Spanner의 보안, 개인 정보 보호, 위험, 규정 준수

이 문서에서는 에서 Spanner 보안을 지원하는 다양한 제어 기능을 간략하게 설명하고 제어 기능을 구성하는 방법에 대한 자세한 정보로 연결되는 링크를 제공합니다. Google Cloud 네트워크 보안 옵션, 정책, 액세스 관리와 같은 보안 제어 기능을 사용하면 비즈니스 위험을 해결하고 비즈니스에 적용되는 개인 정보 보호 및 규제 기관 요구사항을 충족할 수 있습니다.

Spanner의 보안, 개인 정보 보호, 위험, 규정 준수는 공동 책임 모델을 사용합니다. 예를 들어 Google은 Spanner 및 기타 Google Cloud 서비스가 실행되는 인프라를 보호하고 서비스와 리소스에 대한 액세스를 관리하는 데 도움이 되는 기능을 제공합니다. Google에서 인프라를 보호하는 방법에 대한 자세한 내용은 Google 인프라 보안 설계 개요를 참조하세요.

프로비저닝된 서비스

Spanner를 시작할 때 다음 API를 사용 설정합니다.

자세한 내용은 빠른 시작: 콘솔을 사용하여 Spanner에서 데이터베이스 만들기 및 쿼리를 Google Cloud 참조하세요.

관리 인증 Google Cloud

Spanner 인스턴스를 만들고 관리하는 관리자와 개발자는 에 인증하여 Google Cloud 자신의 ID와 액세스 권한을 확인해야 합니다. Cloud ID, Google Workspace 또는 Cloud ID나 Google Workspace와 제휴한 ID 공급업체에서 관리하는 사용자 계정으로 각 사용자를 설정해야 합니다. 자세한 내용은 ID 및 액세스 관리 개요를 참조하세요.

사용자 계정을 만든 후 싱글 사인온(SSO) 및 2단계 인증과 같은 보안 권장사항을 구현합니다.

리소스 액세스 인증 Google Cloud

직원 ID 제휴를 사용하면 외부 ID 공급업체 (IdP)를 사용하여 직원 사용자를 인증하여 Google Cloud 리소스에 액세스할 수 있습니다. 사용자가 리소스에 프로그래매틱 방식으로 액세스해야 하고 OpenID Connect (OIDC) 또는 보안 보장 마크업 언어 (SAML)를 지원하는 IdP에 사용자 인증 정보를 저장하는 경우 직원 ID 제휴를 사용합니다. Google Cloud

워크로드 아이덴티티 제휴를 사용하면 서비스 계정 키를 사용하지 않고도 외부 IdP를 사용하여 온프레미스 또는 멀티 클라우드 워크로드에 Google Cloud 리소스에 대한 액세스 권한을 부여할 수 있습니다. Amazon Web Services (AWS), Microsoft Entra ID, GitHub 또는 Okta와 같은 IdP에서 ID 제휴를 사용할 수 있습니다.

ID 제휴에 대한 Spanner 지원에 대한 자세한 내용은 제휴 ID 지원 서비스를 참조하세요.

의 인증에 대한 자세한 내용은 인증을 참조하세요. Google Cloud

Identity and Access Management

관리자 및 개발자의 Identity and Access Management (IAM) 역할을 대규모로 관리하려면 다양한 사용자 역할과 애플리케이션에 별도의 기능 그룹을 만드는 것이 좋습니다. Spanner를 관리하는 데 필요한 IAM 역할이나 권한을 그룹에 부여합니다. 그룹에 역할을 할당할 때는 최소 권한의 원칙과 기타 IAM 보안 권장사항을 준수합니다. 자세한 내용은 Google 그룹스 사용 권장사항을 참조하세요.

IAM 설정 방법에 대한 자세한 내용은 IAM 개요를 참조하세요.

Spanner는 IAM 보안 주체를 사용하여 Spanner 데이터베이스, 테이블, 열, 뷰에 대한 액세스를 제어할 수 있는 IAM 세분화된 액세스 제어를 지원합니다. 자세한 내용은 세분화된 액세스 제어 정보를 참조하세요.

Spanner 서비스 계정

Spanner를 사용 설정하면 Google에서 서비스 계정을 만듭니다. 서비스 계정은 일반적으로 사용자가 아닌 Compute Engine 인스턴스와 같은 애플리케이션 또는 컴퓨팅 워크로드에서 사용하는 특수한 유형의 비대화형 Google 계정입니다. 애플리케이션은 서비스 계정을 사용하여 액세스 Google API에 액세스합니다.

서비스 에이전트

Spanner가 사용자 대신 리소스에 액세스할 수 있도록 Google Cloud 서비스 에이전트라는 특수한 서비스 계정을 만듭니다.

Spanner를 사용 설정하면 다음 Spanner 서비스 에이전트가 생성됩니다.

service-PROJECT_ID@gcp-sa-spanner.iam.gserviceaccount.com

Spanner 정책

Spanner에 적용되는 사전 정의된 조직 정책에는 다음이 포함됩니다.

  • Spanner 버전을 사용하는 인스턴스 만들기 제한(constraints/spanner.managed.restrictCloudSpannerEditions)

정책에 대한 자세한 내용은 Spanner에 조직 정책 사용을 참조하세요.

커스텀 조직 정책을 사용하여 프로젝트, 폴더 또는 조직 수준에서 Spanner에 대한 제한을 구성할 수 있습니다. 자세한 내용은 커스텀 역할 생성 및 관리를 참조하세요.

네트워크 보안

기본적으로 Google은 에서 실행되는 Spanner 인스턴스를 포함한 모든 Google Cloud 서비스의 전송 중 데이터에 기본 보호 조치를 적용합니다 Google Cloud. 기본 네트워크 보호에 대한 자세한 내용은 전송 중 데이터 암호화를 참조하세요.

조직에서 요구하는 경우 추가 보안 제어 기능을 구성하여 네트워크의 트래픽과 네트워크와 기업 네트워크 간의 트래픽의 보호를 더욱 강화할 수 있습니다. Google Cloud Google Cloud 다음 사항을 고려하세요.

  • Spanner는 VPC 서비스 제어를 지원합니다. VPC 서비스 제어를 사용하면 Google 서비스에서 데이터 이동을 제어하고 컨텍스트 기반 경계 보안을 설정할 수 있습니다.
  • 에서는 공유 VPC를 네트워크 토폴로지로 사용하는 것이 좋습니다. Google Cloud공유 VPC는 환경 분리를 유지하면서 중앙 집중식 네트워크 구성 관리를 제공합니다.
  • Cloud VPN 또는 Cloud Interconnect를 사용하여 기업 네트워크와 간의 연결에 대한 보안과 신뢰성을 극대화합니다 Google Cloud. 자세한 내용은 네트워크 연결 제품 선택을 참조하세요.

네트워크 보안 권장사항에 대한 자세한 내용은 제로 트러스트 구현 및 시작 영역의 Google Cloud 네트워크 설계 결정을 참조하세요.

애플리케이션 연결

다음 방법을 사용하여 애플리케이션과 Spanner 간의 연결을 보호할 수 있습니다:

  • 서버리스 VPC 액세스를 사용하여 Spanner를 Cloud Run에 직접 연결합니다.
  • Private Service Connect를 사용하여 Spanner 비공개 IP 주소를 통해 의 다른 VPC에 있는 관리형 애플리케이션에 연결합니다. Google Cloud 트래픽을 에 유지하려면 이 방법을 사용합니다 Google Cloud.

외부 IP 주소를 사용하지 않고 서비스에 연결을 설정하는 옵션에 대한 자세한 내용은 서비스 비공개 액세스 옵션을 참조하세요.

클라이언트 인증

Spanner는 클라이언트에 다음과 같은 인증 방법을 제공합니다.

데이터 보호 및 개인 정보 보호

Spanner는 Google Cloud 에 저장된 데이터를 기본 암호화를 사용하여 암호화합니다. 예시 데이터에는 다음이 포함됩니다.

  • 테이블과 열의 이름
  • 색인 이름
  • 데이터베이스 스키마
  • 테이블에 저장된 데이터

Spanner 인스턴스에서만 이 데이터에 액세스할 수 있습니다.

고객 관리 암호화 키 (CMEK)를 사용 설정하여 저장 데이터를 암호화할 수 있습니다. CMEK를 사용하면 키가 Cloud Key Management Service (Cloud KMS) 소프트웨어 보호 키나 Cloud HSM을 사용하는 하드웨어 보호 키로 저장되지만 사용자가 이 키를 관리합니다. 암호화 키를 자동으로 프로비저닝하려면 Cloud KMS Autokey를 사용 설정하면 됩니다. Autokey를 사용 설정하면 개발자가 Cloud KMS에서 키를 요청할 수 있으며 서비스 에이전트에서 개발자 의도에 맞는 키를 프로비저닝합니다. Cloud KMS Autokey를 사용하면 키는 요청 시에 제공되고 일관성이 유지되며 업계 표준 방침을 준수합니다.

또한 Spanner는 Cloud External Key Manager (Cloud EKM)를 지원하므로 외부의 외부 키 관리자에 키를 저장할 수 있습니다. Google Cloud자세한 내용은 고객 관리 암호화 키 (CMEK) 개요를 참조하세요.

데이터가 처리되는 위치

Spanner는 데이터 상주 에 저장된 데이터의 데이터 상주를 지원합니다 Google Cloud. 데이터 상주를 사용하면 리소스 위치 제한 정책 제약 조건을 사용하여 데이터를 저장할 리전을 선택할 수 있습니다. Cloud 애셋 인벤토리를 사용하여 Spanner 리소스 위치를 확인할 수 있습니다.

사용 중 데이터에 데이터 상주가 필요하면 Assured Workloads를 구성하면 됩니다. 자세한 내용은 Assured Workloads and data residency를 참조하세요.

데이터 개인 정보 보호

데이터 개인 정보를 보호하는 데 도움이 되기 위해 Spanner는 일반적인 개인 정보 보호 원칙을 준수합니다.

Spanner는 고객 데이터의 데이터 프로세서 역할을 합니다. 또한 Google은 결제, 계정 관리, 악용 감지와 같은 정보의 데이터 컨트롤러 역할을 합니다. 자세한 내용은 Google Cloud 개인정보처리방침 을 참조하세요.

감사 로깅

Spanner는 다음 유형의 감사 로그를 작성합니다.

  • 관리자 활동 감사 로그: 메타데이터나 구성 정보를 쓰는 ADMIN WRITE 작업이 포함됩니다.

  • 데이터 액세스 감사 로그: 메타데이터나 구성 정보를 읽는 ADMIN READ 작업이 포함됩니다. 또한 사용자가 제공한 데이터를 읽거나 쓰는 DATA READ 및 DATA WRITE 작업도 포함됩니다.

  • 시스템 이벤트 감사 로그: 리소스 구성을 수정하는 자동화된 Google Cloud 작업 식별

자세한 내용은 감사 로깅을 참조하세요.

액세스 투명성

액세스 승인 및 액세스 투명성을 사용하여 서비스를 지원하는 Google 직원의 Spanner 인스턴스에 대한 액세스 권한을 제어할 수 있습니다. 액세스 승인을 사용하면 Google 직원의 액세스 요청을 승인하거나 거부할 수 있습니다. 액세스 투명성 로그는 관리자가 리소스에 액세스할 때 거의 실시간 통계를 제공합니다. Google Cloud

모니터링 및 사고 대응

다양한 도구를 사용하여 Spanner의 성능과 보안을 모니터링할 수 있습니다. Spanner. 다음 사항을 고려하세요.

  • 로그 탐색기를 사용하여 이벤트 로그를 보고 분석하며 커스텀 측정항목과 알림을 만듭니다.
  • Cloud Monitoring 대시보드를 사용하여 Spanner의 성능을 모니터링합니다. 자세한 내용은 Spanner 모니터링을 참조하세요.
  • Security Command Center에서 클라우드 제어 및 프레임워크 를 배포하여 Spanner의 취약점 및 위협 (예: 권한 에스컬레이션) 을 감지합니다. 보안 운영 센터 (SOC) 분석가가 발견 사항에 대응할 수 있도록 알림과 플레이북을 설정할 수 있습니다.

인증 및 규정 준수

규제 요구사항 충족은 개발자와 Google의 공동 책임입니다.

Spanner는 다음을 포함한 다양한 인증을 획득했습니다.

  • ISO 27001
  • SOC 2
  • HIPAA

에서 다양한 규제 프레임워크과 인증을 준수하는 방식에 대한 자세한 내용은 규정 준수 리소스 센터를 참조하세요. Google Cloud

Spanner는 규제, 리전 또는 주권 요구사항을 지원하는 Google 조직의 특정 폴더에 제어 기능을 적용할 수 있는 Assured Workloads도 지원합니다. 자세한 내용은, 제어 패키지에서 지원되는 제품을 참조하세요.

다음 단계