סקירה כללית על האבטחה ב-VMware Engine
בדף הזה מתוארות תכונות האבטחה שבהן נעשה שימוש ב-VMware Engine כדי לשמור על הנתונים והסביבה שלכם מאובטחים. רשימה מפורטת של האחריות שלכם כלקוחות ושל האחריות של Google זמינה במאמר בנושא מודל האחריות המשותפת של VMware Engine.
חומרה ייעודית
כחלק משירות VMware Engine, כל הלקוחות מקבלים מארחים ייעודיים של Bare Metal עם דיסקים מקומיים מצורפים שמבודדים פיזית מחומרה אחרת. היפר-ויז'ור ESXi עם vSAN פועל בכל צומת. הצמתים מנוהלים באמצעות VMware vCenter ו-NSX ייעודיים ללקוח. אי שיתוף חומרה בין דיירים מספק שכבת בידוד והגנה נוספת.
אבטחת מידע
הלקוחות שומרים על השליטה בנתונים שלהם ועל הבעלות עליהם. הלקוח אחראי לניהול נתוני הלקוחות.
הגנה על נתונים במנוחה ועל נתונים בתנועה ברשתות פנימיות
אפשר להצפין את הנתונים באחסון בסביבת הענן הפרטי באמצעות הצפנה מבוססת תוכנה של vSAN. ההצפנה של vSAN מסתמכת על פתרונות חיצוניים לניהול מפתחות כדי לאחסן מפתחות הצפנה.
ב-VMware Engine, הצפנת נתונים במצב מנוחה ב-vSAN מופעלת כברירת מחדל בכל העננים הפרטיים החדשים שנפרסים, ותשתית ניהול המפתחות מנוהלת על ידי Google כחלק מהשירות. פרטים על מודל ההצפנה שמוגדר כברירת מחדל זמינים במאמר About vSAN encryption.
כדי לקבל עזרה בהחלטה בין מפתחות הצפנה בניהול Google לבין מפתחות הצפנה בניהול הלקוח, אפשר לעיין במאמר בנושא בחירת פתרון לניהול מפתחות. אם אתם רוצים לנהל את מפתחות ההצפנה בעצמכם, אתם יכולים להשתמש במפתחות הצפנה בניהול הלקוח (CMEK). לחלופין, אפשר לפרוס תשתית חיצונית לניהול מפתחות מספק KMS מאומת ולהגדיר אותה כספק מפתחות ב-vCenter. מידע נוסף זמין במאמר External KMS.
לגבי נתונים במעבר, אנחנו מצפים שהאפליקציות יצפינו את התקשורת שלהן ברשת בתוך פלחי רשת פנימיים. vSphere תומך בהצפנת נתונים בחיבור קווי לתנועת vMotion.
הגנה על נתונים שנדרשים לעבור ברשתות ציבוריות
כדי להגן על נתונים שעוברים ברשתות ציבוריות, אתם יכולים ליצור מנהרות VPN של IPsec ו-SSL לעננים הפרטיים שלכם. יש תמיכה בשיטות הצפנה נפוצות, כולל AES של 128 בייט ו-256 בייט. נתונים בזמן העברה (כולל אימות, גישת אדמין ונתוני לקוחות) מוצפנים באמצעות מנגנוני הצפנה סטנדרטיים (SSH, TLS 1.2 ו-Secure RDP). התקשורת שמעבירה מידע רגיש משתמשת במנגנוני ההצפנה הרגילים.
סילוק מאובטח
אם המינוי שלכם מסתיים או מבוטל, אתם אחראים להסיר או למחוק את הנתונים שלכם. Google תשתף איתכם פעולה כדי למחוק את כל נתוני הלקוחות או להחזיר אותם, כפי שמפורט בהסכם עם הלקוח, למעט המקרים שבהם Google נדרשת על פי החוק החל לשמור חלק מהמידע האישי או את כולו. אם יהיה צורך לשמור מידע אישי כלשהו, Google תעביר את הנתונים לארכיון ותיישם אמצעים סבירים כדי למנוע עיבוד נוסף של נתוני הלקוח.
מחיקת נתוני לקוחות
בכל פעם שמוציאים צומת של VMware Engine מאשכול VMware שסופק ללקוח, הכוננים נמחקים כדי להסיר את כל נתוני הלקוח שקיימים בדיסק. המחיקה הזו מתבצעת אחרי הפעולות הבאות:
- מחיקה של ענן פרטי ב-VMware Engine
- מחיקה של אשכול בענן פרטי
- הסרה אוטומטית וידנית של צומת מאשכול
סוף חיי המוצר של החומרה
בסוף חיי הציוד, VMware Engine מוציא את השרתים משימוש ומסיר אותם מרשת הייצור. בשלב הזה, הכוננים מושמדים פיזית בהתאם להנחיות האבטחה של Google. ההשמדה הזו מתבצעת בנוסף למחיקת הנתונים מהדיסק שמתוארת למעלה.
מיקום הנתונים
נתוני האפליקציה שלכם נמצאים באזור שבחרתם במהלך יצירת הענן הפרטי. השירות לא משנה את מיקום הנתונים בעצמו ללא פעולה או טריגר ספציפיים של הלקוח (לדוגמה, שכפול שהוגדר על ידי המשתמש לענן פרטי באזור אחר Google Cloud ). עם זאת, אם התרחיש לדוגמה שלכם דורש זאת, אתם יכולים לפרוס את עומסי העבודה באזורים שונים ולהגדיר שכפול והעברת נתונים בין אזורים.
גיבוי נתונים
VMware Engine לא מגבה או מארכב נתוני אפליקציות של לקוחות שנמצאים במכונות וירטואליות של VMware. VMware Engine מגבה מעת לעת את התצורה של vCenter ו-NSX. לפני הגיבוי, כל הנתונים מוצפנים בשרת הניהול של המקור (לדוגמה, vCenter) באמצעות ממשקי API של VMware. נתוני הגיבוי המוצפנים מועברים ומאוחסנים בקטגוריות של Cloud Storage.
אבטחת רשת
Google Cloud VMware Engine מסתמך על שכבות של אבטחת רשת.
אבטחת Edge
שירות Google Cloud VMware Engine פועל Google Cloud במסגרת אבטחת הרשת הבסיסית ש- Google Cloudמספקת. ההגנה הזו חלה גם על אפליקציית VMware Engine וגם על סביבת VMware הפרטית והייעודית. Google Cloud ההגנה מובנית ומונעת התקפות מניעת שירות מבוזרות (DDoS). ב-VMware Engine פועלים לפי אסטרטגיית הגנה לעומק כדי לאבטח את קצה הרשת באמצעות הטמעה של אמצעי בקרה לאבטחה, כמו כללי חומת אש ו-NAT.
פילוח
ל-VMware Engine יש רשתות נפרדות לוגית בשכבה 2 שמגבילות את הגישה לרשתות הפנימיות שלכם בסביבת הענן הפרטי. כדי להגן על רשתות הענן הפרטי, אפשר להשתמש בחומת אש.Google Cloud במסוף אפשר להגדיר כללים לבקרה של תעבורת נתונים ב-EW וב-NS לכל תעבורת הנתונים, כולל תעבורת נתונים בתוך ענן פרטי, תעבורת נתונים בין עננים פרטיים, תעבורת נתונים כללית לאינטרנט ותעבורת נתונים ברשת לסביבה מקומית.
ניהול נקודות חולשה ותיקונים
Google אחראית על תיקון פרצות אבטחה בתוכנת VMware מנוהלת (ESXi, vCenter ו-NSX) באופן תקופתי.
ניהול זהויות והרשאות גישה
אפשר לבצע אימות במסוף Google Cloud מ- Google Cloud באמצעות SSO. אתם מעניקים למשתמשים גישה ל Google Cloud מסוף באמצעות תפקידים והרשאות ב-IAM.
כברירת מחדל, VMware Engine יוצר בשבילכם חשבון משתמש בדומיין המקומי של vCenter בענן הפרטי. אפשר להוסיף משתמשים מקומיים חדשים או להגדיר את vCenter כך שישתמש במקור זהות קיים. לשם כך, מוסיפים מקור זהות קיים מקומי או מקור זהות חדש בענן הפרטי.
למשתמש שמוגדר כברירת מחדל יש הרשאות מספיקות לביצוע פעולות vCenter יומיומיות ב-vCenter בענן הפרטי, אבל אין לו גישת אדמין מלאה ל-vCenter. אם נדרשת גישת אדמין באופן זמני, אפשר להגדיל את ההרשאות לתקופה מוגבלת בזמן שמשלימים את משימות האדמין.
יכול להיות שבחלק מהכלים והמוצרים של צד שלישי שבהם אתם משתמשים בענן הפרטי, נדרשות הרשאות אדמין ב-vSphere. כשיוצרים ענן פרטי, VMware Engine יוצר גם חשבונות משתמשים של פתרונות עם הרשאות אדמין שאפשר להשתמש בהם עם כלים ומוצרים של צד שלישי.
תאימות
Google Cloud ממשיכה לפעול להרחבת הכיסוי שלה כדי לעמוד בסטנדרטים החשובים ביותר של תאימות. VMware Engine עומד בתקנים הבאים: ISO/IEC 27001, 27017, 27018; PCI-DSS; SOC 1, SOC 2 ו-SOC 3, ועוד. בנוסף, Google Cloud הסכם שותפות עסקית (BAA) חל גם על VMware Engine.
כדי לקבל עזרה בנושא ביקורת, אפשר לפנות לאיש הקשר האחראי לחשבון שלכם ולבקש את אישורי ה-ISO העדכניים, דוחות SOC והערכות עצמיות.