本文提供高階架構，說明如何保護 Google Cloud中含有機密資料 (包括個人識別資訊 (PII)) 的大量資料集。這個架構旨在保護機密資料，避免意外曝光和惡意竊取。適用對象為資料法規遵循人員和雲端安全工程師，且須熟悉基礎雲端網路和身分概念。這個架構強調使用網路 perimeter，明確覆寫寬鬆的身分與存取權管理 (IAM) 設定，防止未經授權的公開存取，即使資源設定錯誤也一樣。
本文的部署一節提供 Terraform 程式碼範例，可自行部署這個 perimeter 並模擬公開存取權封鎖。
架構
下方的架構圖說明 Google Cloud上完善的多層式資料保護策略。有效呈現資料如何從非結構化狀態，移至安全且受控管的環境。
上圖顯示各項 Google 服務如何為資料提供安全性，從初始資料上傳到資料存取：
- 具備適當 IAM 權限的使用者將資料上傳至 BigQuery 或 Cloud Storage 資料儲存庫服務。儲存空間服務已設為使用客戶自行管理的加密金鑰 (CMEK) 和 Cloud KMS Autokey。
- 服務會使用從 Cloud KMS Autokey 擷取的 CMEK 加密資料。
- Sensitive Data Protection 會持續檢查、分類及去識別化存放區中的機密資料。為去識別化機密資料，Sensitive Data Protection 會使用您設定的範本和選項遮蓋資料。
- 儲存空間服務位於 VPC Service Controls 範圍內，會封鎖來自範圍外的資料存取。如要將存取權限授予指定的使用者和系統 (IAM 主體)，請使用 Access Context Manager 存取層級範本。指定的主體可以存取 perimeter 內的資料。
- VPC Service Controls 會拒絕存取層級範本中未指定的所有使用者。
使用的產品
- VPC Service Controls：代管網路功能，可盡量降低 Google Cloud 資源的資料竊取風險。
- Sensitive Data Protection：這項全代管服務可協助您探索、分類及保護寶貴的資料資產，包括個人識別資訊 (PII)。
- Cloud Key Management Service (Cloud KMS)：這項服務可讓您透過單一集中式雲端服務，建立、匯入及管理加密編譯金鑰，並執行加密編譯作業。
- Access Context Manager：這項服務可讓您依據屬性，為 Google Cloud中的專案和資源定義精細的存取控管政策。
- BigQuery：企業資料倉儲，內建機器學習、地理空間分析和商業智慧等功能，可協助您管理及分析資料。
- Cloud Storage：適用於多種資料類型的物件儲存庫，成本低廉且沒有限制。資料在 Google Cloud內外都能存取，且會複製到多個位置，以便提供備援機制。
用途
這個架構提供完善的安全架構，可在 Google Cloud中處理機密資料。著重於資料保護、存取控管和資料竊取防護。這項架構結合強大的加密功能、自動化資料去識別化和網路周邊控管機制，有助於為機密資料建立安全環境。這項實作可確保資料以客戶控管的金鑰 (CMEK) 加密、自動偵測及遮蓋機密資訊，並嚴格限制及依情境管理存取權。這些措施有助於大幅降低資料竊取風險。
以下是本文所述架構的用途範例：
- 受監管的產業 (金融、醫療照護、公部門)：受嚴格監管的產業需要安全架構，以協助達成法規遵循和資料安全性。為確保法規遵循並保護敏感的客戶資料，必須確保靜態資料安全、探索敏感資料，並實施存取控管。建議受監管的產業採用這項設計，以符合資料法規。
- 不受法規管制的產業：不受資料法規管制的產業，可透過實施完善的安全架構獲益。因此，請務必防止機密資料外洩、安全地儲存資料，並制定資料存取控管政策。本文中的架構可協助不受監管的產業達到與高度監管產業相同的安全性等級。建議不受監管的產業採用這項設計，做為最佳做法。
設計須知
- 如要分析記錄違規情形，並防止正式版工作負載意外遭到鎖定，請一律先在模擬測試模式中實作 VPC Service Controls。
- 為確保受信任的公司網路和管理裝置能與受保護的資源互動，請定義精確的 Access Context Manager 政策和層級。
如要快速且符合成本效益地找出機密資料可能所在的位置，請在大型資料集上啟用取樣功能，並執行 Sensitive Data Protection。詳情請參閱下列資源：
為確保這些資料集受到全面保護，請在使用取樣功能檢查資料後，執行全面掃描。詳情請參閱「機密資料探索總覽」。
為確保自動強制執行加密，請在建立資源前，於資料夾或專案層級啟用 Cloud KMS Autokey。
部署作業
如要部署這個架構的範例實作，請使用 GitHub 提供的資料安全性程式碼範例。
後續步驟
- 如要瞭解 Cloud KMS Autokey，請參閱「使用 Cloud KMS Autokey 輕鬆加密資源」程式碼實驗室。
- 瞭解如何搭配使用 VPC Service Controls 與 Access Context Manager。
- 如要查看更多參考架構、圖表和最佳做法，請瀏覽 Cloud Architecture Center。
貢獻者
作者：
- Manish Gaur | 資安架構師
- James Meyer | 資安架構師
其他貢獻者：
- Osvaldo Costa | 網路專家客戶工程師
- Susan Wu | 對外產品經理
- Mark Schlagenhauf | 網路技術文件撰稿者
- Biodun Awojobi | 安全性與法規遵循客戶工程主管