Mantenha tudo organizado com as coleções
Salve e categorize o conteúdo com base nas suas preferências.
Last reviewed 2025-03-12 UTC
O blueprint do PCI no Google Kubernetes Engine contém um conjunto de
configurações e scripts do
Terraform
que demonstram como inicializar um ambiente do PCI
no Google Cloud. O núcleo desse blueprint é o aplicativo
Boutique on-line,
em que os usuários podem procurar itens, adicioná-los ao carrinho e
comprá-los.
Nesse blueprint, você inicializa um ambiente de dados do titular do cartão (CDE, na sigla em inglês)
em Google Cloud que contém a seguinte hierarquia de recursos:
Um
recurso de
pasta. Esse tipo fornece um mecanismo
de agrupamento e limites de isolamento entre projetos.
Recursos do
projeto. Você implanta os seguintes projetos Google Cloud :
Rede: o projeto host da VPC compartilhada.
Gerenciamento: um projeto que manterá a infraestrutura de geração de registros e de monitoramento,
como o Cloud Logging.
No escopo: um projeto que contém os recursos nesse estado. Na solução, o projeto consiste em um cluster do GKE
projetado para executar aplicativos no escopo. No exemplo,
isso inclui os serviços de front-end, pagamentos e finalização da compra.
Fora do escopo: um projeto que contém os recursos nesse estado.
Na solução, isso é um cluster do GKE
projetado para executar o restante dos serviços.
Aplicativo e projetos
O diagrama a seguir ilustra o limite do CDE em Google Cloud e
quais projetos estão no escopo da avaliação do PCI do aplicativo
Microservices-demo. Ao criar seu ambiente, você usa uma ilustração
como esta para comunicar Google Cloud sobre recursos dentro e fora do
limite do PCI.
O caminho 1 mostra dados de registro dos clusters do Kubernetes que vão para o
Cloud Logging.
Layout de rede
Este diagrama ilustra os detalhes da rede e da sub-rede em cada
projeto. Ele documenta os fluxos de dados entre projetos, além de fora e
dentro do limite do CDE.
Tráfego criptografado
Este diagrama ilustra o tráfego criptografado que entra e sai
do limite do PCI:
O tráfego criptografado por TLS (HTTPS) de fora da VPC vai para o
balanceador de carga público no escopo.
O tráfego criptografado por TLS entre os nós do cluster do Kubernetes no escopo para
o cluster fora do escopo vai para os balanceadores de carga internos.
O tráfego dos balanceadores de carga internos para o cluster fora do escopo
é criptografado com mTLS usando o Istio.
A comunicação dentro de cada cluster é criptografada com mTLS usando o Istio.
Mapeamento de conformidade
O blueprint descrito neste documento aborda uma variedade de requisitos de conformidade com
o PCI DSS. A tabela nesta seção destaca algumas dessas exigências.
Os itens na tabela a seguir não atendem a todos os requisitos. A conformidade com
algumas exigências é atendida pela infraestrutura do Google Cloud como parte da
responsabilidade compartilhada entre você e o Google. A conformidade com outros requisitos
precisa ser implementada por você. Para uma explicação detalhada do modelo de
responsabilidade compartilhada, consulte
Como explorar a segurança do contêiner: o modelo de responsabilidade compartilhada no GKE
no Google Cloud blog.
Os números entre parênteses se referem às seções do
documento do padrão de segurança de dados do setor de cartões de pagamento (PCI). É possível fazer o download
do documento na biblioteca
do site do PCI Security Standards Council.
Requisito
Seção
Descrição
Implementar a segmentação e a proteção de limites
1.3.2, 1.3.4
Esse blueprint ajuda você a implementar uma segmentação lógica usando
projetos Google Cloud . A segmentação permite criar um
limite para a avaliação do PCI. Esse blueprint executa o
Istio no Google Kubernetes Engine
como um complemento que permite criar uma malha de serviço no
cluster do GKE que inclui todos os componentes necessários. O
blueprint também cria um perímetro de segurança usando
a
VPC
em todos os Google Cloud projetos no escopo do PCI.
Configurar o acesso de privilégio mínimo aos recursos do Google Cloud
7.1, 7.2
Esse blueprint ajuda você a implementar o controle de acesso com base em papéis para
gerenciar quem tem acesso aos recursos Google Cloud . O blueprint também
implementa controles de acesso específicos do GKE, como
controle de acesso baseado em papéis (RBAC, na sigla em inglês)
e
namespaces
para restringir o acesso aos recursos do cluster.
Essa lista é apenas um subconjunto dos controles de segurança implementados no
blueprint que podem atender aos requisitos do PCI DSS. Encontre uma lista completa
dessas exigências no documento
Requisitos do PCI DSS
no GitHub.
Recursos implantáveis
O repositório
PCI and GKE Blueprint
no GitHub contém um conjunto de configurações e scripts do Terraform que
mostram como inicializar um ambiente do PCI em Google Cloud. O projeto "PCI
no GKE" também mostra Google Cloud serviços, ferramentas
e projetos que são úteis para iniciar seu próprio ambiente de Google Cloud PCI.
Perguntas frequentes
Como faço para usar esse blueprint?
O blueprint "PCI no GKE" fornece informações com instruções prescritivas
sobre como criar ou migrar cargas de trabalho no
GKE que estejam alinhadas aos requisitos de conformidade com o PCI.
O blueprint é composto pelos seguintes elementos (links em inglês):
Recomendamos que você leia o guia de implementação e analise
as arquiteturas de referência antes de implantar o ambiente do PCI usando o
Terraform. Fornecemos um aplicativo de comércio eletrônico de demonstração que pode ser implantado
para testar o ambiente do blueprint do PCI.
Essa é a única maneira de executar cargas de trabalho em conformidade com o PCI no Google Cloud?
Não. O PCI DSS é um conjunto de padrões de segurança, e há muitas maneiras
de interpretar e implementar os controles para atender aos padrões. O
blueprint foi criado como um conjunto de práticas recomendadas e sugestões para
ajudar sua conformidade com o PCI DSS.
O blueprint inclui práticas recomendadas para conformidade com o PCI
com o Google Distributed Cloud?
Embora algumas das orientações neste modelo se apliquem ao GKE Enterprise,
o foco está no Google Kubernetes Engine (GKE) em execução no Google Cloud.
Vocês têm uma lista de requisitos do PCI que esse blueprint pode ajudar a atender?
Esse blueprint aborda uma variedade de requisitos de conformidade com o PCI DSS. É possível
encontrar uma lista completa dessas exigências no
documento Requisitos do PCI DSS (PDF em inglês)
no GitHub. Esta lista aborda apenas as exigências de conformidade com o PCI
compatíveis com a infraestrutura do Google Cloud como parte da
responsabilidade compartilhada entre você e o Google. A implementação
de qualquer controle de conformidade com o PCI é de responsabilidade exclusiva do cliente,
e você deve conduzir sua própria avaliação de
conformidade com o PCI. Para mais informações sobre o modelo de responsabilidade compartilhada, consulte
Como explorar a segurança do contêiner: o modelo de responsabilidade compartilhada no GKE
(em inglês) no Google Cloud blog.
Quais serviços são compatíveis com as orientações no blueprint?
Para ver uma lista completa dos serviços compatíveis, consulte a parte superior do
arquivo README (em inglês)
do PCI no repositório do GKE no GitHub.
Vocês aceitam contribuições para o PCI no repositório do GKE no
GitHub?
Sim. É possível enviar uma
solicitação de envio (em inglês) ou criar um garfo do repositório.
Recursos
Conformidade com o PCI DSS no Google Cloud.
Esse guia ajudará você a resolver questões exclusivas dos aplicativos do Google Kubernetes Engine (GKE)
quando for implementar as responsabilidades do cliente para os requisitos do
PCI DSS.
[[["Fácil de entender","easyToUnderstand","thumb-up"],["Meu problema foi resolvido","solvedMyProblem","thumb-up"],["Outro","otherUp","thumb-up"]],[["Difícil de entender","hardToUnderstand","thumb-down"],["Informações incorretas ou exemplo de código","incorrectInformationOrSampleCode","thumb-down"],["Não contém as informações/amostras de que eu preciso","missingTheInformationSamplesINeed","thumb-down"],["Problema na tradução","translationIssue","thumb-down"],["Outro","otherDown","thumb-down"]],["Última atualização 2025-03-12 UTC."],[[["\u003cp\u003eThis PCI on Google Kubernetes Engine (GKE) blueprint provides Terraform configurations and scripts for creating a Payment Card Industry (PCI) compliant environment in Google Cloud, utilizing the Online Boutique application as its core.\u003c/p\u003e\n"],["\u003cp\u003eThe blueprint supports PCI DSS version 3.2.1 compliance by offering a framework for deploying workloads on GKE in a repeatable, secure, and supported manner, and helps implement a cardholder data environment (CDE) with specific Google Cloud projects for Network, Management, In-scope, and Out-of-scope resources.\u003c/p\u003e\n"],["\u003cp\u003eKey aspects of the blueprint's architecture include logical segmentation through Google Cloud projects, role-based access control, organization-level policies, Shared VPC for network segregation, and cluster security hardening as detailed in the GKE hardening guide.\u003c/p\u003e\n"],["\u003cp\u003eThe solution uses encrypted communication both internally and externally, including TLS-encrypted traffic, and relies on Istio for mTLS encryption within clusters.\u003c/p\u003e\n"],["\u003cp\u003eThe blueprint addresses a variety of PCI DSS requirements, offering guidance and implementation examples, but emphasizes that achieving full PCI compliance is a shared responsibility between the customer and Google Cloud, and requires thorough evaluation and approval from a Qualified Security Assessor (QSA).\u003c/p\u003e\n"]]],[],null,["# Security blueprint: PCI on GKE\n\nThe PCI on Google Kubernetes Engine blueprint contains a set of\n[Terraform](https://www.terraform.io/)\nconfigurations and scripts that demonstrate how to bootstrap a PCI environment\nin Google Cloud. The core of this blueprint is the\n[Online Boutique](https://github.com/GoogleCloudPlatform/microservices-demo)\napplication, where users can browse items, add them to the cart, and purchase\nthem.\n\nThis blueprint was developed for [Payment Card Industry Data Security Standard\n(PCI DSS)](https://www.pcisecuritystandards.org/pci_security/maintaining_payment_security)\nversion 3.2.1. The blueprint lets you deploy workloads on\nGKE that align with the PCI DSS\nin a repeatable, supported, and secure way.\n\n- [**Architecture**](#architectural_diagrams)\n- [**Compliance mapping**](#compliance_mapping)\n- [**Deployable assets**](#deployable_assets)\n- [**Frequently asked questions**](#frequently_asked_questions)\n- [**Resources**](#resources)\n\nArchitecture\n------------\n\n### Project overview\n\nIn this blueprint, you bootstrap a cardholder data environment (CDE)\nin Google Cloud that contains the following resource hierarchy:\n\n- An [Organizational](/resource-manager/docs/cloud-platform-resource-hierarchy#organizations) resource.\n- A [Folder](/resource-manager/docs/cloud-platform-resource-hierarchy#folders) resource. Folder resources provide a grouping mechanism and isolation boundaries between projects.\n- [Project](/resource-manager/docs/cloud-platform-resource-hierarchy#projects)\n resources. You deploy the following Google Cloud projects:\n\n - Network: The host project for the Shared VPC.\n - Management: A project that will hold the logging and monitoring infrastructure, such as Cloud Logging.\n - In-scope: A project that contains the in-scope resources. In this solution, the project consists of a GKE cluster that's designed to run the in-scope applications. In the example, this includes the Frontend, Payment, and Checkout services.\n - Out-of-scope: A project that contains the out-of-scope resources. In the solution, that's a GKE cluster that's designed to run the rest of the services.\n\n### Application and projects\n\nThe following diagram illustrates the CDE boundary on Google Cloud and\nwhich projects are in the scope of your PCI assessment of the Microservices\nDemo application. As you build your environment, you use an illustration\nlike this to communicate Google Cloud about resources into and out of\nyour PCI boundary.\n\nThe path labeled `1` shows log data from Kubernetes clusters going to\nCloud Logging.\n\n### Network layout\n\nThis diagram illustrates the network and subnet details within each\nproject. It documents the data flows between projects and into and\nout of the CDE boundary.\n\n### Encrypted traffic\n\nThis diagram illustrates the encrypted traffic going into and out of\nthe PCI boundary:\n\n1. TLS-encrypted (HTTPS) traffic from outside the VPC goes to the in-scope public load balancer.\n2. TLS-encrypted traffic between in-scope Kubernetes cluster nodes to the out-of-scope cluster goes to internal load balancers.\n3. Traffic from the internal load balancers to the out-of-scope cluster is encrypted with mTLS using Istio.\n4. Communication within each cluster is encrypted with mTLS using Istio.\n\nCompliance mapping\n------------------\n\nThe blueprint described in this document addresses a range of PCI DSS\ncompliance requirements. The table in this section highlights some of those\nrequirements.\n| **Note:** The [PCI on GKE Blueprint Review for PCI Compliance](/static/architecture/google-cloud-pci-gke-review.pdf) whitepaper (PDF) provides an independent, third-party assessment of the blueprint performed by [Coalfire](https://www.coalfire.com/), Google's PCI-DSS auditor. It also provides guidance on elements that you should address when you adopt the blueprint.\n\nThe items in the following table don't address all requirements; compliance with\nsome requirements is met by the Google Cloud infrastructure as part of the\nshared responsibility between you and Google. Compliance with other requirements\nneeds to be implemented by you. For a detailed explanation of the shared\nresponsibility model, see\n[Exploring container security: the shared responsibility model in GKE](https://cloud.google.com/blog/products/containers-kubernetes/exploring-container-security-the-shared-responsibility-model-in-gke-container-security-shared-responsibility-model-gke)\non the Google Cloud blog.\n| **Note:** The compliance mapping describes how controls implemented in this blueprint help you comply with a PCI requirement; however, the blueprint does not guarantee PCI compliance for the requirements specified later in this document. It's important to note that the description of the implementation details in this blueprint must be reviewed, evaluated, assessed, and approved by you and your Qualified Security Assessor (QSA), and layered with other security features that address all of the in-scope systems and applications for a holistic solution to meet the PCI requirements.\n\nThe numbers in parentheses refer to sections of the\nPayment Card Industry (PCI) Data Security Standard document. You can download\nthe document from the PCI Security Standards Council website's\n[document library](https://www.pcisecuritystandards.org/document_library?category=pcidss&document=pci_dss).\n\nThis list is just a subset of the security controls implemented in this\nblueprint that can meet PCI DSS requirements. You can find a full list of those\nrequirements that are addressed in the\n[PCI DSS Requirements](https://github.com/GoogleCloudPlatform/pci-gke-blueprint/blob/master/docs/assets/pci-mapping.pdf)\n(PDF) document on GitHub.\n\nDeployable assets\n-----------------\n\nThe\n[PCI and GKE Blueprint](https://github.com/GoogleCloudPlatform/pci-gke-blueprint)\nrepository on GitHub contains a set of Terraform configurations and scripts that\nshow how to bootstrap a PCI environment in Google Cloud. The PCI on\nGKE project also showcases Google Cloud services, tools,\nand projects that are useful to start your own Google Cloud PCI\nenvironment.\n\nFrequently asked questions\n--------------------------\n\n### How do I use this blueprint?\n\n\nThe PCI on GKE blueprint provides you with prescriptive\ninformation and instructions for creating or migrating workloads on\nGKE that align with PCI compliance requirements.\n\n\nThe blueprint is made up of the following elements:\n\n- [An implementation guide](https://github.com/GoogleCloudPlatform/pci-gke-blueprint)\n- [Reference architectures](https://github.com/GoogleCloudPlatform/pci-gke-blueprint/blob/master/docs/diagrams.md)\n- [Terraform](http://terraform.io) scripts that implement infrastructure as code (IaC)\n- [A demo application](https://github.com/GoogleCloudPlatform/pci-gke-blueprint/blob/master/docs/deploy-application.md)\n- [PCI compliance mappings](https://github.com/GoogleCloudPlatform/pci-gke-blueprint/blob/master/docs/assets/pci-mapping.pdf)\n\n\nWe recommend that you read through the implementation guide and review\nthe reference architectures before deploying the PCI environment using\nTerraform. We've provided a demo ecommerce application that you can deploy\nto test the PCI blueprint environment.\n\n### Is this the only way to run PCI-compliant workloads on Google Cloud?\n\n\nNo. PCI DSS is a set of security standards and there are many ways to\ninterpret and implement the controls to satisfy the standards. This\nblueprint is designed as a set of best practices and recommendations to\nsupport your own PCI DSS compliance.\n\n### Does this blueprint include best practices for PCI compliance for\nGoogle Distributed Cloud?\n\n\nWhile some of the guidance in this blueprint is applicable to GKE Enterprise,\nthe focus is on Google Kubernetes Engine (GKE) running on Google Cloud.\n\n### Do you have a list of PCI requirements that this blueprint can help satisfy?\n\n\nThis blueprint addresses a range of PCI DSS compliance requirements. You\ncan find a full list of those requirements in the\n[PCI DSS Requirements](https://github.com/GoogleCloudPlatform/pci-gke-blueprint/blob/master/docs/assets/pci-mapping.pdf) document (PDF)\non GitHub. This list addresses only the PCI compliance requirements\nthat are supported by the Google Cloud infrastructure as part of the\nshared responsibility between you and Google. Note that the implementation\nof any PCI compliance controls is the sole responsibility of the customer\nand you should conduct your own evaluation of your organization's PCI\ncompliance. For more information about the shared responsibility model, see\n[Exploring container security: the shared responsibility model in GKE](https://cloud.google.com/blog/products/containers-kubernetes/exploring-container-security-the-shared-responsibility-model-in-gke-container-security-shared-responsibility-model-gke)\non the Google Cloud blog.\n\n### What services are supported by the guidance in this blueprint?\n\n\nFor a full list of supported services, see the top of the\n[README](https://github.com/GoogleCloudPlatform/pci-gke-blueprint)\nfile in the PCI on GKE repository on GitHub.\n\n### Do you accept contributions to the PCI on GKE repository on\nGitHub?\n\n\nYes. You can submit a\n[pull request](https://help.github.com/en/github/collaborating-with-issues-and-pull-requests/about-pull-requests) or fork the repository.\n\nResources\n---------\n\n- [PCI DSS compliance on Google Cloud](/solutions/pci-dss-and-gke-guide). This guide helps you address concerns unique to Google Kubernetes Engine (GKE) applications when you are implementing customer responsibilities for PCI DSS requirements."]]
