Google Distributed Cloud (GDC) 网闸隔离配置有助于保护在经过认证的数据中心设施中部署的硬件机架、主机操作系统、多租户边界、软件供应链和网络流量。
设施安全
GDC 硬件部署在由您或您指定的设施运营商控制的经认证的数据中心设施内。贵组织和基础设施运营商负责对托管 GDC 机架的设施实施物理访问权限控制、环境保护和介质处理程序。
建议的物理安全控制措施包括：
- 边界和机架访问权限控制：使用工牌读取器、生物识别验证、访客陪同日志、全天候保安巡逻和锁定的机架门，限制对数据中心和 GDC 机架的物理访问。
- 监控和破坏检测：通过持续的闭路电视 (CCTV) 和物理入侵警报监控机架通道。
- 电源、冷却和布线隔离：提供满足您的监管和认证要求（例如 ISO/IEC 27001 或 ICD 705）的冗余电源、环境监控和受保护的布线路径。
硬件安全
GDC 在预集成、模块化硬件机架上运行，这些机架由经过审核的原始设备制造商 (OEM) 提供的商用现货 (COTS) 组件制造。经过认证的区域设施由经过背景调查的人员负责集成硬件机架。高风险硬件和固件组件也会接受专门的安全审核，以防范供应链和物理篡改威胁。
主要硬件安全控制措施包括：
- 计算服务器：裸金属服务器使用硬件信任根、可信平台模块 (TPM 2.0) 和已签名的基板管理控制器 (BMC) 固件，在加载操作系统之前验证硬件和启动完整性。
- 网络交换机和边界防火墙：机架顶端交换机和管理交换机强制执行端口级访问权限控制和 MACsec 加密。冗余边界防火墙在可用区边界提供线速有状态检查和入侵防御。
- 存储设备：企业级块、文件和对象存储区设备通过专用存储虚拟机 (SVM) 在自加密驱动器 (SED) 上强制执行硬件加速的 AES-256 静态加密和逻辑租户隔离。
- 硬件安全模块 (HSM)：专用的网络连接 HSM 设备（通过 FIPS 140-2 3 级和 FIPS 140-3 验证）在防篡改硬件中生成、存储和保护根加密密钥。
如需了解详情，请参阅以下文档：
| 主题 | 文档和配置指南 |
|---|---|
| 硬件和 HSM 管理 | 控制 HSM 密钥和集群节点机器 |
主机和节点安全
GDC 中的每个裸金属主机和 Kubernetes 集群节点都运行经过安全加固的操作系统映像，该映像经过配置，可最大限度地减少攻击面并防止未经授权的提权。
- STIG 安全强化型操作系统：节点运行 Linux，该系统已根据美国国防信息系统局 (DISA) 安全技术实施指南 (STIG) 和互联网安全中心 (CIS) 基准进行了安全强化。不必要的软件包、编译器和网络服务会从基础映像中移除。
- UEFI 安全启动：裸机主机和用户虚拟机 (VM) 均支持 UEFI 安全启动，以验证在启动期间仅运行经过加密签名的引导加载程序和内核映像。
- 内核和强制访问权限控制：节点在强制模式下强制执行 SELinux、seccomp 系统调用过滤、Linux 命名空间和 cgroups 资源限制，以将容器与底层主机内核隔离开来。
- 主机完整性和端点保护：文件完整性监控 (FIM) 会检查关键系统文件是否存在未经授权的更改，而端点检测和响应 (EDR) 以及反恶意软件控制措施会监控进程执行和主机遥测。
如需了解详情，请参阅以下文档：
| 主题 | 文档和配置指南 |
|---|---|
| 节点隔离和基准 | 节点隔离概览和 CIS Kubernetes 基准 |
| 虚拟机安全启动和操作系统管理 | 安全地启动虚拟机和管理操作系统软件包 |
租用
GDC 提供分层多租户，在组织之间提供硬物理和网络隔离，在组织内的项目之间提供逻辑命名空间隔离。
跨组织、集群和项目的逻辑隔离
下图展示了 root-admin 集群、组织基础设施集群和工作负载集群如何在管理和租户边界之间隔离：
- root-admin 集群：专用于引导组织、管理硬件清单以及运行基础架构安全性和可观测性服务。
- 组织：顶级租户边界。每个组织都有自己的专用组织基础设施集群、身份提供方配置、密钥管理系统 (KMS) 层次结构以及虚拟路由和转发 (VRF) 实例。
- Kubernetes 集群：您可以预配组织级共享集群（托管多个项目）或项目级标准集群（专用于单个项目，以实现更强的工作负载隔离）。
- 项目：组织内的逻辑租户单元，您可以在其中部署虚拟机、容器、数据库和存储资源。项目会在集群中强制执行 Kubernetes 命名空间相同性、基于角色的访问权限控制 (RBAC) 边界和项目网络政策。
跨机架的物理和 VRF 隔离
在物理 42U 机架中，GDC 将组织隔离到单独的计算服务器、存储虚拟机 (SVM) 和网络 VRF 上，因此组织之间不会共享物理计算服务器：
如需了解详情，请参阅以下文档：
| 主题 | 文档和配置指南 |
|---|---|
| 资源层次结构和项目 | 资源层次结构和管理项目 |
| Kubernetes 集群 | GDC 中的 Kubernetes 集群和集群配置 |
| 边界和工作负载设计 | 设计访问边界和设计工作负载分离 |
应用安全保障
GDC 可保护通过网闸隔离交付的平台软件以及在组织内部署的客户应用。
软件供应链和 SLSA 验证
所有 GDC 平台组件、第一方服务和代管式第三方服务都是在隔离、封闭的构建环境中构建的，并会进行漏洞扫描。在跨网闸（“高侧”）传输之前，制品会在连接侧（“低侧”）进行签名，以符合软件制品的供应链等级 (SLSA) 要求。
每个版本都包含一份软件物料清单 (SBOM)，其中详细列出了软件组件、依赖项和库，并且在部署前会使用加密签名和 SHA-256 校验和对工件进行验证。
制品注册表和政策执行
GDC 会在部署前强制执行容器映像和政策控制：
- 本地 Artifact Registry (Harbor)：容器映像和 Helm 图表存储在经过网闸隔离的环境内的本地 Harbor 注册表中，支持映像签名和漏洞扫描，无需外部互联网访问。
- 准入控制和组织政策：Open Policy Agent (OPA) Gatekeeper 在 Kubernetes 集群上强制执行组织政策，防止 Pod 在提权、主机网络访问或不受信任的容器映像的情况下运行。
如需了解详情，请参阅以下文档：
| 主题 | 文档和配置指南 |
|---|---|
| 政策和 Artifact Registry | 配置组织政策以及创建和管理 Harbor 资源 |
| 工作负载和服务 | GDC 中的容器工作负载和部署 Marketplace 服务 |
网络安全
GDC 强制执行多层网络分段，从物理交换机端口一直到第 7 层服务网格政策。
数据平面 VRF 和 VXLAN 分段
数据平面结构使用多协议 BGP (MP-BGP) 以太网 VPN (EVPN) 和虚拟可扩展 LAN (VXLAN) 封装来隔离 root-admin 集群与每个租户组织之间的流量。
- 带外 (OOB) 管理网络：硬件管理接口在物理上独立的管理网络上运行，该网络与租户流量隔离，只能从 root-admin 集群访问。
- VRF 和 VXLAN 隔离：每个组织都会分配专用的第 3 层虚拟网络标识符 (VNI)、外部和内部 VRF 以及隔离的存储虚拟机 (SVM)，因此租户流量在没有显式防火墙遍历的情况下无法跨越组织边界。
- 新一代防火墙、IDPS 和拒绝服务 (DoS) 防护：边界防火墙和入侵检测与防御系统 (IDPS) 强制执行默认拒绝策略，根据威胁特征检查入站和出站流量，并与负载均衡器配合使用来限制会话泛洪。防火墙和 IDPS 日志与组织的可观测性堆栈和基础设施安全监控集成。
- 项目和 Kubernetes 网络政策：在组织内，您可以使用
ProjectNetworkPolicy、OrganizationNetworkPolicy和 Cilium 支持的 KubernetesNetworkPolicy资源在项目和 Pod 之间强制执行默认拒绝微细分。
如需了解详情，请参阅以下文档：
| 主题 | 文档和配置指南 |
|---|---|
| 边界和威胁防护 | 网络概览、请求威胁防护和出站流量控制 |
| 网络政策和流日志 | 组织网络政策、项目网络政策、配置 Kubernetes 网络政策和管理流日志 |
| 外部连接 | 配置 GDC VPN 和通过互连建立连接 |