Blueprint de segurança: PCI no GKE

Last reviewed 2023-12-06 UTC

O blueprint do PCI no Google Kubernetes Engine contém um conjunto de configurações e scripts do Terraform que demonstram como inicializar um ambiente do PCI no Google Cloud. O núcleo desse blueprint é o aplicativo Boutique on-line, em que os usuários podem procurar itens, adicioná-los ao carrinho e comprá-los.

Esse blueprint foi desenvolvido para a versão 3.2.1 do Padrão de segurança de dados do setor de cartões de pagamento (PCI DSS). O blueprint permite implantar cargas de trabalho no GKE que se alinham ao PCI DSS de maneira repetível, com suporte e segura.

• Arquitetura
• Mapeamento de conformidade
• Recursos implantáveis
• Perguntas frequentes
• Recursos

Arquitetura

Visão geral do projeto

Nesse blueprint, você inicializará um ambiente de dados do titular do cartão (CDE, na sigla em inglês) no Google Cloud que contém a seguinte hierarquia de recursos:

• Um recurso organizacional.
• Um recurso de pasta. Esse tipo fornece um mecanismo de agrupamento e limites de isolamento entre projetos.

• Recursos de projeto. Você implantará os seguintes projetos do Google Cloud:

  • Rede: o projeto host da VPC compartilhada.
  • Gerenciamento: um projeto que manterá a infraestrutura de geração de registros e de monitoramento, como o Cloud Logging.
  • No escopo: um projeto que contém os recursos nesse estado. Na solução, o projeto consiste em um cluster do GKE projetado para executar aplicativos no escopo. No exemplo, isso inclui os serviços de front-end, pagamentos e finalização da compra.
  • Fora do escopo: um projeto que contém os recursos nesse estado. Na solução, isso é um cluster do GKE projetado para executar o restante dos serviços.

Aplicativo e projetos

O diagrama a seguir ilustra o limite do CDE no Google Cloud e quais projetos estão no escopo da avaliação do PCI do aplicativo microsservices-demo. Ao criar seu ambiente, você usa uma ilustração como esta para comunicar ao Google Cloud sobre recursos dentro e fora do limite do PCI.

O caminho 1 mostra dados de registro dos clusters do Kubernetes que vão para o Cloud Logging.

Layout de rede

Este diagrama ilustra os detalhes da rede e da sub-rede em cada projeto. Ele documenta os fluxos de dados entre projetos, além de fora e dentro do limite do CDE.

Tráfego criptografado

Este diagrama ilustra o tráfego criptografado que entra e sai do limite do PCI:

1. O tráfego criptografado por TLS (HTTPS) de fora da VPC vai para o balanceador de carga público no escopo.
2. O tráfego criptografado por TLS entre os nós do cluster do Kubernetes no escopo para o cluster fora do escopo vai para os balanceadores de carga internos.
3. O tráfego dos balanceadores de carga internos para o cluster fora do escopo é criptografado com mTLS usando o Istio.
4. A comunicação dentro de cada cluster é criptografada com mTLS usando o Istio.

Mapeamento de conformidade

O blueprint descrito neste documento aborda uma variedade de requisitos de conformidade com o PCI DSS. A tabela nesta seção destaca algumas dessas exigências.

Observação: o artigo PCI on GKE Blueprint Review for PCI Compliance (PDF) fornece uma avaliação independente de terceiros sobre o blueprint feita pelo auditor de PCI DSS do Google, o Coalfire (em inglês). Ele também fornece orientações sobre os elementos que você precisa abordar ao usar o blueprint.

Os itens na tabela a seguir não atendem a todos os requisitos. A conformidade com algumas exigências é atendida pela infraestrutura do Google Cloud como parte da responsabilidade compartilhada entre você e o Google. A conformidade com outros requisitos precisa ser implementada por você. Para uma explicação detalhada do modelo de responsabilidade compartilhada, veja Como explorar a segurança do contêiner: o modelo de responsabilidade compartilhada no GKE (em inglês) no blog do Google Cloud.

Observação: o mapeamento de conformidade descreve como os controles implementados no blueprint ajudam você a cumprir um requisito do PCI. No entanto, o blueprint não garante a conformidade com o PCI para os requisitos especificados mais adiante neste documento. É importante observar que a descrição dos detalhes de implementação no blueprint precisa ser revisada, analisada e aprovada por você e seu avaliador de segurança qualificado (QSA, na sigla em inglês), e disposta em camadas com outros recursos de segurança que abordam todos os sistemas no escopo e aplicativos de uma solução holística para atender aos requisitos do PCI.

Os números entre parênteses se referem às seções do documento do padrão de segurança de dados do setor de cartões de pagamento (PCI). É possível fazer o download do documento na biblioteca do site do PCI Security Standards Council.

Requisito	Seção	Descrição
Implementar a segmentação e a proteção de limites	1.3.2, 1.3.4	Esse blueprint ajuda você a implementar uma segmentação lógica usando projetos do Google Cloud. A segmentação permite criar um limite para a avaliação do PCI. Esse blueprint executa o Istio no Google Kubernetes Engine como um complemento que permite criar uma malha de serviço no cluster do GKE que inclui todos os componentes necessários. O blueprint também cria um perímetro de segurança usando a VPC em todos os projetos do Google Cloud no escopo do PCI.
Configurar o acesso de privilégio mínimo aos recursos do Google Cloud	7.1, 7.2	Esse blueprint ajuda você a implementar o controle de acesso com base em papéis para gerenciar quem tem acesso aos recursos do Google Cloud. O blueprint também implementa controles de acesso específicos do GKE, como controle de acesso com base em papéis (RBAC, na sigla em inglês) e namespaces para restringir (em inglês) o acesso aos recursos do cluster.
Estabelecer políticas no nível da organização		Com esse blueprint, você estabelece políticas que se aplicam ao recurso Organização do Google Cloud, como estas: Nenhum endereço IP externo Compartilhamento restrito de domínio Imagens confiáveis
Impor a separação de tarefas por meio da VPC compartilhada	7.1.2, 7.1.3	Esse projeto usa a VPC compartilhada para conectividade e o controle de rede segregado para aplicar a separação de tarefas (em inglês).
Aumentar a segurança do cluster	2.2, 2.2.5	Os clusters do GKE nesse blueprint são protegidos conforme descrito no Guia de segurança do GKE.

Essa lista é apenas um subconjunto dos controles de segurança implementados no blueprint que podem atender aos requisitos do PCI DSS. Encontre uma lista completa dessas exigências no documento Requisitos do PCI DSS (PDF em inglês) no GitHub.

Recursos implantáveis

O repositório PCI and GKE Blueprint (em inglês) no GitHub contém um conjunto de configurações e scripts do Terraform que mostram como inicializar um ambiente do PCI no Google Cloud. O blueprint "PCI no GKE" também mostra serviços, ferramentas e projetos do Google Cloud que são úteis para iniciar seu próprio ambiente do PCI no Google Cloud.

Perguntas frequentes

Como faço para usar esse blueprint?

O blueprint "PCI no GKE" fornece informações com instruções prescritivas sobre como criar ou migrar cargas de trabalho no GKE que estejam alinhadas aos requisitos de conformidade com o PCI.

O blueprint é composto pelos seguintes elementos (links em inglês):

• Um guia de implementação
• Arquiteturas de referência
• Scripts do Terraform que implementam a infraestrutura como código (IaC, na sigla em inglês)
• Um aplicativo de demonstração
• Mapeamentos de conformidade com o PCI

Recomendamos que você leia o guia de implementação e analise as arquiteturas de referência antes de implantar o ambiente do PCI usando o Terraform. Fornecemos um aplicativo de comércio eletrônico de demonstração que pode ser implantado para testar o ambiente do blueprint do PCI.

Essa é a única maneira de executar cargas de trabalho em conformidade com o PCI no Google Cloud?

Não. O PCI DSS é um conjunto de padrões de segurança, e há muitas maneiras de interpretar e implementar os controles para atender aos padrões. O blueprint foi criado como um conjunto de práticas recomendadas e sugestões para ajudar sua conformidade com o PCI DSS.

O modelo a seguir inclui as práticas recomendadas de compliance com o PCI para GKE no VMware?

Embora algumas das diretrizes no blueprint se apliquem ao GKE Enterprise, o foco está no Google Kubernetes Engine (GKE) em execução no Google Cloud.

Vocês têm uma lista de requisitos do PCI que esse blueprint pode ajudar a atender?

Esse blueprint aborda uma variedade de requisitos de conformidade com o PCI DSS. É possível encontrar uma lista completa dessas exigências no documento Requisitos do PCI DSS (PDF em inglês) no GitHub. Esta lista aborda apenas as exigências de conformidade com o PCI compatíveis com a infraestrutura do Google Cloud como parte da responsabilidade compartilhada entre você e o Google. A implementação de qualquer controle de conformidade com o PCI é de responsabilidade exclusiva do cliente, e você deve conduzir sua própria avaliação de conformidade com o PCI. Para mais informações sobre o modelo de responsabilidade compartilhada, veja Como explorar a segurança do contêiner: o modelo de responsabilidade compartilhada no GKE (em inglês) no blog do Google Cloud.

Quais serviços são compatíveis com as orientações no blueprint?

Para ver uma lista completa dos serviços compatíveis, consulte a parte superior do arquivo README (em inglês) do PCI no repositório do GKE no GitHub.

Vocês aceitam contribuições para o PCI no repositório do GKE no GitHub?

Sim. É possível enviar uma solicitação de envio (em inglês) ou criar um garfo do repositório.

Recursos

• Conformidade com o PCI DSS no Google Cloud. Esse guia ajudará você a resolver questões exclusivas dos aplicativos do Google Kubernetes Engine (GKE) quando for implementar as responsabilidades do cliente para os requisitos do PCI DSS.