Spanner 的安全性、隱私權、風險和法規遵循

本文概述各種控管機制，協助您確保 Spanner 在 Google Cloud 上的安全性，並提供相關連結，方便您進一步瞭解如何設定這些控管機制。網路安全選項、政策和存取權管理等安全控管機制，可協助您因應業務風險，並符合適用於貴商家業務的隱私權和法規要求。

Spanner 的安全性、隱私權、風險和法規遵循採用共責式模型。舉例來說，Google 會保護 Spanner 和其他 Google Cloud 服務的基礎架構，並提供相關功能，協助您管理服務和資源的存取權。如要進一步瞭解基礎架構安全防護措施，請參閱 Google 基礎架構安全設計總覽。

已佈建的服務

開始使用 Spanner 時，請啟用下列 API：

詳情請參閱「快速入門：使用 Google Cloud 控制台在 Spanner 中建立及查詢資料庫」。

Google Cloud 管理驗證

建立及管理 Spanner 執行個體的管理員和開發人員，必須先進行驗證，才能驗證身分和存取權。 Google Cloud 您必須為每位使用者設定由 Cloud Identity、Google Workspace 或您已與 Cloud Identity 或 Google Workspace 建立聯盟的識別資訊提供者管理的使用者帳戶。詳情請參閱「身分與存取權管理總覽」。

建立使用者帳戶後，請採用單一登入和兩步驟驗證等安全最佳做法。

Google Cloud 資源存取權的驗證

透過員工身分聯盟，您可以使用外部識別資訊提供者 (IdP) 驗證員工使用者，讓他們存取 Google Cloud 資源。如果使用者需要以程式輔助方式存取您的 Google Cloud 資源，且您將使用者憑證儲存在支援 OpenID Connect (OIDC) 或安全宣告標記語言 (SAML) 的 IdP 中，請使用員工身分聯盟。

Workload Identity Federation 可讓您使用外部 IdP，授權地端部署或多雲端工作負載存取 Google Cloud 資源，不必使用服務帳戶金鑰。您可以搭配 Amazon Web Services (AWS)、Microsoft Entra ID、GitHub 或 Okta 等 IdP 使用身分識別聯盟。

如要進一步瞭解 Spanner 對身分聯盟的支援，請參閱「支援聯合身分的服務」。

如要進一步瞭解 Google Cloud中的驗證，請參閱「驗證」。

Identity and Access Management

如要大規模管理管理員和開發人員的 Identity and Access Management (IAM) 角色，請考慮為各種使用者角色和應用程式建立個別的職務群組。將管理 Spanner 所需的 IAM 角色或權限授予群組。為群組指派角色時，請遵循最小權限原則和其他 IAM 安全性最佳做法。詳情請參閱「使用 Google 網路論壇的最佳做法」。

如要進一步瞭解如何設定 IAM，請參閱「IAM 總覽」一文。

Spanner 支援 IAM 精細存取控管機制，可讓您使用 IAM 主體控管 Spanner 資料庫、資料表、資料欄和檢視區塊的存取權。詳情請參閱「關於精細的存取權控管機制」。

Spanner 服務帳戶

啟用 Spanner 時，Google 會為您建立服務帳戶。服務帳戶是一種特殊的非互動式 Google 帳戶，通常是由應用程式或運算工作負載 (例如 Compute Engine 執行個體) 使用，而非由真人使用。應用程式會使用服務帳戶存取 Google API。

服務代理

為讓 Spanner 代表您存取資源，Google Cloud 會建立稱為服務代理人的特殊服務帳戶。

啟用 Spanner 時，系統會建立下列 Spanner 服務代理程式：

service-PROJECT_ID@gcp-sa-spanner.iam.gserviceaccount.com

Spanner 政策

適用於 Spanner 的預先定義組織政策包括：

  • 限制建立使用 Spanner 版本的執行個體 (constraints/spanner.managed.restrictCloudSpannerEditions)

如要進一步瞭解政策，請參閱「使用 Spanner 的組織政策」。

您可以使用自訂機構政策，在專案、資料夾或機構層級設定 Spanner 的限制。詳情請參閱「建立及管理自訂限制」。

網路安全

根據預設，Google 會對所有 Google Cloud 服務的流動資料套用預設保護措施，包括在 Google Cloud上執行的 Spanner 執行個體。如要進一步瞭解預設網路保護措施，請參閱「傳輸加密」。

如果貴機構有相關規定，您可以設定額外的安全控管措施，進一步保護 Google Cloud 網路上的流量，以及 Google Cloud 網路與公司網路之間的流量。請考慮以下事項：

  • Spanner 支援 VPC Service Controls。 VPC Service Controls 可讓您控管 Google 服務中的資料移動，並設定情境式安全範圍。
  • 在 Google Cloud中，請考慮使用Shared VPC做為網路拓撲。Shared VPC 可集中管理網路設定，同時維持環境區隔。
  • 使用 Cloud VPN 或 Cloud Interconnect，盡可能確保公司網路與 Google Cloud之間的連線安全無虞且穩定可靠。詳情請參閱「選擇網路連線產品」。

如要進一步瞭解網路安全最佳做法，請參閱「導入零信任」和「決定登陸區的網路設計 Google Cloud 」。

應用程式連線

您可以使用下列方法，確保應用程式與 Spanner 之間的連線安全無虞：

  • 無伺服器 VPC 存取，可讓 Spanner 直接連線至 Cloud Run。
  • Private Service Connect，透過 Spanner 私人 IP 位址連線至 Google Cloud 上其他虛擬私有雲中的受管理應用程式。使用這個方法可將流量保留在 Google Cloud。

如要進一步瞭解如何設定連線至服務，而不使用外部 IP 位址，請參閱「各項服務的私人存取權選項」。

用戶端驗證

Spanner 為用戶端提供下列驗證方法：

資料保護與隱私權

Spanner 會使用 Google Cloud 預設加密機制，加密儲存的資料。範例 資料包括：

  • 資料表和資料欄名稱
  • 索引名稱
  • 資料庫結構定義
  • 儲存在資料表中的資料

這項資料只能由 Spanner 執行個體存取。

您可以啟用客戶自行管理的加密金鑰 (CMEK)，加密靜態資料。使用 CMEK 時，金鑰會以軟體保護金鑰或 Cloud HSM 硬體保護金鑰的形式，儲存在 Cloud Key Management Service (Cloud KMS) 中，但由您管理。如要自動佈建加密金鑰，可以啟用 Cloud KMS Autokey。啟用 Autokey 後，開發人員可以向 Cloud KMS 要求金鑰，服務代理程式會根據開發人員的意圖提供金鑰。使用 Cloud KMS Autokey 時，金鑰會視需要提供，且符合業界標準做法。

此外，Spanner 也支援 Cloud External Key Manager (Cloud EKM)，可讓您將金鑰儲存在 Google Cloud外部的外部金鑰管理工具中。詳情請參閱「客戶自行管理加密金鑰 (CMEK) 總覽」。

資料處理地點

Spanner 支援儲存在 Google Cloud的資料資料存放位置。您可以透過資源位置限制政策限制，選擇資料儲存的區域。您可以使用 Cloud Asset Inventory 驗證 Spanner 資源的位置。

如果您需要確保使用中的資料符合資料落地規定，可以設定 Assured Workloads。詳情請參閱「Assured Workloads 和資料落地權」。

資料隱私權

為保護資料隱私權，Spanner 遵循一般隱私權原則。

Spanner 是客戶資料的資料處理者。Google 也是帳單和帳戶管理等資訊的資料控管者，並負責偵測濫用行為。詳情請參閱Google Cloud 隱私權聲明。

稽核記錄

Spanner 會寫入下列類型的稽核記錄：

  • 管理員活動稽核記錄：包括寫入中繼資料或設定資訊的作業。ADMIN WRITE

  • 資料存取稽核記錄：包括讀取中繼資料或設定資訊的 ADMIN READ 作業。也包括讀取或寫入使用者提供資料的 DATA READ 和 DATA WRITE 作業。

  • 系統事件稽核記錄：識別修改資源設定的自動化 Google Cloud動作。

詳情請參閱「稽核記錄」。

資料存取透明化控管機制

您可以透過存取核准和資料存取透明化控管機制，控管支援服務的 Google 員工對 Spanner 執行個體的存取權。當 Google 員工提出存取要求，您可以利用 Access Approval 予以核准或拒絕。資料存取透明化控管機制記錄檔會提供近乎即時的洞察資訊，讓管理員瞭解何時存取資源。 Google Cloud

監控與事件應變

您可以使用各種工具監控 Spanner 的效能和安全性。請考量下列事項：

  • Logs Explorer，可查看及分析事件記錄，並建立自訂指標和快訊。
  • 使用 Cloud Monitoring 資訊主頁監控 Spanner 的效能。詳情請參閱「監控 Spanner」。
  • 在 Security Command Center 中部署雲端控制項和架構，偵測 Spanner 的安全漏洞和威脅 (例如權限提升)。您可以為資安營運中心 (SOC) 分析師設定快訊和手冊，方便他們回應發現項目。

認證和法規遵循

您與 Google 共同承擔滿足法規要求的責任。

Spanner 已獲得多項認證，包括：

  • ISO 27001
  • SOC 2
  • HIPAA

如要進一步瞭解如何 Google Cloud 遵守不同法規架構和認證，請前往法規遵循資源中心。

Spanner 也支援 Assured Workloads，可讓您對 Google 組織中的特定資料夾套用控管機制，以便遵守法規、區域或主權規範。詳情請參閱「支援的產品 (依控制項套件)」。

後續步驟