מודל האחריות המשותפת ב-Spanner

‫Spanner הוא שירות מנוהל של מסד נתונים מבוזר גלובלית עם כמה מודלים, שנועד לספק זמינות גבוהה וקנה מידה נרחב. בתור שירות מנוהל ב- Google Cloud, האחריות על האבטחה והחוסן התפעולי מתחלקת ביניכם לבין Google.

במסמך הזה מפורט חלוקת האחריות שמטרתה להבטיח את האבטחה, התאימות והתפעול של מופעי Spanner והנתונים שלכם.

סקירה כללית של מודל האחריות המשותפת

במודל של אחריות משותפת, Google מנהלת את האבטחה של שירות Spanner, התשתית והרשת הגלובלית הבסיסית, בעוד שהלקוח אחראי לאבטחה ולניהול ב מופע Spanner, כולל נתונים, גישה לאפליקציות והגדרות.

אזור האחריות	Google Cloud	אני
תשתית	אחראי	לא אחראי
הגדרת שירות ואבטחה	משותף	משותף
גישה לנתונים ולאפליקציות	לא אחראי	אחראי

האחריות של Google

‫Google אחראית להגנה על התשתית שמריצה את שירות Spanner. זה כולל את הרכיבים הפיזיים, רכיבי החומרה, רכיבי הרשת ורכיבי התפעול.

תשתית וזמינות גלובלית

• אבטחה פיזית: אבטחת האזורים הגלובליים, האזורים ומרכזי הנתונים הפיזיים שבהם נמצאת תשתית Spanner.

• רישות: מספק את הרשת המאובטחת והאמינה שנדרשת לעקביות ולשכפול הגלובליים של Spanner.

• חומרה ותוכנה: ניהול החומרה, מערכות ההפעלה של המארח והתוכנה של שירות Spanner עצמו. השירות כולל תיקון באגים, תחזוקה ועדכונים אוטומטיים.

ניהול שירותים וחוסן

• זמינות וקנה מידה גבוהים: שמירה על הסכם רמת השירות (SLA) של 99.999% (במקרה של הגדרות במספר אזורים) באמצעות ניהול אוטומטי של שינוי קנה מידה, רפליקציה ויתירות כשל באזורים ובאזורי זמינות. ‫Spanner מתוכנן כך שלא יהיה זמן השבתה מתוכנן. אפשר להחריג מופע של Spanner מהסכם רמת השירות (SLA) של Spanner אם הפסקת השירות נגרמת בגלל הגדרות שהמשתמשים שולטים בהן. כדי לראות את ההגדרות האלה, אפשר לעיין בהנחיות התפעול של Spanner.

• עמידות: שמירה על עמידות הנתונים, כולל גיבויים שמאוחסנים במערכת Spanner.

• תקינות של תוכנת מסד הנתונים: יצירה, תחזוקה ועדכון של תוכנת Spanner.

תאימות והגנה על נתונים

• הצפנה במנוחה ובמעבר: הנתונים מוצפנים כברירת מחדל.

• מיקום הנתונים: מאפשר לכם לנהל את מיקום הנתונים באזורים או בהגדרות ספציפיות (לדוגמה, שני אזורים, מספר אזורים).

• פעולות ייעודיות של Google Cloud: בפריסות ייעודיות של Google Cloud,‏ Google מספקת את התשתית, את גרסת התוכנה ואת העדכונים, והשותפים המקומיים המהימנים שלנו מפעילים את שירותי הענן ותומכים בהם. ‫Google עשויה לספק לשותפים סיוע ברמה השנייה בביצוע תחזוקה ובפתרון בעיות.

תחומי האחריות שלכם

כשמשתמשים ב-Spanner, השליטה העיקרית בנתונים, בהגדרות, בניהול הגישה ובפיתוח האפליקציות נשארת בידיכם.

ניהול נתונים וסכימות

• תוכן הנתונים והאבטחה: האחריות על תוכן הנתונים שמאוחסנים ב-Spanner, כולל הרגישות, עמידה בתקנות והשלמות שלהם.

• עיצוב ואופטימיזציה של סכימות: הגדרה וניהול של סכימת מסד הנתונים, כולל יצירת טבלאות, אינדקסים וניהול של טבלאות משולבות לשיפור הביצועים.

• אופטימיזציה של שאילתות: תכנון שאילתות יעילות כדי לשפר את הביצועים ולנהל את הקצאת המשאבים. לדוגמה, ניהול טווחים של עסקאות והבנת התנהגות הנעילה הם קריטיים.

ניהול גישה וזהויות

• הגדרת IAM: הגדרה וניהול של תפקידים והרשאות ב-IAM עבור גורמים (משתמשים וחשבונות שירות) שמקבלים גישה למופע ולמסדי הנתונים של Spanner.

• בקרת גישה פרטנית (FGAC): אם הלקוח מיישם בקרת גישה פרטנית, הוא אחראי להגדיר, לנהל ולהעניק מחדש גישה לתפקידים ולהרשאות במסד הנתונים.

• רישום ביומן ביקורת: מעקב אחר הגישה לנתונים ולמכונת Spanner וניתוח שלהם באמצעות יומני הביקורת בענן.

חוסן תפעולי ותוכנית התאוששות מאסון (DR)

• ניהול ההגדרות: ניהול ההגדרות של מופע Spanner, מספר הצמתים ופריסות אזוריות.

• שירות Backup and DR: הטמעה של אסטרטגיה להתאוששות מאסון שכוללת אחסון נתונים מחוץ למופע Spanner עצמו (לדוגמה, באזור נפרד, במופע נפרד או באחסון חיצוני) כדי להגן מפני תרחישים כמו מחיקה בטעות של המופע או פגיעה בנתונים.

• (אופציונלי) שילוב של סנכרון שינויים בזרמי נתונים: הגדרה וניהול של משימות Dataflow או צרכנים אחרים שמשתמשים בסנכרון שינויים בזרמי נתונים ב-Spanner להזרמת אירועים.

תצורת אבטחה

• מפתחות הצפנה בניהול הלקוח (CMEK): אם נעשה שימוש במפתחות האלה, המערכת מנהלת את המפתחות וההרשאות של Cloud Key Management Service‏ (Cloud KMS) שמשמשים להצפנת נתוני Spanner.

• תיוג של בקשות ועסקאות: החלת תגים על שאילתות ועסקאות כדי לשפר את יכולת הצפייה ואת המעקב אחר הביצועים.

• מעקב והתראות: הגדרה של מעקב מותאם אישית, ייצוא מדדים והגדרת התראות כדי לזהות ירידה בביצועים או אנומליות באבטחה.

סיכום האחריות

בטבלה הבאה מפורטות האחריות המשותפת לרכיבים ספציפיים של תפעול ואבטחה:

רכיב	האחריות שלנו	תחומי האחריות שלך
גישה לנתונים ולמשתמשים	בידוד פיזי והגנה על האחסון הבסיסי.	ניהול IAM ו-FGAC. הגדרת תפקידים והרשאות במסד הנתונים.
אבטחת רשת	נתיבי רשת, חומות אש ופילוח של תשתית שירות Spanner.	הגדרת ענן וירטואלי פרטי (VPC), Private Service Connect וכללי רשת בצד הלקוח.
שירות Backup and DR	שכפול במספר אזורים וזמינות של השירות בשיעור של 99.999%. פונקציונליות של שחזור מנקודה מסוימת בזמן (PITR).	הטמעה של פתרון התאוששות מאסון (DR) כדי לאחסן נתונים מחוץ למופע הראשי של Spanner, וניהול מעבר אוטומטי של האפליקציה למסד נתונים חדש.
הצפנה	הצפנה במנוחה ובתנועה מופעלת כברירת מחדל.	ניהול מפתחות CMEK וביצוע רוטציה שלהם, אם נעשה בהם שימוש.
גיבויים	ניהול התשתית של שירות הגיבוי והבטחת העמידות של הגיבוי.	הגדרת לוחות זמנים לגיבוי, ניהול גיבויים וגישה אליהם והעתקת גיבויים למופעים או לאזורים אחרים.
מכונת Spanner	הקצאה וניהול של התשתית הבסיסית.	הגדרת מספר הצמתים והמיקומים.
ניראות (observability)	אספקת טבלאות מערכת (לדוגמה, SPANNER_SYS) לצורך אבחון.	הטמעה של מעקב מותאם אישית, שימוש בתגי בקשות או עסקאות ושילוב עם כלי מעקב חיצוניים (לדוגמה, Prometheus ו-Grafana).
אפליקציות לקוח	אספקת ספריות לקוח וממשקי API של Spanner.	פיתוח, פריסה ואבטחה של כל אפליקציות הלקוח שמתקשרות עם מסד הנתונים.
ניהול הגדרות		בדיקת השימוש ביחס למכסות ושליחת בקשות לפי הצורך. שימוש בכלים כמו Terraform לניהול משאבים של מסדי נתונים ומופעים.