Tetap teratur dengan koleksi
Simpan dan kategorikan konten berdasarkan preferensi Anda.
Last reviewed 2025-03-12 UTC
Blueprint PCI di Google Kubernetes Engine berisi serangkaian skrip dan konfigurasi Terraform yang menunjukkan cara mem-bootstrap lingkungan PCI di Google Cloud. Inti dari cetak biru ini adalah aplikasi Online Boutique, yang memungkinkan pengguna untuk mencari item, menambahkannya ke keranjang, dan membelinya.
Blueprint ini dikembangkan untuk Standar Keamanan Data Industri Kartu Pembayaran (PCI DSS) versi 3.2.1. Blueprint ini memungkinkan Anda men-deploy workload di
GKE yang selaras dengan PCI DSS
dengan cara yang berulang, didukung, dan aman.
Resource
Folder. Resource folder memberikan mekanisme pengelompokan
dan batas isolasi antar-project.
Resource Project. Anda men-deploy project Google Cloud berikut:
Jaringan: Project host untuk VPC Bersama.
Pengelolaan: Project yang akan menyimpan infrastruktur logging dan pemantauan, seperti Cloud Logging.
Dalam-ruang lingkup: Proyek yang berisi sumber daya dalam ruang lingkup. Dalam solusi ini, project terdiri dari cluster GKE yang dirancang untuk menjalankan aplikasi dalam cakupan. Dalam contoh,
ini termasuk layanan Frontend, Pembayaran, dan Checkout.
Di luar cakupan: Proyek yang berisi sumber daya di luar ruang lingkup.
Solusinya adalah cluster GKE
yang dirancang untuk menjalankan layanan lainnya.
Aplikasi dan project
Diagram berikut mengilustrasikan batas CDE di Google Cloud dan project mana yang termasuk dalam cakupan penilaian PCI Anda terhadap aplikasi Demo
Microservices. Saat mem-build lingkungan, Anda menggunakan ilustrasi
seperti ini untuk menyampaikan Google Cloud resource yang masuk dan keluar dari
batas PCI Anda.
Jalur berlabel 1 menampilkan data log dari cluster Kubernetes yang mengarah ke
Cloud Logging.
Tata letak jaringan
Diagram ini menggambarkan detail jaringan dan subnet dalam setiap project. File ini mendokumentasikan aliran data di antara project ke dalam dan
keluar batas CDE.
Traffic yang dienkripsi
Diagram ini menggambarkan traffic terenkripsi yang masuk dan keluar
dari batas PCI:
Traffic yang dienkripsi TLS (HTTPS) dari luar VPC akan masuk ke
load balancer publik dalam cakupan.
Traffic terenkripsi TLS antara node cluster Kubernetes dalam cakupan ke cluster di luar cakupan akan mengarah ke load balancer internal.
Traffic dari load balancer internal ke cluster di luar cakupan dienkripsi dengan mTLS menggunakan Istio.
Komunikasi dalam setiap cluster dienkripsi dengan mTLS menggunakan Istio.
Pemetaan kepatuhan
Cetak biru yang dijelaskan dalam dokumen ini membahas berbagai persyaratan
kepatuhan PCI DSS. Tabel di bagian ini menyoroti beberapa
persyaratan tersebut.
Item dalam tabel berikut tidak memenuhi semua persyaratan; kepatuhan terhadap beberapa persyaratan akan dipenuhi oleh infrastruktur Google Cloud sebagai bagian dari tanggung jawab bersama antara Anda dan Google. Kepatuhan terhadap persyaratan lainnya
perlu diterapkan oleh Anda. Untuk penjelasan mendetail tentang model tanggung jawab bersama, lihat Menjelajahi keamanan container: model tanggung jawab bersama di GKE di blog Google Cloud .
Angka-angka dalam tanda kurung mengacu pada bagian dari dokumen
Standar Keamanan Data Industri Kartu Pembayaran (PCI). Anda dapat mendownload
dokumen dari library dokumen
situs PCI Security Standards Council.
Persyaratan
Bagian
Deskripsi
Menerapkan segmentasi dan perlindungan batas
1.3.2, 1.3.4
Blueprint ini membantu Anda menerapkan segmentasi logis dengan menggunakan project Google Cloud ; segmentasi memungkinkan Anda membuat batas untuk penilaian PCI Anda. Cetak biru ini menjalankan
Istio di Google Kubernetes Engine
sebagai add-on yang memungkinkan Anda membuat mesh layanan di sekitar
cluster GKE yang mencakup semua komponen yang Anda butuhkan. Cetak biru ini juga membuat perimeter keamanan menggunakan
VPC
di sekitar semua Google Cloud project yang tercakup dalam PCI.
Mengonfigurasi akses dengan hak istimewa terendah ke Google Cloud resource
7.1, 7.2
Cetak biru ini membantu Anda menerapkan kontrol akses berbasis peran untuk
mengelola siapa saja yang memiliki akses ke resource Google Cloud . Cetak biru ini juga
mengimplementasikan kontrol akses khusus GKE seperti
kontrol akses berbasis peran (RBAC)
dan
namespace
untuk membatasi akses ke resource cluster.
Menetapkan kebijakan tingkat Organisasi
Dengan cetak biru ini, Anda menetapkan kebijakan yang berlaku untuk resource
Organisasi
Google Cloud, seperti berikut ini:
Cetak biru ini menggunakan
VPC Bersama
untuk konektivitas dan kontrol jaringan
terpisah guna menerapkan
pemisahan tugas.
Meningkatkan keamanan cluster
2.2, 2.2.5
Cluster GKE dalam cetak biru ini telah melalui proses hardening sebagaimana dijelaskan dalam
panduan hardening GKE.
Daftar ini hanyalah sebagian kontrol keamanan yang diterapkan dalam
blueprint ini yang dapat memenuhi persyaratan PCI DSS. Anda dapat menemukan daftar lengkap
persyaratan yang ditangani dalam dokumen
Persyaratan PCI DSS
(PDF) di GitHub.
Aset yang dapat di-deploy
Repositori PCI dan GKE Blueprint di GitHub berisi kumpulan konfigurasi dan skrip Terraform yang menunjukkan cara mem-bootstrap lingkungan PCI di Google Cloud. PCI pada project GKE juga menampilkan Google Cloud layanan, alat,
dan project yang berguna untuk memulai lingkungan Google Cloud PCI
Anda sendiri.
Pertanyaan umum (FAQ)
Bagaimana cara menggunakan cetak biru ini?
Cetak biru PCI pada GKE memberi Anda
informasi preskriptif dan petunjuk untuk membuat atau memigrasikan workload di
GKE yang selaras dengan persyaratan kepatuhan PCI.
Sebaiknya baca panduan penerapan dan tinjau arsitektur referensi sebelum men-deploy lingkungan PCI menggunakan Terraform. Kami telah menyediakan aplikasi e-commerce demo yang dapat Anda deploy untuk menguji lingkungan cetak biru PCI.
Apakah ini satu-satunya cara untuk menjalankan workload yang sesuai dengan PCI di Google Cloud?
Tidak. PCI DSS adalah seperangkat standar keamanan dan ada banyak cara untuk
menafsirkan dan menerapkan kontrol guna memenuhi standar. Cetak biru
ini dirancang sebagai serangkaian praktik terbaik dan rekomendasi untuk
mendukung kepatuhan PCI DSS Anda sendiri.
Apakah cetak biru ini mencakup praktik terbaik untuk kepatuhan PCI untuk
Google Distributed Cloud?
Meskipun beberapa panduan dalam cetak biru ini berlaku untuk GKE Enterprise,
fokusnya adalah pada Google Kubernetes Engine (GKE) yang berjalan di Google Cloud.
Apakah Anda memiliki daftar persyaratan PCI yang dapat dipenuhi oleh cetak biru ini?
Cetak biru ini membahas berbagai persyaratan kepatuhan PCI DSS. Anda
dapat menemukan daftar lengkap persyaratan tersebut dalam dokumen
Persyaratan PCI DSS (PDF) di GitHub. Daftar ini hanya membahas persyaratan kepatuhan PCI
yang didukung oleh infrastruktur Google Cloud sebagai bagian dari
tanggung jawab bersama antara Anda dan Google. Perhatikan bahwa penerapan
kontrol kepatuhan PCI merupakan tanggung jawab penuh pelanggan
dan Anda harus melakukan evaluasi sendiri terhadap kepatuhan
PCI di organisasi Anda. Untuk mengetahui informasi selengkapnya tentang model tanggung jawab bersama, lihat
Mengeksplorasi keamanan container: model tanggung jawab bersama di GKE
di Google Cloud blog.
Layanan apa yang didukung oleh panduan dalam cetak biru ini?
Untuk mengetahui daftar lengkap layanan yang didukung, lihat bagian atas file README di PCI pada repositori GKE di GitHub.
Apakah Anda menerima kontribusi ke PCI pada repositori GKE di
GitHub?
Ya. Anda dapat mengirimkan
permintaan pull atau melakukan fork repositori.
Resource
Kepatuhan PCI DSS di Google Cloud.
Panduan ini membantu Anda mengatasi masalah unik pada aplikasi Google Kubernetes Engine (GKE)
saat menerapkan tanggung jawab pelanggan untuk persyaratan
PCI DSS.
[[["Mudah dipahami","easyToUnderstand","thumb-up"],["Memecahkan masalah saya","solvedMyProblem","thumb-up"],["Lainnya","otherUp","thumb-up"]],[["Sulit dipahami","hardToUnderstand","thumb-down"],["Informasi atau kode contoh salah","incorrectInformationOrSampleCode","thumb-down"],["Informasi/contoh yang saya butuhkan tidak ada","missingTheInformationSamplesINeed","thumb-down"],["Masalah terjemahan","translationIssue","thumb-down"],["Lainnya","otherDown","thumb-down"]],["Terakhir diperbarui pada 2025-03-12 UTC."],[[["\u003cp\u003eThis PCI on Google Kubernetes Engine (GKE) blueprint provides Terraform configurations and scripts for creating a Payment Card Industry (PCI) compliant environment in Google Cloud, utilizing the Online Boutique application as its core.\u003c/p\u003e\n"],["\u003cp\u003eThe blueprint supports PCI DSS version 3.2.1 compliance by offering a framework for deploying workloads on GKE in a repeatable, secure, and supported manner, and helps implement a cardholder data environment (CDE) with specific Google Cloud projects for Network, Management, In-scope, and Out-of-scope resources.\u003c/p\u003e\n"],["\u003cp\u003eKey aspects of the blueprint's architecture include logical segmentation through Google Cloud projects, role-based access control, organization-level policies, Shared VPC for network segregation, and cluster security hardening as detailed in the GKE hardening guide.\u003c/p\u003e\n"],["\u003cp\u003eThe solution uses encrypted communication both internally and externally, including TLS-encrypted traffic, and relies on Istio for mTLS encryption within clusters.\u003c/p\u003e\n"],["\u003cp\u003eThe blueprint addresses a variety of PCI DSS requirements, offering guidance and implementation examples, but emphasizes that achieving full PCI compliance is a shared responsibility between the customer and Google Cloud, and requires thorough evaluation and approval from a Qualified Security Assessor (QSA).\u003c/p\u003e\n"]]],[],null,["# Security blueprint: PCI on GKE\n\nThe PCI on Google Kubernetes Engine blueprint contains a set of\n[Terraform](https://www.terraform.io/)\nconfigurations and scripts that demonstrate how to bootstrap a PCI environment\nin Google Cloud. The core of this blueprint is the\n[Online Boutique](https://github.com/GoogleCloudPlatform/microservices-demo)\napplication, where users can browse items, add them to the cart, and purchase\nthem.\n\nThis blueprint was developed for [Payment Card Industry Data Security Standard\n(PCI DSS)](https://www.pcisecuritystandards.org/pci_security/maintaining_payment_security)\nversion 3.2.1. The blueprint lets you deploy workloads on\nGKE that align with the PCI DSS\nin a repeatable, supported, and secure way.\n\n- [**Architecture**](#architectural_diagrams)\n- [**Compliance mapping**](#compliance_mapping)\n- [**Deployable assets**](#deployable_assets)\n- [**Frequently asked questions**](#frequently_asked_questions)\n- [**Resources**](#resources)\n\nArchitecture\n------------\n\n### Project overview\n\nIn this blueprint, you bootstrap a cardholder data environment (CDE)\nin Google Cloud that contains the following resource hierarchy:\n\n- An [Organizational](/resource-manager/docs/cloud-platform-resource-hierarchy#organizations) resource.\n- A [Folder](/resource-manager/docs/cloud-platform-resource-hierarchy#folders) resource. Folder resources provide a grouping mechanism and isolation boundaries between projects.\n- [Project](/resource-manager/docs/cloud-platform-resource-hierarchy#projects)\n resources. You deploy the following Google Cloud projects:\n\n - Network: The host project for the Shared VPC.\n - Management: A project that will hold the logging and monitoring infrastructure, such as Cloud Logging.\n - In-scope: A project that contains the in-scope resources. In this solution, the project consists of a GKE cluster that's designed to run the in-scope applications. In the example, this includes the Frontend, Payment, and Checkout services.\n - Out-of-scope: A project that contains the out-of-scope resources. In the solution, that's a GKE cluster that's designed to run the rest of the services.\n\n### Application and projects\n\nThe following diagram illustrates the CDE boundary on Google Cloud and\nwhich projects are in the scope of your PCI assessment of the Microservices\nDemo application. As you build your environment, you use an illustration\nlike this to communicate Google Cloud about resources into and out of\nyour PCI boundary.\n\nThe path labeled `1` shows log data from Kubernetes clusters going to\nCloud Logging.\n\n### Network layout\n\nThis diagram illustrates the network and subnet details within each\nproject. It documents the data flows between projects and into and\nout of the CDE boundary.\n\n### Encrypted traffic\n\nThis diagram illustrates the encrypted traffic going into and out of\nthe PCI boundary:\n\n1. TLS-encrypted (HTTPS) traffic from outside the VPC goes to the in-scope public load balancer.\n2. TLS-encrypted traffic between in-scope Kubernetes cluster nodes to the out-of-scope cluster goes to internal load balancers.\n3. Traffic from the internal load balancers to the out-of-scope cluster is encrypted with mTLS using Istio.\n4. Communication within each cluster is encrypted with mTLS using Istio.\n\nCompliance mapping\n------------------\n\nThe blueprint described in this document addresses a range of PCI DSS\ncompliance requirements. The table in this section highlights some of those\nrequirements.\n| **Note:** The [PCI on GKE Blueprint Review for PCI Compliance](/static/architecture/google-cloud-pci-gke-review.pdf) whitepaper (PDF) provides an independent, third-party assessment of the blueprint performed by [Coalfire](https://www.coalfire.com/), Google's PCI-DSS auditor. It also provides guidance on elements that you should address when you adopt the blueprint.\n\nThe items in the following table don't address all requirements; compliance with\nsome requirements is met by the Google Cloud infrastructure as part of the\nshared responsibility between you and Google. Compliance with other requirements\nneeds to be implemented by you. For a detailed explanation of the shared\nresponsibility model, see\n[Exploring container security: the shared responsibility model in GKE](https://cloud.google.com/blog/products/containers-kubernetes/exploring-container-security-the-shared-responsibility-model-in-gke-container-security-shared-responsibility-model-gke)\non the Google Cloud blog.\n| **Note:** The compliance mapping describes how controls implemented in this blueprint help you comply with a PCI requirement; however, the blueprint does not guarantee PCI compliance for the requirements specified later in this document. It's important to note that the description of the implementation details in this blueprint must be reviewed, evaluated, assessed, and approved by you and your Qualified Security Assessor (QSA), and layered with other security features that address all of the in-scope systems and applications for a holistic solution to meet the PCI requirements.\n\nThe numbers in parentheses refer to sections of the\nPayment Card Industry (PCI) Data Security Standard document. You can download\nthe document from the PCI Security Standards Council website's\n[document library](https://www.pcisecuritystandards.org/document_library?category=pcidss&document=pci_dss).\n\nThis list is just a subset of the security controls implemented in this\nblueprint that can meet PCI DSS requirements. You can find a full list of those\nrequirements that are addressed in the\n[PCI DSS Requirements](https://github.com/GoogleCloudPlatform/pci-gke-blueprint/blob/master/docs/assets/pci-mapping.pdf)\n(PDF) document on GitHub.\n\nDeployable assets\n-----------------\n\nThe\n[PCI and GKE Blueprint](https://github.com/GoogleCloudPlatform/pci-gke-blueprint)\nrepository on GitHub contains a set of Terraform configurations and scripts that\nshow how to bootstrap a PCI environment in Google Cloud. The PCI on\nGKE project also showcases Google Cloud services, tools,\nand projects that are useful to start your own Google Cloud PCI\nenvironment.\n\nFrequently asked questions\n--------------------------\n\n### How do I use this blueprint?\n\n\nThe PCI on GKE blueprint provides you with prescriptive\ninformation and instructions for creating or migrating workloads on\nGKE that align with PCI compliance requirements.\n\n\nThe blueprint is made up of the following elements:\n\n- [An implementation guide](https://github.com/GoogleCloudPlatform/pci-gke-blueprint)\n- [Reference architectures](https://github.com/GoogleCloudPlatform/pci-gke-blueprint/blob/master/docs/diagrams.md)\n- [Terraform](http://terraform.io) scripts that implement infrastructure as code (IaC)\n- [A demo application](https://github.com/GoogleCloudPlatform/pci-gke-blueprint/blob/master/docs/deploy-application.md)\n- [PCI compliance mappings](https://github.com/GoogleCloudPlatform/pci-gke-blueprint/blob/master/docs/assets/pci-mapping.pdf)\n\n\nWe recommend that you read through the implementation guide and review\nthe reference architectures before deploying the PCI environment using\nTerraform. We've provided a demo ecommerce application that you can deploy\nto test the PCI blueprint environment.\n\n### Is this the only way to run PCI-compliant workloads on Google Cloud?\n\n\nNo. PCI DSS is a set of security standards and there are many ways to\ninterpret and implement the controls to satisfy the standards. This\nblueprint is designed as a set of best practices and recommendations to\nsupport your own PCI DSS compliance.\n\n### Does this blueprint include best practices for PCI compliance for\nGoogle Distributed Cloud?\n\n\nWhile some of the guidance in this blueprint is applicable to GKE Enterprise,\nthe focus is on Google Kubernetes Engine (GKE) running on Google Cloud.\n\n### Do you have a list of PCI requirements that this blueprint can help satisfy?\n\n\nThis blueprint addresses a range of PCI DSS compliance requirements. You\ncan find a full list of those requirements in the\n[PCI DSS Requirements](https://github.com/GoogleCloudPlatform/pci-gke-blueprint/blob/master/docs/assets/pci-mapping.pdf) document (PDF)\non GitHub. This list addresses only the PCI compliance requirements\nthat are supported by the Google Cloud infrastructure as part of the\nshared responsibility between you and Google. Note that the implementation\nof any PCI compliance controls is the sole responsibility of the customer\nand you should conduct your own evaluation of your organization's PCI\ncompliance. For more information about the shared responsibility model, see\n[Exploring container security: the shared responsibility model in GKE](https://cloud.google.com/blog/products/containers-kubernetes/exploring-container-security-the-shared-responsibility-model-in-gke-container-security-shared-responsibility-model-gke)\non the Google Cloud blog.\n\n### What services are supported by the guidance in this blueprint?\n\n\nFor a full list of supported services, see the top of the\n[README](https://github.com/GoogleCloudPlatform/pci-gke-blueprint)\nfile in the PCI on GKE repository on GitHub.\n\n### Do you accept contributions to the PCI on GKE repository on\nGitHub?\n\n\nYes. You can submit a\n[pull request](https://help.github.com/en/github/collaborating-with-issues-and-pull-requests/about-pull-requests) or fork the repository.\n\nResources\n---------\n\n- [PCI DSS compliance on Google Cloud](/solutions/pci-dss-and-gke-guide). This guide helps you address concerns unique to Google Kubernetes Engine (GKE) applications when you are implementing customer responsibilities for PCI DSS requirements."]]
