Halaman ini memberikan ringkasan solusi Bare Metal HSM.

Ringkasan

Bare Metal HSM adalah penawaran infrastructure-as-a-service yang memungkinkan Anda men-deploy modul keamanan hardware (HSM) milik pelanggan di samping workloadGoogle Cloud Anda. HSM Anda di-deploy di fasilitas yang mematuhi PCI untuk memenuhi persyaratan keamanan, kepatuhan, dan latensi rendah Anda.

Untuk mendukung pemindahan workload Anda ke cloud, Google menghosting HSM Anda, dengan menyediakan keamanan fisik dan jaringan, ruang rak dan ruang penyimpanan, daya, dan integrasi jaringan dengan biaya bulanan.

Bare Metal HSM memungkinkan Anda melakukan kontrak langsung dengan Google untuk penempatan HSM Anda. HSM ditempatkan dalam fasilitas kolokasi yang ditentukan dan terhubung ke Google Cloud.

Solusi Bare Metal HSM didukung di fasilitas kolokasi dengan fabric peering aktif. Fasilitas ini memenuhi dan melampaui standar Google untuk keamanan pusat data dan menyediakan layanan dengan latensi rendah dan ketersediaan tinggi.

Perbandingan dengan Bare Metal Rack HSM

Bare Metal Rack HSM dan Bare Metal HSM memungkinkan Anda menghosting HSM sendiri di fasilitas Google Cloud . Perbedaan utama antara solusi Bare Metal Rack HSM dan Bare Metal HSM adalah skala. Tabel berikut merangkum perbedaan utama antara solusi ini:

Bare Metal HSM	Bare Metal Rack HSM
Google menghosting HSM Anda berdasarkan per perangkat.	Google menghosting HSM Anda per rak.
Anda memiliki akses logis ke HSM, tetapi tidak memiliki akses fisik.	Anda memiliki akses logis ke HSM dan dapat menjadwalkan akses fisik yang dikawal.
Ditujukan untuk deployment kecil 10-15 HSM	Ditujukan untuk deployment tingkat rak besar yang terdiri dari 100 HSM atau lebih

Jika Anda tidak yakin solusi mana yang tepat untuk kebutuhan Anda, hubungi perwakilan akun Anda.

Model operasional

• Proses aktivasi
  • Kontrak: Minimal 12 bulan. Dukungan Premium diperlukan.
  • Pengadaan dan konfigurasi: Organisasi Anda memperoleh, mengonfigurasi, dan mengirimkan HSM ke Google.
  • Pasang dan hubungkan: Google men-deploy HSM Anda dan mengonfigurasi koneksi Partner Interconnect.
  • Validasi dan penyerahan: Mengonfirmasi solusi engineering dan aksesibilitas ke HSM, menguji solusi, dan menyetujui.
• Model dukungan
  • Google memberikan dukungan untuk pemasangan dan penataan rak, hosting, bantuan teknis, kepatuhan, dan koneksi Partner Interconnect.
  • Bekerja samalah dengan vendor HSM Anda untuk mendapatkan dukungan terkait software, pemberian lisensi, alat, dan pemecahan masalah HSM.
• Proses penonaktifan
  • Anda mengajukan permintaan untuk menonaktifkan.
  • Anda harus menghapus semua data dan menginisialisasi semua HSM ke setelan default pabrik.

Persyaratan kepatuhan

Penawaran ini terbatas pada HSM yang bersertifikasi FIPS 140-2 Level 3 atau lebih tinggi, dan bukan layanan hosting atau kolokasi umum. Solusi HSM Bare Metal dihosting di fasilitas yang sepenuhnya mematuhi PCI-DSS, PCI-3DS, dan SOC 1, 2, dan 3. Google akan mendukung AOC Anda untuk kepatuhan PCI-PIN, PCI-P2PE, dan SOC di semua region.

Pemisahan tanggung jawab

Anda bertanggung jawab untuk mendapatkan dan menyediakan HSM serta mengirimkannya ke region Google Cloud yang sesuai. HSM yang digunakan adalah pilihan Anda, tetapi harus mematuhi persyaratan peralatan HSM.

Google telah mengonfigurasi rak, switch top-of-rack, dan konektivitas. Switch berasal dari vendor yang berbeda untuk setiap pasangan rak. Untuk solusi Bare Metal HSM, Anda memiliki rak dan switch khusus Anda sendiri. Google menyediakan layanan pemasangan rak untuk HSM Anda dan bekerja sama dengan Anda untuk memvalidasi koneksi Partner Interconnect. Setiap rak memiliki catu daya redundan.

Mengakses Bare Metal HSM

Anda memiliki akses pengelolaan logis ke HSM dan bertanggung jawab atas pemeliharaan dan pengelolaannya. Anda tetap memiliki kontrol penuh atas HSM Anda.

Google tidak memiliki akses logis ke HSM Anda, tetapi menyediakan dan memelihara rak, switching, dan koneksi. Google tidak memiliki akses ke data atau kunci di HSM Anda.

Anda harus men-deploy HSM dengan kemampuan pengelolaan jarak jauh yang lengkap. Anda tidak dapat mengakses HSM secara fisik saat HSM berada di fasilitas kolokasi.

Google menyediakan layanan remote hands. Pelanggan tidak diizinkan untuk mengunjungi fasilitas tersebut. Anda bertanggung jawab atas persyaratan kepatuhan dan audit Anda sendiri.

Di akhir kontrak atau akhir masa pakai HSM, Anda mengirimkan permintaan untuk menonaktifkan HSM dan menghapus semua data atau memulihkan HSM ke setelan pabrik. Setelah HSM dihapus atau direset dan izin hukum diperoleh, HSM akan dikirim kembali kepada Anda atau dihancurkan jika tidak dapat dikirim kembali.

Persyaratan peralatan HSM

Bagian ini menjelaskan persyaratan fisik untuk HSM dan kabel terkait untuk menghosting HSM di fasilitas Google.

Jumlah HSM yang dapat dimuat dalam rak bergantung pada jumlah port yang tersedia dalam model switch top-of-rack saat ini, jumlah unit rak yang digunakan oleh model HSM, dan daya yang dibutuhkan HSM.

• Daya
  • Catu daya AC ganda (maks. 16 A per catu daya).
• Distribusi daya
  • Saluran 208 V dari saluran ke saluran (untuk lokasi yang berbasis di Amerika Serikat).
  • PDU rak yang menyediakan soket dan outlet C13 atau C19.
• Kabel daya (disediakan oleh Anda)
  • Ujung kabel PDU rak harus berjenis konektor C14 atau C20.
  • 2 x kabel daya 6 kaki atau 2 meter (panjang yang disarankan).
• Jaringan
  • Pengontrol antarmuka jaringan: NIC tembaga 1G ganda (jika berlaku).
• Kabel Jaringan (disediakan oleh Anda)
  • 2 x 6 kaki atau 2 meter (panjang yang disarankan) kabel patch CAT-5e atau yang lebih baik.
• Dimensi fisik
  • Kedalaman rak: 42 inci.
  • Jarak unit rak: Dudukan rak 19" EIA-310 standar dengan dudukan lubang persegi. Anda dapat menggunakan hingga 4 unit rak per HSM.
• Keamanan
  • HSM tidak dapat dilengkapi dengan kamera atau jaringan nirkabel seperti Bluetooth.
  • HSM harus tersertifikasi FIPS 140-2 Level 3 atau yang lebih baik.
• HSM harus dapat dikelola sepenuhnya dari jarak jauh.

Tidak ada persyaratan untuk berat atau pendinginan.

Ringkasan deployment

Agar memenuhi syarat untuk SLA waktu aktif 99,99%, Anda harus memenuhi persyaratan berikut:

• Deploy HSM di minimal dua zona—baik dua Google Cloud region yang berbeda atau, jika tersedia, dua zona di region yang sama.
• Deploy minimal dua HSM per zona (setidaknya satu HSM per rak di setidaknya dua rak).

Anda memberikan alamat MAC untuk setiap antarmuka jaringan HSM dan alamat IP yang ditetapkan kepadanya kepada Google. Informasi ini membantu Google memverifikasi pemasangan kabel server ke bagian atas rak dan membantu pemecahan masalah selama proses deployment.

Persyaratan jaringan akan dibahas lebih mendetail dengan perwakilan akun Anda selama proses aktivasi.

Topologi jaringan

Sepasang rak dalam satu zona dicakup oleh SLA 99,9%.

Deployment penuh di dua zona memberikan SLA 99,99%. Hal ini dapat dicapai dengan menggunakan dua region atau, jika tersedia, dua zona di region yang sama.

Aplikasi harus didesain untuk memanfaatkan model redundansi ini. Aplikasi harus dapat melakukan failover dari zona 1 ke zona 2 dalam satu lokasi, dari HSM ke HSM.

Mengaktifkan fitur Perutean Global memungkinkan HSM di kedua lokasi mencapai Google Cloud resource di region mana pun.

Kegagalan koneksi Partner Interconnect tunggal bukan merupakan pelanggaran SLA.

Diagram tingkat tinggi berikut menunjukkan konektivitas yang diperlukan untuk mencapai SLA 99,99% pada layanan.

• Setiap deployment zona berisi minimal dua rak untuk Anda gunakan, dan satu switch per rak.
• Switch top-of-rack disediakan oleh Google dan berasal dari vendor yang berbeda.
• Setiap switch top-of-rack memiliki Partner Interconnect 10G dengan lampiran VLAN redundan untuk Partner Interconnect ke Cloud Router redundan.
• Setiap HSM harus memiliki minimal 2 antarmuka jaringan tembaga 1GE dengan koneksi redundan ke kedua switch top-of-rack. Antarmuka pengelolaan dan data harus memiliki koneksi redundan sendiri ke kedua switch top-of-rack.
• Anda memberikan alokasi alamat IP untuk jaringan HSM.
• Switch top-of-rack mengiklankan subnet yang terhubung secara lokal ke sepasang Cloud Router.
• Anda mengaktifkan perutean dinamis global di virtual private cloud (VPC) untuk mengizinkan akses ke HSM dari region mana pun tempat Anda men-deploy resource. Google Cloud Perutean dinamis global juga diperlukan untuk memenuhi syarat ketersediaan 99,99%.
• BGP antara switch top-of-rack dan Cloud Router di project Anda bertukar informasi keterjangkauan untuk merutekan antara resource Google Cloud project dan HSM.

Persyaratan jaringan

Anda harus menyelesaikan langkah-langkah berikut untuk setiap set rak di zona agar HSM Anda dapat dihosting dengan Google:

1. Buat pasangan Cloud Router redundan per zona menggunakan ASN16550. Untuk mendapatkan petunjuk terperinci, lihat Membuat Cloud Router.

2. Buat dua pasangan redundan lampiran VLAN dengan Partner Interconnect per zona menggunakan Cloud Router dari langkah sebelumnya. Buat lampiran dengan opsi pra-aktivasi diaktifkan. Total harus ada empat lampiran per zona. Jika lampiran dibuat tanpa mengaktifkan opsi pra-aktivasi, Anda dapat mengaktifkan koneksi secara manual.

   Untuk mengetahui informasi selengkapnya tentang Partner Interconnect dan opsi pra-aktivasi, lihat Ringkasan Partner Interconnect.

3. Aktifkan perutean dinamis global di jaringan VPC.

   • Untuk mencapai ketersediaan 99,99%, gunakan langkah-langkah dalam Menetapkan Ketersediaan 99,99% untuk Partner Interconnect.
   • Deployment di satu zona memiliki ketersediaan 99,9% hingga zona kedua tersedia. Untuk kasus ini, lihat Menetapkan Ketersediaan 99,9% untuk Partner Interconnect

4. Konfigurasi aturan firewall sesuai kebutuhan untuk mengizinkan traffic antara resource project dan lokasi Anda.

Kompatibilitas lokasi

Bare Metal HSM tersedia di lokasi Cloud KMS berikut:

Hubungi Google

Produk ini hanya tersedia untuk pelanggan dengan persyaratan bisnis dan teknis tertentu.

Jika Anda tertarik dengan Bare Metal HSM dengan Google, hubungi perwakilan akun Anda untuk mendapatkan bantuan tambahan.