Google Distributed Cloud (GDC) 网闸隔离配置使用零信任架构，可帮助您在断开连接的环境中保护基础设施、平台服务和应用工作负载，而无需连接到公共 Google Cloud或互联网。
GDC 中的安全文档分为本概览和两个专用文档：
- 安全概览：涵盖安全策略（零信任支柱和责任共担）、加密、Identity and Access Management (IAM) 和合规性。
- 基础设施、网络和工作负载安全：涵盖设施安全、硬件安全、主机和节点安全、多租户隔离、应用供应链安全和网络分段。
- 安全运维：涵盖基础设施和租户安全监控、漏洞管理、突发事件响应、外部安全信息和事件管理 (SIEM) 日志导出、审核日志记录、紧急访问、灾难恢复和滚动升级。
安全策略
GDC 基于零信任架构构建，该架构假定不基于网络位置、设备所有权或用户身份进行隐式信任。跨硬件、控制平面和工作负载层的每个请求都必须经过身份验证、授权和加密。如需了解零信任原则如何应用于断开连接的部署的架构细节，请参阅 GDC 零信任策略白皮书和 Google Distributed Cloud 的网闸隔离零信任方法。
GDC 安全模型符合以下七个零信任支柱：
- 身份和用户：通过企业身份提供方 (IdP) 对人员和服务身份进行身份验证，并在组织和项目中强制执行最小特权访问。
- 设备和端点：验证硬件和启动完整性，根据防御基准强化主机和节点操作系统，并持续监控主机是否存在未经授权的更改。
- 应用和工作负载：使用经过验证的软件供应链、具有漏洞扫描功能的本地 Container Registry 以及集群准入政策，保护从构建到运行时的软件完整性。
- 数据和加密：默认情况下，使用由硬件支持的加密密钥、客户管理的加密密钥 (CMEK) 和自动化公钥基础架构 (PKI) 保护静态数据和传输中的数据。
- 网络和环境：使用多层网络分段、边界检查和默认拒绝网络政策，隔离管理平面、租户组织和项目工作负载。
- 自动化和编排：通过声明式变更管理强制执行一致的配置、无中断滚动升级和经过审核的紧急访问。
- 可见性和分析：收集和关联整个平台的审核、运营和安全遥测，并支持将租户日志导出到外部安全监控系统。
责任共担模型
GDC 中的安全是基础设施、平台和工作负载层共同承担的责任。根据您使用的是基础设施即服务 (IaaS)、平台即服务 (PaaS) 还是软件即服务 (SaaS)，运营责任划分如下图所示：
- 基础设施层：涵盖底层系统基础设施，包括硬件设备、交换机、存储阵列、root-admin 集群和基础设施安全监控。系统升级、硬件生命周期管理和基础架构安全运维均在不访问敏感客户工作负载数据的情况下执行。
- 组织和平台层：涵盖租户组织管理，包括组织级层 IdP 连接、角色绑定、密钥管理系统 (KMS) 密钥、PKI 证书、项目网络政策、共享 Kubernetes 集群以及组织可观测性和日志导出。
- 工作负载和应用层：涵盖根据组织安全政策在隔离的项目命名空间内开发、部署和监控容器化和虚拟机 (VM) 工作负载。
如需了解详情，请参阅以下文档：
| 主题 | 文档和配置指南 |
|---|---|
| 架构和受众群体 | 文档受众群体和资源层次结构 |
| 隔离和责任共担 | 设计访问边界、设计工作负载分离和 Marketplace 责任共担模型 |
加密
GDC 提供集成的密钥管理系统 (KMS)、Certificate Authority Service (CAS) 和公钥基础架构 (PKI)，这些服务由经过 FIPS 验证的硬件安全模块 (HSM) 提供支持，可保护静态数据和传输中的数据：
- PKI 和 CAS：在控制平面和入站流量端点之间自动执行证书颁发、续订和信任包分发，并支持内部根证书授权机构 (CA)、外部中间 CA、自定义 Web TLS 证书和工作负载 CA。
- KMS 和 HSM：每个组织使用一个由 HSM 支持的信封加密层次结构，让您可以管理对称加密密钥和非对称签名密钥，并使用客户管理的加密密钥 (CMEK) 进行加密擦除。
- 默认静态加密和传输中加密：默认情况下，使用经过 FIPS 验证的多层 AES-256 加密技术对所有静态块、文件、对象和服务器磁盘存储进行加密，并使用 TLS、双向 TLS (mTLS)、IPsec 或 MACsec 保护传输中的所有流量。
如需了解详情，请参阅以下文档：
| 主题 | 文档和配置指南 |
|---|---|
| PKI 和证书 | 提取信任包、Web TLS 证书配置、转换 PKI 模式和Certificate Authority Service |
| 密钥管理（KMS、CMEK 和 HSM） | 密钥管理系统、客户管理的加密密钥和控制 HSM 密钥 |
| 数据和存储加密 | 静态加密、传输加密、管理加密存储桶和加密指标 |
Identity and Access Management
GDC 中的 Identity and Access Management (IAM) 可对人类用户和工作负载服务身份 (ProjectServiceAccount) 进行身份验证，并对全球和可用区级资源强制执行最小权限访问和职责分离。您可以使用 OpenID Connect (OIDC) 或 SAML 2.0 以及多重身份验证 (MFA) 将 GDC 连接到企业身份提供方 (IdP)。然后，您可以通过将用户或群组绑定到组织、项目或 Kubernetes 集群范围内的预定义角色或自定义角色来授予访问权限。
如需了解详情，请参阅以下文档：
| 主题 | 文档和配置指南 |
|---|---|
| 身份提供方和身份验证 | 授权和访问权限控制、连接到身份提供方和服务身份 |
| 角色绑定和访问权限控制 | 授予和撤消访问权限、管理对 Standard 集群的访问权限和预定义角色权限 |
合规
GDC 旨在通过持续的资产清单跟踪、漏洞扫描、渗透测试和灾难恢复验证，帮助主权客户满足严格的合规要求。由于 GDC 在您经过认证的设施中运行，因此实现最终系统认证（例如运营授权）遵循责任共担模型。
安全技术实施指南 (STIG) 合规性
根据 STIG 规则 RHEL-08-040320，xorg-x11-server-common 软件包是 NVIDIA GPU 驱动程序和硬件加速库（例如 Vulkan 和 Mesa）所需的已获批准的系统依赖项。图形显示管理器服务在节点操作系统映像上处于停用和非活跃状态。
如需了解详情，请参阅以下文档：
| 主题 | 文档和配置指南 |
|---|---|
| 基准和政策 | CIS Kubernetes 基准和配置组织政策 |
| 审核日志记录和保留 | 审核日志概览、保护和恢复审核日志以及创建 WORM 存储桶 |