セキュリティの概要

Google Distributed Cloud（GDC）エアギャップは、ゼロトラスト アーキテクチャを使用して、パブリック Google Cloudやインターネットへの接続を必要とせずに、切断された環境でインフラストラクチャ、プラットフォーム サービス、アプリケーション ワークロードを保護します。

GDC のセキュリティ ドキュメントは、この概要と 2 つの専用ドキュメントで構成されています。

  • セキュリティの概要: セキュリティ戦略（ゼロトラストの柱と責任の共有）、暗号、Identity and Access Management（IAM）、コンプライアンスについて説明します。
  • インフラストラクチャ、ネットワーク、ワークロードのセキュリティ: 施設のセキュリティ、ハードウェアのセキュリティ、ホストとノードのセキュリティ、マルチテナントの分離、アプリケーション サプライ チェーンのセキュリティ、ネットワーク セグメンテーションが含まれます。
  • セキュリティ運用: インフラストラクチャとテナントのセキュリティ モニタリング、脆弱性の管理、インシデント対応、外部のセキュリティ情報およびイベント管理（SIEM）ログのエクスポート、監査ロギング、緊急アクセス、障害復旧、ローリング アップグレードが含まれます。

セキュリティ戦略

GDC は、ネットワークの場所、デバイスの所有権、ユーザー ID に基づく暗黙的な信頼を前提としないゼロトラスト アーキテクチャに基づいて構築されています。ハードウェア、コントロール プレーン、ワークロードの各レイヤにわたるすべてのリクエストは、認証、認可、暗号化される必要があります。ゼロトラストの原則が切断されたデプロイにどのように適用されるかに関するアーキテクチャの詳細については、GDC ゼロトラスト戦略ホワイトペーパーと Google Distributed Cloud のエアギャップ環境へのゼロトラスト アプローチをご覧ください。

GDC セキュリティ モデルは、次の 7 つのゼロトラストの柱に沿っています。

GDC の 7 つのゼロトラスト セキュリティの柱を示す図。

責任の共有モデル

GDC のセキュリティは、インフラストラクチャ、プラットフォーム、ワークロードの各レイヤで共有される責任です。Infrastructure as a Service（IaaS）、Platform as a Service（PaaS）、Software as a Service（SaaS）のいずれを使用するかによって、運用上の責任は次の図のように分かれます。

セキュリティの各レイヤにおけるインフラストラクチャ、プラットフォーム、ワークロードの共有責任を示す図。

  • インフラストラクチャ レイヤ: ハードウェア アプライアンス、スイッチ、ストレージ アレイ、ルート管理者クラスタ、インフラストラクチャ セキュリティ モニタリングなど、基盤となるシステム インフラストラクチャを対象とします。システム アップグレード、ハードウェア ライフサイクル管理、インフラストラクチャ セキュリティ運用は、機密性の高いお客様のワークロード データにアクセスすることなく実行されます。
  • 組織とプラットフォーム レイヤ: 組織レベルの IdP 接続、ロール バインディング、鍵管理システム（KMS）鍵、PKI 証明書、プロジェクト ネットワーク ポリシー、共有 Kubernetes クラスタ、組織のオブザーバビリティとログのエクスポートなど、テナント組織の管理をカバーします。
  • ワークロードとアプリケーション レイヤ: 組織のセキュリティ ポリシーに従って、分離されたプロジェクトの名前空間内でコンテナ化されたワークロードと仮想マシン（VM）ワークロードの開発、デプロイ、モニタリングを行います。

詳細については、以下のドキュメントをご覧ください。

トピック ドキュメントと構成ガイド
アーキテクチャとオーディエンス ドキュメントの対象者とリソース階層
分離と責任の共有 アクセス境界の設計、ワークロード分離の設計、Marketplace の責任の共有モデル

暗号化

GDC は、FIPS 認証済みのハードウェア セキュリティ モジュール（HSM）に支えられた統合鍵管理システム（KMS）、Certificate Authority Service（CAS）、公開鍵基盤（PKI）を提供し、保存データと転送中のデータを保護します。

  • PKI と CAS: 内部ルート認証局（CA）、外部中間 CA、カスタム ウェブ TLS 証明書、ワークロード CA をサポートし、コントロール プレーンと Ingress エンドポイント全体で証明書の発行、更新、信頼バンドルの配布を自動化します。
  • KMS と HSM: 組織ごとに HSM でサポートされるエンベロープ暗号化階層を使用します。これにより、対称暗号鍵と非対称署名鍵を管理し、顧客管理の暗号鍵（CMEK）を使用して暗号消去を行うことができます。
  • 保存データの暗号化と転送時のデフォルトの暗号化: すべてのブロック、ファイル、オブジェクト、サーバー ディスク ストレージを、デフォルトで多層 FIPS 認証済みの AES-256 暗号化を使用して保存時に暗号化します。また、TLS、相互 TLS（mTLS）、IPsec、MACsec を使用して、転送中のすべてのトラフィックを保護します。

詳細については、以下のドキュメントをご覧ください。

トピック ドキュメントと構成ガイド
PKI と証明書 信頼バンドルを取得する、ウェブ TLS 証明書の構成、PKI モードの移行、Certificate Authority Service
鍵管理（KMS、CMEK、HSM） 鍵管理システム、顧客管理の暗号鍵、HSM 鍵の管理
データとストレージの暗号化 保存データの暗号化、転送データの暗号化、暗号化されたストレージ バケットを管理する、指標を暗号化する

Identity and Access Management

GDC の Identity and Access Management（IAM）は、人間のユーザーとワークロード サービス ID（ProjectServiceAccount）を認証し、グローバル リソースとゾーンリソース全体で最小権限アクセスと職掌分散を適用します。GDC をエンタープライズ ID プロバイダ（IdP）に接続するには、OpenID Connect（OIDC）または SAML 2.0 と多要素認証（MFA）を使用します。次に、組織、プロジェクト、Kubernetes クラスタを対象とする事前定義ロールまたはカスタムロールにユーザーまたはグループをバインドして、アクセス権を付与します。

詳細については、以下のドキュメントをご覧ください。

トピック ドキュメントと構成ガイド
ID プロバイダと認証 認可とアクセス制御、ID プロバイダに接続する、サービス ID
ロール バインディングとアクセス制御 アクセス権の付与と取り消し、標準クラスタへのアクセスを管理する、事前定義ロールの権限

コンプライアンス

GDC は、継続的なインベントリ トラッキング、脆弱性スキャン、ペネトレーション テスト、障害復旧の検証を通じて、主権を持つお客様が厳格なコンプライアンス要件を満たせるように設計されています。GDC は認定施設で運用されるため、最終的なシステム認定（運用権限など）の取得は責任の共有モデルに従います。

Security Technical Implementation Guide（STIG）コンプライアンス

STIG ルール RHEL-08-040320 では、xorg-x11-server-common パッケージは、NVIDIA GPU ドライバとハードウェア アクセラレーション ライブラリ（Vulkan や Mesa など）に必要な承認済みのシステム依存関係です。グラフィカル ディスプレイ マネージャー サービスは、ノード オペレーティング システム イメージで無効になっており、非アクティブです。

詳細については、以下のドキュメントをご覧ください。

トピック ドキュメントと構成ガイド
ベンチマークとポリシー CIS Kubernetes Benchmark と組織のポリシーを構成する
監査ロギングと保持 監査ログの概要、監査ログの保護と復元、WORM バケットの作成