. מודולי HSM ממוקמים במתקני שרתים משותפים שצוינו ומחוברים ל-Google Cloud.
פתרון Bare Metal HSM נתמך במתקני שרתים משותפים עם רשתות פעילות של שירותי peering. המתקנים האלה עומדים בתקנים של Google לאבטחת מרכזי נתונים, ואף עולים עליהם, ומספקים שירות עם זמינות גבוהה וזמן אחזור נמוך.
השוואה עם Bare Metal Rack HSM
גם Bare Metal Rack HSM וגם Bare Metal HSM מאפשרים לכם לארח את ה-HSM שלכם במתקנים של Google Cloud . ההבדל העיקרי בין פתרונות Bare Metal Rack HSM לבין Bare Metal HSM הוא קנה המידה. בטבלה הבאה מפורטים ההבדלים העיקריים בין הפתרונות האלה:
| Bare Metal HSM | Bare Metal Rack HSM |
|---|---|
| Google מארחת את מודולי ה-HSM שלכם לכל מכשיר. | Google מארחת את מודולי ה-HSM שלכם על בסיס כל מתלה. |
| יש לכם גישה לוגית ל-HSM אבל אין לכם גישה פיזית. | יש לכם גישה לוגית ל-HSM ואתם יכולים לתזמן גישה פיזית מלווה. |
| מיועד לפריסות קטנות של 10-15 HSM | מיועד לפריסות גדולות ברמת המתלה של 100 או יותר HSMs |
אם אתם לא בטוחים איזה מהפתרונות האלה מתאים לצרכים שלכם, אתם יכולים לפנות לנציג החשבון שלכם.
מודל תפעולי
- תהליך ההצטרפות
- חוזה: מינימום 12 חודשים. נדרשת תמיכת פרימיום.
- רכש והגדרה: הארגון שלכם רוכש, מגדיר ושולח מודולי HSM ל-Google.
- התקנה וחיבור: Google פורסת את מודולי ה-HSM ומגדירה את החיבור Partner Interconnect.
- אימות והעברה: מאשרים את הפתרון ההנדסי ואת הגישה ל-HSM, בודקים את הפתרון ומאשרים אותו.
- מודל התמיכה
- Google מספקת תמיכה בנושאים הבאים: התקנה של שרתים בארון תקשורת, אירוח, תמיכה טכנית באתר הלקוח, תאימות וחיבור Partner Interconnect.
- כדי לקבל תמיכה בתוכנה, ברישוי, בכלים ובפתרון בעיות של HSM, צריך לפנות לספק ה-HSM.
- תהליך ההוצאה משימוש
- אתם שולחים בקשה להוצאה משימוש.
- צריך למחוק את כל הנתונים ולאתחל את כל ה-HSM להגדרות ברירת המחדל של היצרן.
דרישות התאימות
השירות הזה מוגבל ל-HSM עם אישור FIPS 140-2 ברמה 3 או ברמה גבוהה יותר, והוא לא שירות אירוח או שירות colocation כללי. פתרון ה-HSM של Bare Metal מתארח במתקנים שעומדים באופן מלא בדרישות של PCI-DSS, PCI-3DS ו-SOC 1, SOC 2 ו-SOC 3. Google תתמוך ב-AOC שלכם לצורך תאימות ל-PCI-PIN, ל-PCI-P2PE ול-SOC בכל האזורים.
הפרדת תחומי אחריות
באחריותכם להשיג ולספק מודולי HSM ולשלוח אותם לאזורים המתאימים Google Cloud . אתם בוחרים את ה-HSM שבו אתם רוצים להשתמש, אבל הוא צריך לעמוד בדרישות לגבי ציוד HSM.
Google מגדירה מראש את המתלים, את המתגים בחלק העליון של המתלים ואת הקישוריות. המתגים מגיעים מספקים שונים לכל זוג מתלים. בפתרון Bare Metal HSM, יש לכם מתלים ומתגים ייעודיים משלכם. Google מספקת שירות להרכבת מודולי HSM ועובדת איתכם כדי לאמת את החיבור של Partner Interconnect. לכל מתלה יש ספקי כוח מיותרים.
גישה ל-Bare Metal HSM
יש לכם גישה לניהול לוגי של מודולי ה-HSM, ואתם אחראים לתחזוקה ולניהול שלהם. השליטה המלאה ב-HSM נשארת בידיים שלכם.
ל-Google אין גישה לוגית ל-HSM, אבל היא מספקת ותחזקת את המתלים, המיתוג והחיבור. ל-Google אין גישה לנתונים או למפתחות ב-HSM שלכם.
צריך לפרוס HSM עם יכולת ניהול מרחוק מלאה. אין לכם גישה פיזית למודולי ה-HSM בזמן שהם נמצאים במתקן האירוח.
Google מספקת שירות של תמיכה מרחוק. אסור ללקוחות לבקר במתקן. האחריות לעמידה בדרישות התאימות והביקורת חלה עליך.
בסוף החוזה או בסוף חיי ה-HSM, שולחים בקשה להוצאת ה-HSM משימוש ולמחיקת כל הנתונים, או לאיפוס ה-HSM להגדרות המקוריות. אחרי שמבצעים מחיקה או איפוס של מודולי ה-HSM ומקבלים אישור משפטי, מודולי ה-HSM יישלחו אליכם בחזרה או יושמדו אם אי אפשר יהיה לשלוח אותם בחזרה.
דרישות לגבי ציוד HSM
בקטע הזה מתוארות הדרישות הפיזיות של מודולי HSM וכבלים נלווים לאירוח מודולי HSM במתקן של Google.
מספר מודולי ה-HSM שאפשר להכניס למסד תלוי במספר היציאות שזמינות בדגם הנוכחי של המתג בחלק העליון של המסד, במספר יחידות המסד שדגם ה-HSM תופס ובצריכת החשמל של מודולי ה-HSM.
- חשמל
- שני ספקי מתח AC (16 אמפר לכל ספק מתח).
- חלוקת חשמל
- 208V בין קווים (למיקומים בארצות הברית).
- יחידת PDU למתלים עם שקעים ויציאות C13 או C19.
- כבלים לחיבור לחשמל (באחריותכם לספק אותם)
- קצה הכבל של יחידת PDU במתלה צריך להיות מסוג מחבר C14 או C20.
- 2 כבלי חשמל באורך 6 פיט או 2 מטרים (האורך המועדף).
- רשת
- כרטיס רשת: שני כרטיסי רשת מנחושת של 1g (אם רלוונטי).
- כבלי רשת (באחריותכם לספק אותם)
- 2 כבלי תיקון באורך 6 פיט או 2 מטר (האורך המועדף) מסוג CAT-5e או טוב יותר.
- מידות פיזיות
- עומק המדף: 42 אינץ'
- מרווח בין יחידות במתלה: מתלה סטנדרטי EIA-310 בגודל 19 אינץ' עם תושבות חורים מרובעים. אפשר להשתמש בעד 4 יחידות מתלה לכל HSM.
- אבטחה
- אי אפשר לצייד את מודולי ה-HSM במצלמות או ברשתות אלחוטיות כמו Bluetooth.
- ה-HSM צריך להיות עם הסמכת FIPS 140-2 ברמה 3 או ברמה גבוהה יותר.
- צריך להיות אפשר לנהל את ה-HSM מרחוק באופן מלא.
אין דרישות לגבי משקל או קירור.
סקירה כללית על הפריסה
כדי לעמוד בדרישות לקבלת הסכם רמת שירות (SLA) עם זמן פעולה של 99.99%, אתם צריכים לעמוד בדרישות הבאות:
- פריסת מודולי HSM בשני אזורים לפחות – שני Google Cloud אזורים שונים או, אם יש אפשרות כזו, שני אזורים באותו אזור.
- צריך לפרוס לפחות שני מודולי HSM לכל אזור (לפחות מודול HSM אחד לכל מתלה בשני מתלים לפחות).
אתם מספקים ל-Google את כתובת ה-MAC של כל ממשק רשת של HSM ואת כתובת ה-IP שהוקצתה לו. המידע הזה עוזר ל-Google לאמת את הכבלים משרת לראש המתלה, ומסייע באיתור ופתרון בעיות במהלך תהליך הפריסה.
דרישות הרשת יוסברו בפירוט רב יותר על ידי נציג החשבון במהלך תהליך ההצטרפות.
הטופולוגיה של הרשת
זוג מתלים בתחום אחד מכוסה על ידי הסכם רמת שירות (SLA) של 99.9%.
פריסה מלאה בשני אזורים מספקת SLA של 99.99%. אפשר לעשות את זה באמצעות שני אזורים, או באמצעות שני תחומים באותו אזור, אם האפשרות הזו זמינה.
צריך לתכנן את האפליקציות כך שינצלו את יתרונות המודל הזה של יתירות. אפליקציה צריכה להיות מסוגלת לבצע מעבר לגיבוי חם מתחום 1 לתחום 2 במיקום יחיד, מ-HSM ל-HSM.
הפעלת התכונה Global Routing מאפשרת למודולי HSM בכל אחד מהמיקומים להגיע אלGoogle Cloud משאבים בכל אזור.
כשל בחיבור Partner Interconnect יחיד לא נחשב להפרה של הסכם SLA.
בתרשים הכללי הבא מוצגת הקישוריות הנדרשת כדי להשיג הסכם רמת שירות (SLA) של 99.99% בשירות.
- כל פריסה של אזור מכילה לפחות שני מתלים לשימושכם, ומתג אחד לכל מתלה.
- המתגים העליונים במתלה מסופקים על ידי Google והם מיצרנים שונים.
- לכל מתג top-of-rack יש Partner Interconnect 10G עם קבצים מצורפים של VLAN מיותרים ל-Partner Interconnect לנתבי Cloud מיותרים.
- לכל HSM צריכים להיות לפחות 2 ממשקי רשת מנחושת 1GE עם חיבורים מיותרים לשני המתגים העליונים במארז. לממשקי הניהול והנתונים צריכים להיות חיבורים כפולים משלהם לשני המתגים העליונים.
- אתם מספקים את הקצאות כתובות ה-IP לרשתות ה-HSM.
- מתגי Top-of-rack מפרסמים את רשתות המשנה שמחוברות אליהם באופן מקומי לזוג של Cloud Routers.
- מפעילים ניתוב דינמי גלובלי בענן הווירטואלי הפרטי (VPC) כדי לאפשר גישה למודולי ה-HSM מכל Google Cloud אזור שבו פרסתם משאבים. כדי לעמוד בדרישות הזמינות של 99.99%, צריך גם להגדיר ניתוב דינמי גלובלי.
- פרוטוקול BGP בין המתגים העליונים של המתלים לבין נתבי Cloud בפרויקט שלכם מחליף מידע על נגישות כדי ליצור מסלול בין משאבי הפרויקט לבין מודולי ה-HSM. Google Cloud
דרישות רשת
כדי לאפשר ל-HSM להתארח ב-Google, צריך לבצע את השלבים הבאים לכל קבוצת מתלים באזור:
יוצרים זוג Cloud Routers מיותרים לכל אזור באמצעות ASN16550. הוראות מפורטות זמינות במאמר יצירת Cloud Routers.
יוצרים שני זוגות מיותרים של קבצים מצורפים של VLAN עם Partner Interconnect לכל אזור באמצעות נתבי Cloud מהשלב הקודם. יוצרים את הקבצים המצורפים עם האפשרות 'הפעלה מראש' מופעלת. בכל אזור צריכים להיות ארבעה קבצים מצורפים לכל היותר. אם הקבצים המצורפים נוצרו בלי שהאפשרות להפעלה מראש הייתה מופעלת, אפשר להפעיל את הקישורים באופן ידני.
מידע נוסף על Partner Interconnect ועל אפשרויות להפעלה מראש זמין במאמר סקירה כללית על Partner Interconnect.
מפעילים ניתוב דינמי גלובלי ברשת ה-VPC.
- כדי להשיג זמינות של 99.99%, צריך לפעול לפי השלבים שמפורטים במאמר השגת זמינות של 99.99% ב-Partner Interconnect.
- פריסות באזור יחיד נהנות מזמינות של 99.9% עד שהאזור השני יהיה זמין. במקרה הזה, כדאי לעיין במאמר בנושא השגת זמינות של 99.9% ל-Partner Interconnect
מגדירים כללי חומת אש לפי הצורך כדי לאפשר תעבורת נתונים בין המתחם שלכם לבין משאבי הפרויקט.
תאימות למיקום
שירות Bare Metal HSM זמין במיקומים הבאים של Cloud KMS:
| אזור גיאוגרפי | שם המיקום | תיאור המיקום | תחומים לכל אזור |
|---|---|---|---|
| אמריקה | us-central1 |
איווה | 1 |
| אמריקה | us-south1 |
דאלאס | 1 |
| אמריקה | us-east4 |
צפון וירג'יניה | 1 |
| אמריקה | us-west1 |
אורגון | 1 |
| אירופה | europe-west4 |
הולנד | 1 |
| אירופה | europe-west3 |
פרנקפורט | 1 |
| אמריקה | southamerica-west1 |
סנטיאגו | 1 |
| אמריקה | southamerica-east1 |
סאו פאולו | 1 |
| אסיה-פסיפיק | australia-southeast1 |
סידני | 2 |
| אסיה-פסיפיק | australia-southeast2 |
מלבורן | 2 |
| המזרח התיכון | me-west1 |
תל אביב | 2 |
פנייה אל Google
המוצר הזה זמין רק ללקוחות עם דרישות עסקיות וטכניות ספציפיות.
אם אתם מעוניינים ב-Bare Metal HSM עם Google, אתם יכולים לפנות לנציג שלכם בחשבון לקבלת עזרה נוספת.