Google Distributed Cloud（GDC）エアギャップは、認定データセンター施設にデプロイされたハードウェア ラック、ホスト オペレーティング システム、マルチテナント境界、ソフトウェア サプライ チェーン、ネットワーク トラフィックの保護に役立ちます。
施設のセキュリティ
GDC ハードウェアは、お客様またはお客様が指定した施設オペレーターが管理する、認定されたデータセンター施設内にデプロイされます。組織とインフラストラクチャ オペレーターは、GDC ラックをホストする施設の物理アクセス制御、環境保護、メディア処理手順を適用する責任があります。
推奨される物理的なセキュリティ管理は次のとおりです。
- 境界とラックのアクセス制御: バッジリーダー、生体認証、訪問者エスコート ログ、24 時間 365 日の警備員パトロール、ロックされたラックドアを使用して、データセンターと GDC ラックへの物理的なアクセスを制限します。
- 監視と不正使用検出: 継続的な閉回路テレビ（CCTV）と物理的な侵入アラームでラック通路を監視します。
- 電源、冷却、ケーブルの分離: 規制要件と認定要件（ISO/IEC 27001 や ICD 705 など）を満たす冗長電源、環境モニタリング、保護されたケーブル経路を提供します。
ハードウェアのセキュリティ
GDC は、審査済みの相手先ブランド製品製造企業（OEM）の商用オフザシェルフ（COTS）コンポーネントで製造された、事前統合済みのモジュラー ハードウェア ラックで動作します。バックグラウンド チェックを受けたスタッフが常駐する認定リージョン施設で、ハードウェア ラックを統合します。リスクの高いハードウェア コンポーネントとファームウェア コンポーネントは、サプライ チェーンや物理的な改ざんの脅威に対する専用のセキュリティ レビューも受けます。
主なハードウェア セキュリティ管理は次のとおりです。
- コンピューティング サーバー: ベアメタル サーバーは、ハードウェア ルート オブ トラスト、トラステッド プラットフォーム モジュール（TPM 2.0）、署名付きベースボード管理コントローラ（BMC）ファームウェアを使用して、オペレーティング システムを読み込む前にハードウェアとブートの整合性を検証します。
- ネットワーク スイッチと境界ファイアウォール: トップオブラック スイッチと管理スイッチは、ポートレベルのアクセス制御と MACsec 暗号化を適用します。冗長な境界ファイアウォールは、ゾーン境界でラインレートのステートフル検査と侵入防止を提供します。
- ストレージ アプライアンス: エンタープライズ ブロック、ファイル、オブジェクト ストレージ アプライアンスは、自己暗号化ドライブ（SED）でハードウェア アクセラレーションによる AES-256 保存データの暗号化を適用し、専用のストレージ仮想マシン（SVM）を介して論理テナント分離を適用します。
- ハードウェア セキュリティ モジュール（HSM）: 専用のネットワーク接続 HSM アプライアンス（FIPS 140-2 レベル 3 および FIPS 140-3 認証済み）が、改ざん防止ハードウェアでルート暗号鍵を生成、保存、保護します。
詳細については、以下のドキュメントをご覧ください。
| トピック | ドキュメントと構成ガイド |
|---|---|
| ハードウェアと HSM の管理 | HSM 鍵を制御するとクラスタノード マシン |
ホストとノードのセキュリティ
GDC のすべてのベアメタル ホストと Kubernetes クラスタノードは、攻撃対象領域を最小限に抑え、不正な権限昇格を防ぐように構成された、強化されたオペレーティング システム イメージを実行します。
- STIG 強化オペレーティング システム: ノードは、国防情報システム局（DISA）のセキュリティ技術実装ガイド（STIG）と Center for Internet Security（CIS）ベンチマークに準拠して強化された Linux を実行します。不要なパッケージ、コンパイラ、ネットワーク サービスはベースイメージから削除されます。
- UEFI セキュアブート: ベアメタル ホストとユーザー仮想マシン（VM）の両方が UEFI セキュアブートをサポートしており、起動時に暗号署名されたブートローダーとカーネル イメージのみが実行されることを確認します。
- カーネルと強制アクセス制御: ノードは、強制モードの SELinux、seccomp システムコール フィルタリング、Linux 名前空間、cgroups リソース制限を適用して、基盤となるホストカーネルからコンテナを分離します。
- ホストの整合性とエンドポイント保護: ファイル整合性モニタリング（FIM）は、重要なシステム ファイルに不正な変更がないかチェックします。エンドポイント検出対応（EDR）とマルウェア対策コントロールは、プロセスの実行とホストのテレメトリーをモニタリングします。
詳細については、以下のドキュメントをご覧ください。
| トピック | ドキュメントと構成ガイド |
|---|---|
| ノードの分離とベンチマーク | ノード分離の概要と CIS Kubernetes Benchmark |
| VM のセキュアブートと OS 管理 | VM をセキュアブートする、OS パッケージを管理する |
テナンシー
GDC は、組織間の物理的な分離とネットワーク分離、組織内のプロジェクト間の論理的な Namespace 分離の両方を備えた階層型マルチテナンシーを提供します。
組織、クラスタ、プロジェクト間の論理的な分離
次の図は、ルート管理者クラスタ、組織インフラストラクチャ クラスタ、ワークロード クラスタが管理境界とテナント境界を越えて分離される仕組みを示しています。
- ルート管理者クラスタ: 組織のブートストラップ、ハードウェア インベントリの管理、インフラストラクチャのセキュリティ サービスとオブザーバビリティ サービスの実行専用です。
- 組織: 最上位のテナント境界。各組織には、独自の専用組織インフラストラクチャ クラスタ、ID プロバイダ構成、鍵管理システム（KMS）階層、仮想ルーティングおよび転送（VRF）インスタンスがあります。
- Kubernetes クラスタ: 組織スコープの共有クラスタ（複数のプロジェクトをホストする）またはプロジェクト スコープの標準クラスタ（ワークロードの分離を強化するために単一のプロジェクト専用）をプロビジョニングできます。
- プロジェクト: VM、コンテナ、データベース、ストレージ リソースをデプロイする組織内の論理テナンシー ユニット。プロジェクトは、Kubernetes Namespace の同一性、ロールベース アクセス制御（RBAC）の境界、プロジェクト ネットワーク ポリシーをクラスタ全体に適用します。
ラック間の物理的な分離と VRF 分離
物理 42U ラック全体で、GDC は組織を個別のコンピューティング サーバー、ストレージ仮想マシン（SVM）、ネットワーク VRF に分離するため、組織間で物理コンピューティング サーバーが共有されることはありません。
詳細については、以下のドキュメントをご覧ください。
| トピック | ドキュメントと構成ガイド |
|---|---|
| リソース階層とプロジェクト | リソース階層とプロジェクトの管理 |
| Kubernetes クラスタ | GDC の Kubernetes クラスタとクラスタ構成 |
| 境界とワークロードの設計 | アクセス境界の設計とワークロード分離の設計 |
アプリケーションのセキュリティ
GDC は、エアギャップを介して提供されるプラットフォーム ソフトウェアと、組織内にデプロイされたお客様のアプリケーションの両方を保護します。
ソフトウェア サプライ チェーンと SLSA の検証
すべての GDC プラットフォーム コンポーネント、ファーストパーティ サービス、マネージド サードパーティ サービスは、分離された密閉型のビルド環境でビルドされ、脆弱性がスキャンされます。アーティファクトは、エアギャップ（「ハイサイド」）を越えて転送される前に、ソフトウェア アーティファクトのためのサプライ チェーン レベル（SLSA）の要件に準拠して、接続側（「ローサイド」）で署名されます。
各リリースには、ソフトウェア コンポーネント、依存関係、ライブラリの詳細を記載したソフトウェア部品構成表（SBOM）が含まれています。アーティファクトは、デプロイ前に暗号署名と SHA-256 チェックサムを使用して検証されます。
Artifact Registry とポリシーの適用
GDC は、デプロイ前にコンテナ イメージとポリシーの制御を適用します。
- ローカル Artifact Registry（Harbor）: コンテナ イメージと Helm チャートは、エアギャップ環境内のローカル Harbor レジストリに保存され、外部インターネット アクセスなしでイメージ署名と脆弱性スキャンをサポートします。
- アドミッション コントロールと組織のポリシー: Open Policy Agent（OPA）Gatekeeper は、Kubernetes クラスタに組織のポリシーを適用し、権限昇格、ホスト ネットワーク アクセス、信頼できないコンテナ イメージを使用して Pod が実行されないようにします。
詳細については、以下のドキュメントをご覧ください。
| トピック | ドキュメントと構成ガイド |
|---|---|
| ポリシーと Artifact Registry | 組織のポリシーを構成する、Harbor リソースを作成して管理する |
| ワークロードとサービス | GDC のコンテナ ワークロードと Marketplace サービスをデプロイする |
ネットワーク セキュリティ
GDC は、物理スイッチポートからレイヤ 7 サービス メッシュ ポリシーまで、多層ネットワーク セグメンテーションを適用します。
データプレーンの VRF と VXLAN のセグメンテーション
データプレーン ファブリックは、Virtual Extensible LAN（VXLAN）カプセル化を備えたマルチプロトコル BGP（MP-BGP）イーサネット VPN（EVPN）を使用して、ルート管理者クラスタと各テナント組織間のトラフィックを分離します。
- アウトオブバンド（OOB）管理ネットワーク: ハードウェア管理インターフェースは、テナント トラフィックから分離され、ルート管理者クラスタからのみアクセス可能な、物理的に分離された管理ネットワーク上で動作します。
- VRF と VXLAN の分離: 各組織には、専用のレイヤ 3 仮想ネットワーク識別子（VNI）、外部 VRF と内部 VRF、分離されたストレージ仮想マシン（SVM）が割り当てられます。これにより、明示的なファイアウォール トラバーサルなしで、テナント トラフィックが組織の境界を越えることはできません。
- 次世代ファイアウォール、IDPS、サービス拒否（DoS）保護: 境界ファイアウォールと侵入検知 / 防止システム（IDPS）は、デフォルト拒否の体制を適用し、脅威シグネチャに対してインバウンド トラフィックとアウトバウンド トラフィックを検査し、ロードバランサと連携してセッション フラッドをスロットルします。ファイアウォールと IDPS のログは、組織のオブザーバビリティ スタックとインフラストラクチャのセキュリティ モニタリングに統合されます。
- プロジェクトと Kubernetes ネットワーク ポリシー: 組織内で、
ProjectNetworkPolicy、OrganizationNetworkPolicy、Cilium を基盤とする KubernetesNetworkPolicyリソースを使用して、プロジェクトと Pod 間のデフォルト拒否マイクロセグメンテーションを適用できます。
詳細については、以下のドキュメントをご覧ください。
| トピック | ドキュメントと構成ガイド |
|---|---|
| 境界と脅威の防止 | ネットワーキングの概要、リクエストの脅威防止、下り（外向き）制御 |
| ネットワーク ポリシーとフローログ | 組織のネットワーク ポリシー、プロジェクト ネットワーク ポリシー、Kubernetes ネットワーク ポリシーを構成する、フローログを管理する |
| 外部接続 | GDC VPN を構成する、相互接続との接続を確立する |