VMware Engine 보안

공유 책임

Google Cloud VMware Engine에는 보안을 위한 공유 책임 모델이 있습니다. 클라우드에서 신뢰할 수 있는 보안은 고객 및 Google의 서비스 제공업체로서의 공유 책임을 통해 이루어집니다. 이 책임 매트릭스는 보안을 강화하고 단일 장애점을 제거합니다.

전용 하드웨어

Google Cloud VMware Engine 서비스의 일부로, 모든 고객은 물리적으로 다른 하드웨어와 분리된 로컬 연결 디스크를 사용하는 전용 베어메탈 호스트를 받습니다. vSAN이 포함된 ESXi 하이퍼바이저는 모든 노드에서 실행됩니다. 노드는 고객 전용 VMware vCenter와 NSX를 통해 관리됩니다. 테넌트 간에 하드웨어를 공유하지 않으면 격리 및 보안 보호를 강화할 수 있습니다.

데이터 보안

고객은 데이터를 관리하고 소유권을 보유합니다. 고객 데이터의 관리는 고객의 책임입니다.

저장 데이터 및 내부 네트워크 내의 전송 중 데이터에 대한 데이터 보호

프라이빗 클라우드 환경의 저장 데이터는 vSAN 소프트웨어 기반 암호화를 사용하여 암호화될 수 있습니다. vSAN 암호화는 외부 키 관리 솔루션에 의존하여 암호화 키를 저장하고 자체 네트워크 또는 온프레미스에 있는 VMware 인증 외부 키 관리 서버(KMS)와 호환됩니다. 암호화 키를 직접 제어하고 관리합니다. 전송 중 데이터의 경우 애플리케이션이 내부 네트워크 세그먼트 내에서 네트워크 통신을 암호화해야 합니다. vSphere는 vMotion 트래픽에 대해 유선을 통한 데이터 암호화를 지원됩니다.

공용 네트워크를 통해 이동하는 데 필요한 데이터의 데이터 보호

공용 네트워크를 통해 이동하는 데이터를 보호하기 위해 프라이빗 클라우드용 IPsec 및 SSL VPN 터널을 만들 수 있습니다. 128바이트 및 256바이트 AES를 포함한 일반적인 암호화 방법이 지원됩니다. 전송 중 데이터(인증, 관리 액세스, 고객 데이터 포함)는 표준 암호화 메커니즘(SSH, TLS 1.2, 보안 RDP)으로 암호화됩니다. 민감한 정보를 전송하는 통신은 표준 암호화 메커니즘을 사용합니다.

보안 폐기

서비스가 만료되거나 해지되면 데이터를 삭제하거나 삭제할 책임은 사용자에게 있습니다. Google은 관련 법규에 따라 개인 정보 일부 또는 전부를 보관해야 하는 경우를 제외하고, 고객 계약에 명시된 대로 모든 고객 데이터를 삭제하거나 반환하는 데 협력합니다. 개인 정보를 보관해야 하는 경우 Google은 데이터를 보관 처리하고 고객 데이터가 더 이상 처리되지 않도록 합당한 조치를 취합니다.

데이터 위치

애플리케이션 데이터는 프라이빗 클라우드를 만들 때 선택한 리전에 위치합니다. 이 서비스는 특정한 고객 작업/트리거 없이 데이터 위치를 자체적으로 변경하지 않습니다(예를 들어 사용자 구성 복제를 다른 Google Cloud 리전의 프라이빗 클라우드로 변경). 그러나 사용 사례에 따라 필요하면 리전 간에 워크로드를 배포하고 리전 간 복제 및 데이터 마이그레이션을 구성할 수 있습니다.

데이터 백업

VMware Engine은 VMware 가상 머신 내에 있는 고객 애플리케이션 데이터를 백업하거나 보관 처리하지 않습니다. VMware Engine은 주기적으로 vCenter 및 NSX 구성을 백업합니다. 백업하기 전에 모든 데이터는 VMware API를 사용하여 소스 관리 서버(예 : vCenter)에서 암호화됩니다. 암호화된 백업 데이터는 Cloud Storage 버킷에 전송되고 저장됩니다.

네트워크 보안

Google Cloud VMware Engine은 네트워크 보안 레이어를 사용합니다.

에지 보안

Google Cloud VMware Engine 서비스는 GCP에서 제공하는 기준 네트워크 보안에 따라 GCP에서 실행됩니다. 이는 VMware Engine 애플리케이션과 비공개 VMware 환경 모두에 적용됩니다. GCP에는 분산 서비스 거부(DDoS) 공격을 막는 보호 기능이 내장되어 있습니다. 또한 VMware Engine은 VPC 방화벽 및 NAT와 같은 보안 제어를 구현하여 네트워크 에지를 보호하기 위한 심층 방어 전략을 따릅니다.

세분화

VMware Engine에는 프라이빗 클라우드 환경에서 자체 내부 네트워크에 대한 액세스를 제한하는 Layer 2 네트워크가 논리적으로 분리되어 있습니다. 방화벽을 사용하여 프라이빗 클라우드 네트워크를 추가로 보호할 수 있습니다. VMware Engine 포털을 사용하면 인트라-프라이빗 클라우드 트래픽, 인터-프라이빗 클라우드 트래픽, 인터넷에 대한 일반 트래픽, 온프레미스 환경에 대한 네트워크 트래픽을 비롯한 모든 네트워크 트래픽에 대한 EW 및 NS 네트워크 트래픽 제어 규칙을 정의할 수 있습니다.

취약점 및 패치 관리

Google은 관리형 VMware 소프트웨어(ESXi, vCenter, NSX)의 정기 보안 패치를 담당합니다.

ID 및 액세스 관리

고객은 SSO를 사용하여 Google Cloud에서 VMware Engine 포털에 인증할 수 있습니다. IAM 역할 및 권한을 사용하여 VMware Engine 포털에 대한 액세스 권한을 사용자에게 부여합니다.

기본적으로 VMware Engine은 프라이빗 클라우드의 vCenter 로컬 도메인에 고객 사용자 계정을 만듭니다. 고객은 새 로컬 사용자를 추가하거나 기존 ID 소스를 사용하도록vCenter를 구성할 수 있습니다. 이를 위해 기존 온프레미스 ID 소스 또는 프라이빗 클라우드 내에 새 ID 소스를 추가합니다.

기본 사용자는 프라이빗 클라우드 내에서 필요한 일상적인 CSV 작업을 수행할 수 있는 권한이 있지만, 전체 관리자 액세스 권한이 없습니다. 관리자 액세스가 일시적으로 필요한 경우 관리자 작업을 완료하는 동안 제한된 기간 동안 권한을 승격할 수 있습니다.

다음 단계