호스팅된 비공개 HSM

이 주제에서는 호스팅된 비공개 HSM 솔루션을 간략하게 설명합니다.

개요

워크로드를 클라우드로 이동할 수 있도록 Google은 월정액으로 물리적 및 네트워크 보안, 랙 공간, 전원, 네트워크 통합을 제공하는 고객 소유 하드웨어 보안 모듈(HSM)을 호스팅합니다.

호스팅된 비공개 HSM을 사용 설정하면 Google과 HSM 배치를 직접 계약할 수 있습니다. HSM은 지정된 코로케이션 시설 내에 배치되고 Google Cloud에 연결됩니다.

호스팅된 비공개 HSM 솔루션은 활성 피어링 패브릭이 있는 코로케이션 시설에서 지원됩니다. 이러한 시설은 Google의 데이터 센터 보안 기준을 충족하며 지연 시간이 짧고 가용성이 높은 서비스를 제공합니다.

규정 준수 요구사항

이 서비스는 FIPS 140-2 Level 3 이상으로 인증된 HSM으로 제한되며 일반화된 호스팅이나 코로케이션 서비스가 아닙니다. 호스팅된 비공개 HSM 솔루션은 모든 위치에서 PCI-DSS 및 SOC를 준수합니다.

책임 분리

사용자가 HSM을 가져와 프로비저닝하고 적절한 시설로 전송해야 합니다. 사용되는 HSM을 선택할 수 있지만 HSM에서 HSM 장비 요구사항을 준수해야 합니다.

Google은 랙, ToR(top-of-rack) 스위치, 연결을 사전 구성합니다. ToR 스위치는 랙 쌍마다 다른 공급업체에서 제공됩니다. 호스팅된 비공개 HSM 솔루션의 경우 자체 전용 랙과 ToR 스위치가 있습니다. Google은 HSM용 랙 서비스를 제공하며 상호 연결 유효성을 검사할 수 있습니다. 랙마다 예비 전원 공급 장치가 제공됩니다.

호스팅된 비공개 HSM에 액세스

사용자에게 HSM에 대한 논리적 관리 액세스 권한이 있으며 사용자가 유지보수 및 관리해야 합니다. 사용자가 HSM의 모든 제어를 유지보수합니다.

Google에는 HSM에 대한 논리적 액세스 권한이 없지만 랙, 전환, 상호 연결을 제공하고 유지보수합니다. Google에는 HSM의 데이터 또는 키에 대한 액세스 권한이 없습니다.

Google은 원격 지원 서비스를 제공합니다. 이 경우 시설 방문 점검을 예약할 수 있습니다. 자체 규정 준수 및 감사 요구사항에 대한 책임은 사용자에게 있습니다.

계약이나 HSM 지원이 종료되면 HSM은 사용자에게 반송되거나 폐기됩니다(반송될 수 없는 경우).

HSM 장비 요구사항

이 섹션에서는 Google 시설에서 HSM을 호스팅하는 데 필요한 HSM 및 관련 케이블의 물리적 요구사항을 자세히 설명합니다.

  • 전원

    • 이중 AC 전원 공급 장치(전원 공급 장치당 최대 16A)
  • 전력 배분

    • 선간 208V(미국 기반 위치)
    • C13 또는 C19 소켓/콘센트를 제공하는 랙 PDU
  • 전원 케이블(사용자에게 제공됨)

    • 랙 PDU 케이블 끝은 C14/C20 커넥터 유형이어야 합니다.
    • 6피트/2미터(선호하는 길이) 전원 케이블 2개
  • 네트워크

    • 네트워크 인터페이스 컨트롤러: 이중 1g 코퍼 NIC(해당되는 경우)
  • 네트워크 케이블(사용자에게 제공됨)

    • 6피트/2미터(선호하는 길이) CAT-5e 이상 패치 케이블 2개
  • 실제 크기

    • 랙 깊이: 깊이 42인치
    • 랙 장치 공간: 표준 EIA-310 19" 랙 마운트(사각형 구멍 마운트 포함). HSM당 랙 장치를 최대 4개까지 사용할 수 있습니다.
  • 보안

    • HSM에는 카메라 또는 무선 네트워크(예: 블루투스)가 장착될 수 없습니다.
    • HSM은 FIPS 140-2 Level 3 이상으로 인증되어야 합니다.
  • HSM은 새 장비여야 합니다.

  • HSM은 원격으로 관리될 수 있어야 합니다.

무게나 냉방에는 요구사항이 없습니다.

배포 개요

호스팅된 HSM이 99.99% SLA에 대한 요구사항을 충족하려면 다음을 수행해야 합니다.

  • Google Cloud 리전 최소 두 개 이상에 HSM을 배포합니다.
  • 리전당 HSM을 최소 4개 이상 배포합니다(랙 최소 두 개 이상에 HSM 최소 두 개 이상).

Google에 각 HSM 네트워크 인터페이스 및 할당된 IP 주소에 MAC 주소를 제공합니다. 이 정보는 Google에서 서버와 ToR 간의 케이블을 확인하고 배포 프로세스 중에 발생한 문제를 해결하는 데 도움이 됩니다.

네트워크 요구사항에 대해서는 온보딩 프로세스 중 계정 담당자와 함께 자세히 설명할 예정입니다.

네트워크 토폴로지

이 간략한 다이어그램에서는 99.99% 가용성의 이중 리전 토폴로지를 사용하는 랙 하나를 보여줍니다.

호스팅된 비공개 HSM의 네트워크 토폴로지

  • 각 리전 배포에는 사용 가능한 랙이 최소 두 개, 랙당 ToR 한 개가 포함됩니다.
  • ToR은 Google에서 제공되며 공급업체 두 곳이 있습니다.
  • 각 ToR에는 중복된 Cloud Router에 대한 Partner Interconnect용 중분 VLAN 연결이 포함된 10G Partner Interconnect가 있습니다.
  • 각 HSM에는 1GE 코퍼 네트워크 인터페이스 한 쌍이 있습니다. Interface1은 ToR1에, interface2는 다른 서브넷의 ToR2에 연결합니다.
  • ToR마다 HSM 서브넷 주소를 제공합니다.
  • ToR은 네트워크 내에 연결된 HSM을 Cloud Router 쌍에 공지합니다.
  • Virtual Private Cloud(VPC)에서 전역 동적 라우팅을 사용 설정하여 HSM이 배포된 두 리전 모두의 Google Cloud 리소스에서 HSM에 대한 액세스를 허용합니다. 또한 99.99% 가용성 요구사항을 충족하려면 전역 동적 라우팅도 필요합니다.
  • 프로젝트의 ToR과 Cloud Router 간의 BGP는 Google Cloud 프로젝트 리소스와 HSM 간에 라우팅할 수 있는 연결 가능성 정보를 제공합니다.

네트워킹 요구사항

다음 단계는 Google에서 호스팅할 수 있도록 HSM을 사용 설정하면 완료됩니다. 리전 하나에 각 랙 세트의 경우:

  1. ASN16550을 사용하여 리전별로 중복 Cloud Router 쌍을 만듭니다. 자세한 내용은 Cloud Router 만들기를 참조하세요.

  2. 이전 단계의 Cloud Router를 사용하여 리전별로 Partner Interconnect를 사용한 VLAN 연결 중복 쌍 두 개를 만듭니다. 사전 활성화 옵션을 사용 설정하여 연결을 만듭니다. 리전별로 연결이 총 4개 있어야 합니다. 사전 활성화 옵션을 사용 설정하지 않고 연결을 만든 경우 수동으로 연결을 활성화할 수 있습니다.

    Partner Interconnect와 사전 활성화 옵션에 대한 자세한 내용은 Partner Interconnect 개요를 참조하세요.

  3. VPC에서 전역 동적 라우팅을 사용 설정합니다.

  4. 프레미스와 프로젝트 리소스 간의 트래픽을 허용하도록 필요에 맞게 방화벽 규칙을 구성합니다.

Google에 문의

Google에서 HSM을 호스팅하려면 계정 담당자에게 연락하여 추가 지원을 요청하세요.