Hosted Private HSM

このトピックでは、Hosted Private HSM ソリューションの概要を説明します。

概要

ワークロードのクラウドへの移行をサポートするために、Google は、お客様所有のハードウェア セキュリティ モジュール(HSM)をホストし、物理セキュリティとネットワーク セキュリティ、ラックスペース、電力、ネットワーク統合を月額料金で提供しています。

Hosted Private HSM を使用すると、HSM の配置に関して Google と直接契約できます。HSM は指定されたコロケーション施設内に配置され、Google Cloud に接続されます。

Hosted Private HSM ソリューションは、アクティブなピアリング ファブリックを備えたコロケーション施設でサポートされています。これらの施設は、データセンター セキュリティに関する Google の基準を満たし、低レイテンシで可用性の高いサービスを提供します。

コンプライアンス要件

このサービスは、FIPS 140-2 レベル 3(またはそれ以上)の認定 HSM に限定されており、一般化されたホスティングまたはコロケーション サービスではありません。Hosted Private HSM ソリューションは、すべてのロケーションで PCI-DSS と SOC に準拠しています。

責任の分散

HSM を入手してプロビジョニングし、適切な施設に発送する責任はお客様にあります。使用する HSM はお客様が選択できますが、HSM 機器の要件に準拠する必要があります。

Google が、ラック、トップオブラック(ToR)スイッチ、接続性を事前に構成します。ToR スイッチは、ラックのペアごとに異なるベンダーからのものです。Hosted Private HSM ソリューションの場合、専用のラックと ToR スイッチがあります。Google はお客様の HSM 用のラッキング サービスを提供し、お客様と協力して相互接続性を検証します。ラックごとに冗長電源が用意されています。

ホストされているプライベート HSM へのアクセス

お客様には HSM への論理的な管理アクセス権があり、保守と管理の責任を担います。HSM の完全な制御はお客様が維持します。

Google は HSM に論理的にアクセスできませんが、ラック、スイッチング、および相互接続性の提供と維持を行います。Google は、HSM 上のデータまたは鍵にアクセスできません。

Google は、リモートのハンドサービスを提供しています。通知があれば、施設への付き添いの訪問をスケジュールできます。コンプライアンスと監査に関する要件の責任は、お客様にあります。

契約終了時、または HSM の寿命が尽きた場合、HSM がお客様に返送されるか、返送できない場合には破棄されます。

HSM 機器の要件

このセクションでは、Google の施設で HSM をホストするための HSM と関連するケーブルの物理的要件について詳しく説明します。

  • 電源

    • デュアル AC 電源装置(電源装置ごとに最大 16A)。
  • 配電

    • ライン間電圧 208V(米国をベースとするロケーションの場合)
    • C13 または C19 レセプタクル / アウトレットを提供するラック PDU。
  • 電源ケーブル(ご自身で用意)

    • ラック PPU ケーブルの終端は C14 / C20 コネクタタイプでなければなりません。
    • 2 x 6 フィート / 2 メートル(推奨長さ)の電源ケーブル。
  • ネットワーク

    • ネットワーク インターフェース コントローラ: デュアル 1g 銅 NIC(該当する場合)。
  • ネットワーク ケーブル(ご自身で用意)

    • 2 x 6 フィート / 2 メートル(推奨長さ)の CAT-5e 以上のパッチケーブル。
  • 実際のサイズ

    • ラックの深さ: 42 インチ。
    • ラックユニットの間隔: 標準の EIA-310 19 インチ ラックマウント(四角い穴マウント付き)。HSM ごとに最大 4 ラックユニットを占有できます。
  • セキュリティ

    • HSM にカメラや Bluetooth などのワイヤレス ネットワークを搭載することはできません。
    • HSM は、FIPS 140-2 レベル 3(またはそれ以上)の認定を受けている必要があります。
  • HSM は新しい機器である必要があります。

  • HSM は完全にリモートで管理できる必要があります。

重量や冷却に関する要件はありません。

デプロイの概要

ホストされている HSM が 99.99% の SLA の要件を満たすには、次のことを行う必要があります。

  • 最低 2 つの Google Cloud リージョンで HSM をデプロイします。
  • リージョンごとに少なくとも 4 つの HSM をデプロイします(最低 2 つのラックに最低 2 つの HSM)。

各 HSM ネットワーク インターフェースの MAC アドレスとそれに割り当てられた IP アドレスを Google に提供します。この情報は、Google がサーバーからトップオブラックへのケーブル接続を確認するのに役立ち、デプロイ プロセス中のトラブルシューティングに役立ちます。

ネットワーク要件については、オンボーディング プロセス中にアカウント担当者と詳細に話し合います。

ネットワーク トポロジ

この概要図は、99.99% の可用性を持つデュアルリージョン トポロジを使用するラックを示しています。

ホストされているプライベート HSM のネットワーク トポロジ

  • 各リージョンのデプロイには、使用のために最低 2 つのラックが含まれ、ラックごとに 1 つの ToR が含まれます。
  • ToR は Google によって提供され、2 つのベンダーが存在します。
  • 各 ToR には、冗長 Cloud Router への Partner Interconnect のための冗長 VLAN アタッチメントを持つ 10G Partner Interconnect があります。
  • 各 HSM には 1GE 銅製ネットワーク インターフェースのペアがあります。Interface1 は ToR1 に接続し、interface2 は異なるサブネット上の ToR2 に接続します。
  • ToR ごとに HSM サブネット アドレス指定を提供します。
  • ToR は、ネットワーク内の接続された HSM を Cloud Router のペアにアドバタイズします。
  • Virtual Private Cloud(VPC)でグローバル動的ルーティングを有効にして、デプロイする両方のリージョンの Google Cloud リソースから HSM へのアクセスを許可します。99.99% の可用性の要件を満たすには、グローバル動的ルーティングも必要です。
  • プロジェクトの ToR と Cloud Router の間の BGP により、Google Cloud プロジェクト リソースと HSM 間でルーティングするための到達可能性に関する情報が提供されます。

ネットワーキングの要件

HSM を Google でホストできるようにするには、次の手順を実行します。リージョン内のラックの各セットについて、以下を行います:

  1. ASN16550 を使用して、リージョンごとに Cloud Router の冗長ペアを作成します。詳細については、Cloud Router の作成をご覧ください。

  2. 前の手順での Cloud Router を使用して、リージョンごとに Partner Interconnect で 2 つの冗長 VLAN アタッチメントを作成します。事前有効化オプションを有効にしてアタッチメントを作成します。リージョンごとに合計 4 つのアタッチメントが必要です。事前有効化オプションを有効にせずにアタッチメントが作成された場合は、手動で接続を有効にすることができます。

    Partner Interconnect と事前有効化オプションの詳細については、Partner Interconnect の概要をご覧ください。

  3. VPC でグローバル動的ルーティングを有効にします。

  4. 必要に応じて、オンプレミス リソースとプロジェクト リソース間のトラフィックを許可するようにファイアウォール ルールを構成します。

Google に問い合わせ

Google で HSM をホストすることに関心をお持ちの場合は、アカウント担当者にお問い合わせください。