裸金属 HSM

本页面简要介绍了裸金属 HSM 解决方案。

概览

Bare Metal HSM 是一种基础架构即服务产品，可让您在 Google Cloud 工作负载旁边部署客户拥有的硬件安全模块 (HSM)。您的 HSM 部署在符合 PCI 标准的设施中，以满足您的安全性、合规性和低延迟要求。

为支持将您的工作负载迁移到云端，Google 托管了您的 HSM，提供物理和网络安全、机架和搁架、电源以及网络集成（按月收费）。

Bare Metal HSM 可让您直接与 Google 签订 HSM 合同。HSM 放置在指定的对接网点内，并连接到 Google Cloud。

Bare Metal HSM 解决方案在具有活跃对等互连结构的对接网点受支持。这些设施符合并超过 Google 的数据中心安全标准，并提供低延迟、高可用性的服务。

与裸金属机架 HSM 比较

Bare Metal Rack HSM 和 Bare Metal HSM 都允许您在 Google Cloud 设施中托管自己的 HSM。Bare Metal Rack HSM 和 Bare Metal HSM 解决方案之间的主要区别在于规模。下表总结了这些解决方案之间的主要区别：

裸金属 HSM 裸机机架 HSM
Google 会按设备托管您的 HSM。 Google 按机架托管您的 HSM。
您对 HSM 具有逻辑访问权限，但没有物理访问权限。 您对 HSM 拥有逻辑访问权限，并且可以安排随叫随到的物理访问。
适用于 10-15 个 HSM 的小规模部署 适用于 100 个或更多 HSM 的大型机架级部署

如果您不确定其中哪种解决方案符合您的需求，请与您的客户代表联系。

运营模式

  • 新手入门流程
    • 合同：最短 12 个月。需要高级支持服务。
    • 采购和配置：您的组织获取、配置 HSM，并将其交付给 Google。
    • 机架式堆叠并连接：Google 部署您的 HSM 并配置合作伙伴互连连接。
    • 验证和移交：确认工程解决方案以及 HSM 的可访问性，测试解决方案并签核。
  • 支持模型
    • Google 为机架和栈、托管、智能手、合规性和合作伙伴互连连接提供支持。
    • 与您的 HSM 供应商合作，获取 HSM 软件、许可、工具和问题排查方面的支持。
  • 停用流程
    • 您提交停用请求。
    • 您必须清除所有数据，并将所有 HSM 初始化为出厂默认设置。

合规要求

此服务仅适用于已通过 FIPS 140-2 3 级认证或更高级别的 HSM，且不是通用的托管服务或对接服务。Bare Metal HSM 解决方案托管在完全符合 PCI-DSS、PCI-3DS 以及 SOC 1、2 和 3 标准的设施中。Google 将在所有区域为 PCI-PIN、PCI-P2PE 和 SOC 合规性提供 AOC 支持。

职责分离

您负责获取和预配 HSM，并将其寄送到相应的 Google Cloud 区域。您可以选择使用哪种 HSM，但它们必须符合 HSM 设备要求。

Google 预配置机架、机架顶部开关和连接。每对机架上的开关由不同的供应商提供。对于裸金属 HSM 解决方案，您有自己的专用机架和交换机。Google 为您的 HSM 提供机架服务，并与您合作验证合作伙伴互连连接。每个机架都配有冗余电源。

访问裸金属 HSM

您对 HSM 拥有逻辑管理权限，并负责其维护和管理。您对 HSM 拥有完全的控制权。

Google 没有对您的 HSM 的逻辑访问权限，但提供并维护机架、交换和连接。Google 无权访问您的 HSM 上的数据或密钥。

您必须部署具备完整远程管理功能的 HSM。当您的 HSM 在对接网点中时，您无法对其进行物理访问。

Google 提供远程手势服务。禁止客户造访相应设施。您需要自行负责满足自己的合规性和审核要求。

在合同到期或 HSM 的服务终止时，您可以提交停用 HSM 并清除所有数据或将 HSM 恢复为出厂设置的请求。在 HSM 被清空或重置并获得合法许可后，如果 HSM 无法寄回，则会将其寄回给您或销毁。

HSM 设备要求

本部分详细介绍了在 Google 设施中托管 HSM 的 HSM 和关联线缆的物理要求。

机架中可放置的 HSM 数量取决于当前机架式交换机当前型号中的可用端口数量、采用 HSM 型号的机架单元数量，以及 HSM 的功耗。

  • 电源
    • 双电源电源（每个电源最多为 16A）。
  • 配电
    • 208V 线（对美国位置而言）。
    • 提供 C13 或 C19 插座和插座的机架式电源插座。
  • 电源线（由您提供）
    • 机架 PDU 电缆一端应为 C14 或 C20 连接器类型。
    • 2 x 6 英尺或 2 米（首选长度）电源线。
  • 网络
    • 网络接口控制器：两个 1g 铜缆 NIC（如果适用）。
  • 网络线（由您提供）
    • 2 x 6 英尺或 2 米（首选长度）CAT-5e 或更好的跳线。
  • 实际尺寸
    • 机架深度：42 英寸。
    • 机架装置间距：标准 EIA-310 19 英寸机架式支架，带方孔安装支架。每个 HSM 最多可占用 4 个机架单元。
  • 安全
    • HSM 无法配备摄像头或蓝牙等无线网络。
    • HSM 必须通过 FIPS 140-2 3 级认证或更高。
  • HSM 必须可完全远程管理。

没有重量或冷却要求。

部署概览

要获得 99.99% 正常运行时间的服务等级协议 (SLA)，您必须满足以下要求：

  • 在至少两个 Google Cloud 区域中部署 HSM。
  • 每个区域至少部署两个 HSM（在至少两个机架中，每个机架至少有一个 HSM）。

您可以向 Google 提供每个 HSM 网络接口的 MAC 地址及其分配的 IP 地址。此信息可帮助 Google 验证服务器到机架的布线，并在部署过程中提供帮助问题排查。

在初始配置过程中，将与您的客户代表更详细地讨论网络要求。

网络拓扑

单个位置一对机架的服务等级协议 (SLA) 承诺 99.9% 的可用性。

跨两个位置的完整部署可提供 99.99% 的 SLA 可用性承诺。

在设计应用时，应充分利用这种冗余模型。 应用应该能够在单个位置（从 HSM 到 HSM）从可用区 1 切换到可用区 2。

启用全局路由功能可让任一位置的 HSM 访问任何区域中的 Google Cloud 资源。

单个合作伙伴互连连接故障不表示违反服务等级协议 (SLA)。

以下概要图显示了为服务实现 SLA 承诺的 99.99% 可用性所需的连接。

裸金属 HSM 的网络拓扑

  • 每个区域部署至少包含两个要使用的机架，并且每个机架一个开关。
  • 机顶盒开关由 Google 提供，并且来自不同的供应商。
  • 每个机顶盒交换机都有一个 10G 合作伙伴互连，它具有使合作伙伴互连到冗余 Cloud Router 路由器的冗余 VLAN 连接。
  • 每个 HSM 都应至少具有 2 个 1GE 铜质网络接口，这些接口应具有与两个机顶盒交换机的冗余连接。管理和数据接口都应该与机顶盒交换机的冗余连接。
  • 您需要提供 HSM 网络的 IP 地址分配。
  • 顶层交换机将其本地连接的子网通告给 Cloud Router 路由器对。
  • 在虚拟私有云 (VPC) 中启用全局动态路由，即可允许从您部署了资源的任何 Google Cloud 区域访问 HSM。此外，还需要提供全球动态路由才能实现 99.99% 的可用性。
  • 机架交换机与项目中的 Cloud Router 路由器之间的 BGP 会交换可达性信息，以便在 Google Cloud 项目资源和 HSM 之间路由。

网络要求

您必须为区域中的每组机架完成以下步骤，才能将您的 HSM 托管到 Google：

  1. 使用 ASN16550 为每个区域创建一对冗余的 Cloud Router 路由器。如需了解详细说明，请参阅创建 Cloud Router 路由器。

  2. 使用上一步中的 Cloud Router 路由器为每个区域创建两对冗余的具备合作伙伴互连的 VLAN 连接。在启用预先激活选项的情况下创建连接。每个区域总共应该有四个连接。如果连接是在未启用预先激活选项的情况下创建的，您可以手动激活连接。

    如需详细了解合作伙伴互连和预先激活选项，请参阅合作伙伴互连概览。

  3. 在 VPC 网络中启用全局动态路由。

  4. 根据需要配置防火墙规则，以允许本地和项目资源之间的流量。

联系 Google

此产品仅适用于有特定业务和技术要求的客户。此产品仅在全球部分区域提供。

如果您对使用 Google 的 Bare Metal HSM 感兴趣，请与您的客户代表联系寻求更多帮助。