Bare Metal Rack HSM

本頁面提供 Bare Metal Rack HSM 解決方案的總覽。

總覽

Bare Metal Rack HSM 是一項基礎架構即服務 (IaaS) 產品，可讓您在Google Cloud 工作負載旁部署客戶擁有的硬體安全性模組 (HSM) 機架。HSM 會部署在符合 PCI 標準的設施中，以滿足您的安全性、法規遵循和低延遲服務需求。

為了協助您將工作負載遷移至雲端，Google 會代為代管 HSM，提供實體和網路安全性、機架空間、電力和網路整合服務，並收取月費。

您可以直接與 Google 簽約，將 Bare Metal Rack HSM 放置在 Google 資料中心。HSM 會放置在指定的主機代管機房內，並連線至Google Cloud。

在有活動對等網絡的代管設施中，可支援 Bare Metal Rack HSM 解決方案。這些設施符合 Google 的資料中心安全標準，甚至超越標準，可提供低延遲、高可用性的服務。

與 Bare Metal HSM 的比較

Bare Metal Rack HSM 和 Bare Metal HSM 都讓您在 Google Cloud 設施中託管自己的 HSM。Bare Metal Rack HSM 和 Bare Metal HSM 解決方案的主要差異在於規模。下表摘要說明這些解決方案之間的主要差異：

Bare Metal HSM	Bare Metal Rack HSM
Google 會依裝置代管您的 HSM。	Google 會逐機架代管您的 HSM。
您有 HSM 的邏輯存取權，但沒有實體存取權。	您可以邏輯存取 HSM，並安排實體存取權的隨行人員。
適用於10 到 15 個 HSM的小型部署	適用於100 個以上 HSM 的大型機架層級部署

如果不確定哪種解決方案最符合您的需求，請與客戶服務專員聯絡。

作業模式

• 新手上路流程
  • 合約：至少 12 個月。必須使用 Premium 支援服務。
  • 採購和設定：貴機構會取得 HSM、設定 HSM，並將 HSM 運送至 Google。
  • 安裝、堆疊及連線：Google 會部署 HSM 並設定合作夥伴互連網路連線。
  • 驗證和移交：確認工程解決方案和 HSM 的存取權，測試解決方案，並簽署確認。
• 支援模式
  • Google 提供機架和堆疊、代管、智慧手動、法規遵循和合作夥伴互連網路連線的支援服務。
  • 請洽詢 HSM 供應商，取得 HSM 軟體、授權、工具和疑難排解方面的支援。
  • 可視需要實際操作機架。
• 停用程序
  • 您提出停用要求。
  • 您必須清除所有資料，並將所有 HSM 初始化為原廠設定。

法規遵循規定

這項服務僅適用於通過 FIPS 140-2 第 3 級認證或更高等級的 HSM，並非一般託管或併發服務。Bare Metal Rack HSM 解決方案的代管設施完全符合 PCI-DSS、PCI-3DS 和 SOC 1、2 和 3 標準。Google 會在所有區域支援 PCI-PIN、PCI-P2PE 和 SOC 法規遵循認證。

責任分離

您必須負責取得及佈建 HSM，並將其運送至適當的 Google Cloud 區域。您可以選擇使用的 HSM，但必須符合 HSM 設備需求。

Google 會預先設定機架、機架頂端交換器和連線。每組機架的交換器都來自不同的供應商。對於 Bare Metal Rack HSM 解決方案，您可以使用專屬機架和交換器。Google 會為您的 HSM 提供機架服務，並與您合作驗證合作夥伴互連網路連線。每個機架都配備備援電源供應器。

存取 Bare Metal Rack HSM

您擁有 HSM 的邏輯管理存取權，並負責維護及管理 HSM。您可以完全掌控 HSM。

Google 無法邏輯存取您的 HSM，但會提供及維護機架、切換和連線。Google 無法存取 HSM 上的資料或金鑰。

Google 提供遠端支援服務。您可以預約由工作人員陪同前往設施。您有責任遵守自身的遵循和稽核規定。

在合約到期或 HSM 服務終止時，您可以提交要求，將 HSM 停用並清除所有資料，或將 HSM 還原為原廠設定。清除或重設 HSM 並取得法律許可後，我們會將 HSM 寄回給您，如果無法寄回，我們會銷毀 HSM。

HSM 設備需求

本節將詳細說明 HSM 的物理需求，以及在 Google 設施中代管 HSM 時應使用的相關線材。

可放入機架的 HSM 數量取決於目前機架頂端交換器型號可用的連接埠數量、HSM 型號所需的機架單位數量，以及 HSM 的耗電量。

• 功率

  • 雙 AC 電源供應器 (每個電源供應器最大 16A)。

• 電力分配

  • 208V 線對線 (適用於美國境內的據點)。
  • 機架 PDU 提供 C13 或 C19 插座和插座。

• 電源線 (由你提供)

  • 機架 PDU 電源線端應為 C14 或 C20 連接器類型。
  • 2 條 6 英尺或 2 公尺 (建議長度) 的電源線。

• 網路

  • 網路介面控制器：雙 1g 銅製 NIC (如適用)。

• 網路線 (由你提供)

  • 2 條 6 英尺或 2 公尺 (建議長度) CAT-5e 以上規格的接線端子。

• 實體尺寸

  • 機架深度：42 英寸。
  • 機架單位間距：標準 EIA-310 19 英寸機架安裝架，配備方形孔安裝架。每個 HSM 最多可占用 4 個機架單位。

• 安全性

  • HSM 不得配備攝影機或藍牙等無線網路。
  • HSM 必須通過 FIPS 140-2 第 3 級認證或更高級別的認證。

• HSM 必須是全新設備。

• HSM 必須能完全遠端管理。

不需考量重量或冷卻。

部署作業總覽

如要符合 99.99% 正常運作時間服務水準協議的資格，您必須符合下列條件：

• 至少在兩個區域部署 HSM，這些區域可以是兩個不同的 Google Cloud 區域，或是同一個區域中的兩個區域 (如果可用)。
• 每個區域至少部署四個 HSM (每個機架至少部署兩個 HSM，且至少有兩個機架)。

您必須向 Google 提供每個 HSM 網路介面的 MAC 位址，以及其指派的 IP 位址。這項資訊可協助 Google 驗證伺服器到機架頂端的纜線連接方式，並在部署過程中協助排解問題。

在新手上路流程中，帳戶代表會進一步說明網路需求。

網路拓撲

單一地點的一對機架享有 99.9% 的服務水準協議保證運作時間。

在兩個地點進行完整部署，可提供 99.99% 的服務水準協議運作時間。

應用程式應以這種冗餘模型為設計基礎。應用程式應能在單一地點內，從區域 1 備援至區域 2、從 HSM 備援至 HSM，或從機架備援至機架。

啟用全域路由功能後，兩個位置的 HSM 都能存取任何區域的Google Cloud 資源。

單一合作夥伴互連網路連線失敗並不會違反服務水準協議。

下圖概略說明達成服務 99.99% 服務水準協議所需的連線方式。

• 每個區域部署作業至少包含兩個機架，每個機架一個交換器。
• 頂端機架交換器由 Google 提供，來自不同供應商。
• 每個機架頂端交換器都設有 10G 合作夥伴互連網路，並設有備援 VLAN 連結，可將合作夥伴互連網路連結至備援的 Cloud Router。
• 每個 HSM 至少應具備 2 個 1GE 銅製網路介面，並與兩個機架頂端交換器建立備援連線。管理介面和資料介面都應有各自的備援連線，可連至兩個機架頂端交換器。
• 您必須為 HSM 網路提供 IP 位址分配。
• 機架頂端交換器會將本機連接的子網路通告給這對 Cloud Router。
• 您可以在虛擬私有雲 (VPC) 中啟用全域動態轉送功能，讓您可以從已部署資源的任何 Google Cloud 區域存取 HSM。您也必須啟用全球動態轉送功能，才能達到 99.99% 的可用性。
• 專案中機架頂端交換器和 Cloud Router 之間的 BGP 會交換可及性資訊，以便在Google Cloud 專案資源和 HSM 之間轉送。

網路需求

您必須針對區域中的每組機架完成下列步驟，才能讓 Google 代管您的 HSM：

1. 使用 ASN16550，為每個區域建立一對備援 Cloud Router。如需詳細操作說明，請參閱「建立 Cloud Router」。

2. 使用上一個步驟中的 Cloud Router，為每個區域建立兩組備援的合作夥伴互連網路 VLAN 連結。請啟用預先啟用選項，然後建立附件。每個區域應有四個附件。如果在建立附件時未啟用預先啟用選項，您可以手動啟用連線。

   如要進一步瞭解合作夥伴互連網路和預先啟用選項，請參閱合作夥伴互連網路總覽。

3. 在 VPC 網路中啟用全域動態轉送。

   • 如要達到 99.99% 的可用性，請按照「為合作夥伴互連網路建立 99.99% 的可用性」一文中的步驟操作。
   • 在第二個可用區可供使用之前，單一可用區中的部署可用性為 99.9%。如為這種情況，請參閱「為合作夥伴互連網路建立 99.9% 的可用性」

4. 視需要設定防火牆規則，允許在內部網路和專案資源之間傳輸流量。

地區相容性

裸機機架 HSM 可在下列 Cloud KMS 位置使用：

與 Google 聯絡

這項產品僅適用於具備特定業務和技術需求的客戶。

如想使用 Google 的 Bare Metal Rack HSM，請洽詢您的客戶經理，以便取得更多協助。