VMware Engine 보안
공유 책임
Google Cloud VMware Engine에는 보안을 위한 책임 공유 모델이 있습니다. 클라우드에서 신뢰할 수 있는 보안은 서비스 제공업체로서 Google 및 고객의 공유 책임을 통해 이루어집니다. 이 책임 매트릭스는 보안을 강화하고 단일 장애점을 제거합니다.
전용 하드웨어
VMware Engine 서비스의 일부로, 모든 고객은 다른 하드웨어와 물리적으로 분리된 로컬 연결 디스크를 사용하는 전용 베어메탈 호스트를 가집니다. vSAN이 포함된 ESXi 하이퍼바이저는 모든 노드에서 실행됩니다. 노드는 고객 전용 VMware vCenter와 NSX를 통해 관리됩니다. 테넌트 간에 하드웨어를 공유하지 않으면 추가 격리 및 보안 보호를 강화할 수 있습니다.
데이터 보안
고객은 데이터를 제어하고 소유합니다. 고객 데이터의 관리는 고객의 책임입니다.
저장 데이터 및 내부 네트워크 내의 전송 중 데이터에 대한 데이터 보호
프라이빗 클라우드 환경의 저장 데이터는 vSAN 소프트웨어 기반 암호화를 통해 암호화될 수 있습니다. vSAN 암호화는 외부 키 관리 솔루션을 사용하여 암호화 키를 저장합니다.
VMware Engine은 기본적으로 배포되는 모든 프라이빗 클라우드의 vSAN 저장 데이터 암호화를 Google에서 서비스의 일부로 관리하는 키 관리 인프라를 사용하여 사용 설정합니다. 기본 암호화 모델과 관련된 자세한 내용은 vSAN 암호화 정보를 참조하세요.
사용자가 KMS를 관리해야 하는 경우 선택적으로 외부 키 관리 인프라를 배포하고 vCenter에서 키 제공업체로 구성할 수 있습니다. 검증된 KMS 제공업체 목록은 지원되는 공급업체를 참조하세요.
전송 중 데이터의 경우 애플리케이션이 내부 네트워크 세그먼트 내에서 네트워크 통신을 암호화해야 합니다. vSphere는 유선으로 vMotion 트래픽의 데이터 암호화를 지원합니다.
공용 네트워크를 통해 이동하는 데 필요한 데이터의 데이터 보호
공개 네트워크를 통과하는 데이터를 보호하기 위해서는 비공개 클라우드를 위한 IPsec 및 SSL VPN 터널을 만들 수 있습니다. 128바이트 및 256바이트 AES를 포함하여 일반적인 암호화 방법이 지원됩니다. 인증, 관리 액세스, 고객 데이터를 포함하여 전송 중 데이터는 표준 암호화 메커니즘(SSH, TLS 1.2, Secure RDP)을 사용하여 암호화됩니다. 민감한 정보를 전송하는 통신에는 표준 암호화 메커니즘이 사용됩니다.
보안 폐기
서비스가 만료되거나 해지되면 데이터를 삭제하거나 삭제할 책임은 사용자에게 있습니다. Google은 관련 법규에 따라 개인 정보 일부 또는 전부를 보관해야 하는 경우를 제외하고, 고객 계약에 명시된 대로 모든 고객 데이터를 삭제하거나 반환하는 데 협력합니다. 개인 정보를 보관해야 하는 경우 Google은 데이터를 보관 처리하고 고객 데이터가 더 이상 처리되지 않도록 합당한 조치를 취합니다.
데이터 위치
애플리케이션 데이터는 프라이빗 클라우드를 만들 때 선택한 리전에 위치합니다. 이 서비스는 특정한 고객 작업 또는 트리거 없이 자체적으로 데이터 위치를 변경하지 않습니다(예를 들어 다른 Google Cloud 리전의 프라이빗 클라우드로 사용자 구성 복제). 그러나 사용 사례에 따라 필요하면 리전 간에 워크로드를 배포하고 리전 간 복제 및 데이터 마이그레이션을 구성할 수 있습니다.
데이터 백업
VMware Engine은 VMware 가상 머신 내에 존재하는 고객 애플리케이션 데이터를 백업하거나 아카이브하지 않습니다. VMware Engine은 주기적으로 vCenter 및 NSX 구성을 백업합니다. 백업 전 VMware API를 사용하여 vCenter와 같은 소스 관리 서버에서 모든 데이터가 암호화됩니다. 암호화된 백업 데이터는 전송되어 Cloud Storage 버킷에 저장됩니다.
네트워크 보안
Google Cloud VMware Engine에는 네트워크 보안 레이어가 사용됩니다.
에지 보안
Google Cloud VMware Engine 서비스는 Google Cloud에서 제공하는 기준 네트워크 보안에 따라 Google Cloud 내에서 실행됩니다. 이는 VMware Engine 애플리케이션과 전용 및 프라이빗 VMware 환경 모두에 적용됩니다. Google Cloud는 분산 서비스 거부(DDoS) 공격에 대한 보호 기능을 기본 제공합니다. VMware Engine은 네트워크 에지를 보호하는 데 도움이 되는 심층 방어 전략에 따라 방화벽 규칙 및 NAT와 같은 보안 제어를 구현합니다.
세분화
VMware Engine에는 프라이빗 클라우드 환경에서 자체 내부 네트워크에 대한 액세스를 제한하는 Layer 2 네트워크가 논리적으로 분리되어 있습니다. 방화벽을 사용하여 프라이빗 클라우드 네트워크를 추가로 보호할 수 있습니다. VMware Engine 포털을 사용하면 인트라-프라이빗 클라우드 트래픽, 인터-프라이빗 클라우드 트래픽, 인터넷에 대한 일반 트래픽, 온프레미스 환경에 대한 네트워크 트래픽을 비롯한 모든 네트워크 트래픽에 대한 EW 및 NS 네트워크 트래픽 제어 규칙을 정의할 수 있습니다.
취약점 및 패치 관리
Google은 관리형 VMware 소프트웨어(ESXi, vCenter, NSX)의 정기 보안 패치를 담당합니다.
ID 및 액세스 관리
SSO를 사용하여 Google Cloud에서 VMware Engine 포털로 인증을 수행할 수 있습니다. IAM 역할 및 권한을 사용하여 VMware Engine 포털에 액세스하도록 사용자에게 액세스 권한을 부여합니다.
기본적으로 VMware Engine은 프라이빗 클라우드의 vCenter 로컬 도메인에 사용자 계정을 만듭니다. 고객은 새 로컬 사용자를 추가하거나 기존 ID 소스를 사용하도록 vCenter를 구성할 수 있습니다. 이를 위해 기존 온프레미스 ID 소스 또는 프라이빗 클라우드 내에 새 ID 소스를 추가합니다.
기본 사용자는 프라이빗 클라우드 내에서 필요한 일상적인 CSV 작업을 수행할 수 있는 권한이 있지만, 전체 관리자 액세스 권한이 없습니다. 관리자 액세스가 일시적으로 필요한 경우 관리자 작업을 완료하는 동안 제한된 기간 동안 권한을 승격할 수 있습니다.
프라이빗 클라우드에서 사용되는 타사 도구 및 제품을 사용하려면 사용자가 vSphere에서 관리자 권한이 필요할 수 있습니다. 프라이빗 클라우드를 만들 때 VMware Engine은 또한 타사 도구 및 제품에 사용할 수 있는 관리 권한이 포함된 솔루션 사용자 계정을 만듭니다.