Bare Metal Rack HSM

בדף הזה מובאת סקירה כללית על פתרון Bare Metal Rack HSM.

סקירה כללית

Bare Metal Rack HSM הוא שירות של תשתית כשירות (IaaS) שמאפשר לפרוס מתלים של מודולי אבטחה לחומרה (HSM) בבעלות הלקוח לצד עומסי העבודה שלכם ב-Google Cloud . מודולי ה-HSM שלכם נפרסים במתקנים שעומדים בדרישות התאימות לתקן PCI, כדי לעמוד בדרישות האבטחה, התאימות והשיהוי הנמוך שלכם.

כדי לתמוך בהעברת עומסי העבודה לענן, Google מארחת את מודולי ה-HSM שלכם ומספקת אבטחה פיזית ואבטחת רשת, מקום במתקן, חשמל ושילוב רשת תמורת תשלום חודשי.

בעזרת Bare Metal Rack HSM, אתם יכולים להתקשר ישירות עם Google כדי למקם את מודולי ה-HSM שלכם. מודולי HSM ממוקמים במתקני שרתים משותפים שצוינו ומחוברים ל-Google Cloud.

פתרון Bare Metal Rack HSM נתמך במתקני שרתים משותפים עם רשתות פעילות של שירותי peering. המתקנים האלה עומדים בתקנים של Google לאבטחת מרכזי נתונים, ואף עולים עליהם, ומספקים שירות עם זמינות גבוהה וזמן אחזור נמוך.

השוואה ל-Bare Metal HSM

גם Bare Metal Rack HSM וגם Bare Metal HSM מאפשרים לכם לארח את ה-HSM שלכם במתקנים של Google Cloud . ההבדל העיקרי בין פתרונות Bare Metal Rack HSM לבין Bare Metal HSM הוא קנה המידה. בטבלה הבאה מפורטים ההבדלים העיקריים בין הפתרונות האלה:

Bare Metal HSM	Bare Metal Rack HSM
‫Google מארחת את מודולי ה-HSM שלכם לכל מכשיר.	‫Google מארחת את מודולי ה-HSM שלכם על בסיס כל מתלה.
יש לכם גישה לוגית ל-HSM אבל אין לכם גישה פיזית.	יש לכם גישה לוגית ל-HSM ואתם יכולים לתזמן גישה פיזית מלווה.
מיועד לפריסות קטנות של 10-15 HSM	מיועד לפריסות גדולות ברמת המתלה של 100 או יותר HSMs

אם אתם לא בטוחים איזה מהפתרונות האלה מתאים לצרכים שלכם, אתם יכולים לפנות לנציג החשבון שלכם.

מודל תפעולי

• תהליך ההצטרפות
  • חוזה: מינימום 12 חודשים. נדרשת תמיכת פרימיום.
  • רכש והגדרה: הארגון שלכם רוכש, מגדיר ושולח מודולי HSM ל-Google.
  • התקנה וחיבור: Google פורסת את מודולי ה-HSM ומגדירה את החיבור Partner Interconnect.
  • אימות ומסירה: מאשרים את הפתרון ההנדסי ואת הגישה ל-HSM, בודקים את הפתרון ומאשרים אותו.
• מודל התמיכה
  • ‫Google מספקת תמיכה בנושאים הבאים: התקנה של שרתים בארון תקשורת, אירוח, תמיכה טכנית באתר הלקוח, תאימות וחיבור Partner Interconnect.
  • כדי לקבל תמיכה בתוכנה, ברישוי, בכלים ובפתרון בעיות של HSM, צריך לפנות לספק ה-HSM.
  • יש לכם גישה פיזית למתלים לפי הצורך.
• תהליך ההוצאה משימוש
  • אתם שולחים בקשה להוצאה משימוש.
  • צריך למחוק את כל הנתונים ולאתחל את כל מודולי ה-HSM להגדרות ברירת המחדל של היצרן.

דרישות התאימות

השירות הזה מוגבל ל-HSM עם אישור FIPS 140-2 ברמה 3 או ברמה גבוהה יותר, והוא לא שירות אירוח או שירות colocation כללי. פתרון ה-HSM של Bare Metal Rack מאוחסן במתקנים שעומדים באופן מלא בתקני PCI-DSS,‏ PCI-3DS ו-SOC 1,‏ 2 ו-3. ‫Google תתמוך ב-AOC שלכם לצורך תאימות ל-PCI-PIN, ל-PCI-P2PE ול-SOC בכל האזורים.

הפרדת תחומי אחריות

באחריותכם להשיג ולספק מודולי HSM ולשלוח אותם לאזורים המתאימים Google Cloud . אתם בוחרים את ה-HSM שבו תשתמשו, אבל הוא חייב לעמוד בדרישות הציוד של HSM.

‫Google מגדירה מראש את המתלים, את המתגים בחלק העליון של המתלים ואת הקישוריות. המתגים הם מספקים שונים לכל זוג מתלים. בפתרון Bare Metal Rack HSM, יש לכם מדפים ומתגים ייעודיים משלכם. ‫Google מספקת שירות להרכבת מודולי HSM ועובדת איתכם כדי לאמת את החיבור של Partner Interconnect. לכל מתלה יש ספקי כוח מיותרים.

גישה ל-Bare Metal Rack HSMs

יש לכם גישה לניהול לוגי של מודולי ה-HSM, ואתם אחראים לתחזוקה ולניהול שלהם. השליטה המלאה ב-HSM נשארת בידיים שלכם.

ל-Google אין גישה לוגית ל-HSM, אבל היא מספקת ותחזקת את המתלים, המיתוג והחיבור. ל-Google אין גישה לנתונים או למפתחות ב-HSM שלכם.

‫Google מספקת שירות של תמיכה מרחוק. אחרי שתקבלו הודעה, תוכלו לתאם ביקור מלווה במתקן. אתם אחראים לדרישות התאימות והביקורת שלכם.

בסוף החוזה או בסוף חיי ה-HSM, שולחים בקשה להוצאת ה-HSM משימוש ולמחיקת כל הנתונים, או לאיפוס ה-HSM להגדרות המקוריות. אחרי שמבצעים מחיקה או איפוס של מודולי ה-HSM ומקבלים אישור משפטי, מודולי ה-HSM יישלחו אליכם בחזרה או יושמדו אם אי אפשר יהיה לשלוח אותם בחזרה.

דרישות לגבי ציוד HSM

בקטע הזה מתוארות הדרישות הפיזיות של מודולי HSM וכבלים נלווים לאירוח מודולי HSM במתקן של Google.

מספר ה-HSM שיכולים להיכנס למתלה תלוי במספר היציאות שזמינות בדגם הנוכחי של המתג העליון במתלה, במספר יחידות המתלה שנדרשות לדגם ה-HSM ובצריכת החשמל של ה-HSM.

• הספק

  • שני ספקי מתח AC‏ (16 אמפר לכל ספק מתח).

• חלוקת חשמל

  • ‫208V בין קווים (למיקומים בארצות הברית).
  • יחידת PDU למתלים עם שקעים ויציאות C13 או C19.

• כבלים למתח (באחריותכם לספק אותם)

  • קצה הכבל של יחידת PDU במתלה צריך להיות מסוג מחבר C14 או C20.
  • 2 כבלי חשמל באורך 6 פיט או 2 מטרים (האורך המועדף).

• רשת

  • כרטיס רשת: שני כרטיסי רשת מנחושת של 1g (אם רלוונטי).

• כבלי רשת (באחריותכם לספק אותם)

  • ‫2 כבלי תיקון באורך 6 פיט או 2 מטר (האורך המועדף) מסוג CAT-5e או טוב יותר.

• מידות פיזיות

  • עומק המדף: 42 אינץ'
  • מרווח בין יחידות במתלה: מתלה סטנדרטי EIA-310 בגודל 19 אינץ' עם תושבות חורים מרובעים. אפשר להשתמש בעד 4 יחידות מתלה לכל HSM.

• אבטחה

  • אסור שיהיו במודולי ה-HSM מצלמות או רשתות אלחוטיות כמו Bluetooth.
  • ה-HSM צריך להיות עם הסמכת FIPS 140-2 ברמה 3 או ברמה גבוהה יותר.

• ה-HSM צריך להיות ציוד חדש.

• צריך להיות אפשר לנהל את ה-HSM מרחוק באופן מלא.

אין דרישות לגבי משקל או קירור.

סקירה כללית על הפריסה

כדי לעמוד בדרישות לקבלת הסכם רמת שירות (SLA) עם זמן פעולה של 99.99%, אתם צריכים לעמוד בדרישות הבאות:

• פריסת מודולי HSM בשני אזורים לפחות – שני Google Cloud אזורים שונים או, אם יש אפשרות כזו, שני אזורים באותו אזור.
• צריך לפרוס לפחות ארבעה מודולי HSM לכל אזור (לפחות שני מודולי HSM לכל מתלה בשני מתלים לפחות).

אתם מספקים ל-Google את כתובת ה-MAC של כל ממשק רשת של HSM ואת כתובת ה-IP שהוקצתה לו. המידע הזה עוזר ל-Google לאמת את הכבלים משרת לראש המתלה, ומסייע באיתור ופתרון בעיות במהלך תהליך הפריסה.

דרישות הרשת יוסברו בפירוט רב יותר על ידי נציג החשבון במהלך תהליך ההצטרפות.

הטופולוגיה של הרשת

הסכם רמת השירות (SLA) לזמן פעולה תקינה של 99.9% חל על זוג מתלים במיקום יחיד.

פריסה מלאה בשני מיקומים מספקת הסכם רמת שירות (SLA) עם זמן פעולה תקינה של 99.99%.

צריך לתכנן את האפליקציות כך שינצלו את יתרונות המודל הזה של יתירות. אפליקציה צריכה להיות מסוגלת לבצע מעבר לגיבוי חם מאזור 1 לאזור 2 במיקום יחיד, מ-HSM ל-HSM או ממתלה למתלה.

הפעלת התכונה Global Routing מאפשרת למודולי HSM בכל אחד מהמיקומים להגיע אלGoogle Cloud משאבים בכל אזור.

כשל בחיבור Partner Interconnect יחיד לא נחשב להפרה של הסכם SLA.

בתרשים הכללי הבא מוצגת הקישוריות הנדרשת כדי להשיג הסכם רמת שירות (SLA) של 99.99% בשירות.

• כל פריסה של אזור מכילה לפחות שני מתלים לשימושכם, ומתג אחד לכל מתלה.
• המתגים העליונים במתלה מסופקים על ידי Google והם מיצרנים שונים.
• לכל מתג top-of-rack יש Partner Interconnect‎‏ 10G עם קבצים מצורפים של VLAN מיותרים ל-Partner Interconnect לנתבי Cloud מיותרים.
• לכל HSM צריכים להיות לפחות 2 ממשקי רשת מנחושת 1GE עם חיבורים מיותרים לשני המתגים העליונים במארז. לממשקי הניהול והנתונים צריכים להיות חיבורים כפולים משלהם לשני המתגים העליונים.
• אתם מספקים את הקצאות כתובות ה-IP לרשתות ה-HSM.
• מתגי Top-of-rack מפרסמים את רשתות המשנה שמחוברות אליהם באופן מקומי לזוג של Cloud Routers.
• מפעילים ניתוב דינמי גלובלי בענן הווירטואלי הפרטי (VPC) כדי לאפשר גישה למודולי ה-HSM מכל Google Cloud אזור שבו פרסתם משאבים. כדי לעמוד בדרישות הזמינות של 99.99%, צריך גם להגדיר ניתוב דינמי גלובלי.
• פרוטוקול BGP בין המתגים העליונים לבין נתבי Cloud בפרויקט מחליף מידע על נגישות כדי ליצור מסלול ביןGoogle Cloud משאבי הפרויקט לבין מודולי ה-HSM.

דרישות רשת

כדי לאפשר ל-HSM להתארח ב-Google, צריך לבצע את השלבים הבאים לכל קבוצת מתלים באזור:

1. יוצרים זוג Cloud Routers מיותרים לכל אזור באמצעות ASN16550. הוראות מפורטות זמינות במאמר יצירת Cloud Routers.

2. יוצרים שני זוגות מיותרים של קבצים מצורפים של VLAN עם Partner Interconnect לכל אזור באמצעות נתבי Cloud מהשלב הקודם. יוצרים את הקבצים המצורפים כשהאפשרות pre-activate (הפעלה מראש) מופעלת. צריכים להיות בסך הכול ארבעה קבצים מצורפים לכל אזור. אם הקבצים המצורפים נוצרו בלי שהאפשרות להפעלה מראש הייתה מופעלת, אפשר להפעיל את הקישורים באופן ידני.

   מידע נוסף על Partner Interconnect ועל אפשרויות להפעלה מראש זמין במאמר סקירה כללית על Partner Interconnect.

3. מפעילים ניתוב דינמי גלובלי ברשת ה-VPC.

   • כדי להשיג זמינות של 99.99%, צריך לפעול לפי השלבים במאמר השגת זמינות של 99.99% ב-Partner Interconnect.
   • פריסות באזור יחיד נהנות מזמינות של 99.9% עד שהאזור השני יהיה זמין. במקרה הזה, כדאי לעיין במאמר השגת זמינות של 99.9% ב-Partner Interconnect

4. מגדירים כללי חומת אש לפי הצורך כדי לאפשר תעבורת נתונים בין המתחם שלכם לבין משאבי הפרויקט.

תאימות למיקום

שירות Bare Metal Rack HSM זמין במיקומים הבאים של Cloud KMS:

פנייה אל Google

המוצר הזה זמין רק ללקוחות עם דרישות עסקיות וטכניות ספציפיות.

אם אתם רוצים להשתמש ב-Bare Metal Rack HSM עם Google, אתם יכולים לפנות לנציג החשבון שלכם לקבלת עזרה נוספת.