Apigee Edge belgelerini görüntülüyorsunuz.
Apigee X belgelerine gidin. bilgi
Bir müşterinin Apigee Edge Public Cloud'da PCI uyumlu olması için "Paylaşılan Sorumluluk Modeli" kapsamında müşterinin sahip olduğu bazı işlemler ve süreçler vardır. PCI uyumluluk paketini satın alan ve PCI uyumlu olması gereken müşteriler aşağıdaki öğeleri incelemelidir. Bu öğeler Edge'de self servis olarak sunulur ve müşteri kuruluşunun (kurum) PCI uyumlu olması için ele alınması gerekir. Genel konsept "Google platformu, müşteri ise verilerini güvence altına alır"dır.
Müşteri Sorumluluk Matrisi
Müşteriler, kendi PCI denetimlerini yaparken Google Cloud Platform: PCI DSS v4.0.1 Ortak Sorumluluk Matrisi'ne başvurmalı ve bunu PCI Yetkili Güvenlik Denetçileri ile paylaşmalıdır.
PCI Gereksinimleri Eşleme
| PCI Koşulu | Section |
|---|---|
| 7. şart: Sistemin bileşenlerine ve kart sahibi verilerine erişimi, işletmenin bilmesi gerekenler ilkesine göre kısıtlayın. | |
| 3. şart: Kayıtlı hesap verilerini koruma | |
| 10. şart: Sistem bileşenlerine ve kart sahibi verilerine yapılan tüm erişimleri günlüğe kaydedin ve izleyin | |
| 8. şart: Kullanıcıları tanımlayın ve sistem bileşenlerine erişimi doğrulayın | |
| 11. şart: Sistemlerin ve ağların güvenliğini düzenli olarak test edin | |
| 4. şart: Açık ve genel ağlar üzerinden iletim sırasında kart sahibi verilerini güçlü kriptografiyle koruma | |
| 3. şart: Kayıtlı hesap verilerini koruma | |
| 4. şart: Açık ve genel ağlar üzerinden iletim sırasında kart sahibi verilerini güçlü kriptografiyle koruma |
PCI Veri Güvenliği Standardı Uygunluk Beyanı (AOC) almak için Apigee Destek Ekibi ile bir destek kaydı açın veya Apigee satış ekibinizle iletişime geçin.
İzleme / Hata Ayıklama
İzleme/Hata Ayıklama, kullanıcının bir API çağrısının Apigee Mesaj İşleyici'de işlenirken durumunu ve içeriğini görüntülemesine olanak tanıyan bir sorun giderme aracıdır. İzleme ve hata ayıklama, aynı hizmetin iki farklı adıdır ancak farklı mekanizmalar aracılığıyla erişilir. Trace, Edge kullanıcı arayüzündeki bu hizmetin adıdır. Hata ayıklama, API çağrıları aracılığıyla kullanıldığında aynı hizmetin adıdır. Bu belgede İzleme teriminin kullanılması hem İzleme hem de Hata Ayıklama için geçerlidir.
İzleme oturumu sırasında "Veri Maskeleme" uygulanır. Bu araç, izleme sırasında verilerin gösterilmesini engelleyebilir. Aşağıdaki Veri Maskeleme bölümünü inceleyin.
Şifrelenmiş anahtar/değer eşlemeleri (KVM'ler), PCI müşterileri için kullanılabilir. Şifrelenmiş bir KVM kullanılıyorsa, izleme yine kullanılabilir ancak bazı değişkenler izleme ekranında görünmez. İzleme sırasında bu değişkenleri de göstermek için ek adımlar atabilirsiniz.
İzleme aracının kullanımıyla ilgili ayrıntılı talimatları İzleme aracını kullanma başlıklı makalede bulabilirsiniz.
Şifrelenmiş KVM'ler de dahil olmak üzere KVM'lerle ilgili ayrıntıları Anahtar-değer eşlemeleriyle çalışma başlıklı makalede bulabilirsiniz.
Kullanım/Yetkilendirmeler
Trace'e erişim, Edge'deki kullanıcı hesapları için RBAC (Rol Tabanlı Erişim Denetimi) sistemi üzerinden yönetilir. RBAC sistemini kullanarak İzleme ayrıcalıkları verme ve iptal etme ile ilgili ayrıntılı talimatları Rol atama ve Kullanıcı arayüzünde özel roller oluşturma başlıklı makalelerde bulabilirsiniz. İzleme izinleri, kullanıcının İzleme başlatmasına, İzleme'yi durdurmasına ve İzleme oturumundan elde edilen çıkışa erişmesine olanak tanır.
Trace, API çağrılarının yüküne (eski adıyla "Mesaj Gövdesi") erişebildiğinden, Trace çalıştırma erişimi olan kullanıcıları göz önünde bulundurmak önemlidir. Kullanıcı yönetimi müşterinin sorumluluğunda olduğundan, İzleme izinlerinin verilmesi de müşterinin sorumluluğundadır. Platform sahibi olarak Apigee, müşteri kuruluşuna kullanıcı ekleme ve ayrıcalık atama olanağına sahiptir. Bu özellik yalnızca müşteri hizmetlerinin başarısız olduğu ve bir İzleme oturumunun incelenmesinin temel neden hakkında en iyi bilgileri sağlayacağı düşünülen durumlarda müşteri destek isteği üzerine kullanılır.
Veri maskeleme
Veri maskeleme, yalnızca bir izleme/hata ayıklama oturumu sırasında hassas verilerin görüntülenmesini engeller. Bu işlem hem izleme (Edge kullanıcı arayüzü) hem de hata ayıklama (Edge API) tarafından arka uçta gerçekleştirilir. Maskelemenin nasıl ayarlanacağıyla ilgili ayrıntıları Veri maskeleme ve gizleme başlıklı makalede bulabilirsiniz. Hassas verileri maskeleme, PCI 3. şartı - Saklanan kart sahibi verilerini koruma kapsamındadır.
Veri maskeleme, verilerin günlük dosyalarında, önbellekte, analizlerde vb. görünmesini ENGELLEMEZ. Günlüklerde veri maskeleme konusunda yardım almak için logback.xml dosyasına bir normal ifade kalıbı ekleyebilirsiniz. Hassas veriler, genellikle güçlü bir iş gerekçesi ve müşteri güvenliği ile hukuk ekiplerinin incelemesi olmadan önbelleğe veya analizlere yazılmamalıdır.
L1 ve L2 önbelleği
Önbelleğe alma, PCI müşterileri tarafından yalnızca düzenlemeye tabi olmayan verilerle kullanılabilir. Ödeme Kartları Sektörü (PCI) kart sahibi verileri (CHD) için önbellek kullanılmamalıdır. CHD için depolama konumu olarak Apigee PCI Uygunluk denetimi tarafından onaylanmamıştır. PCI kılavuzuna (Şart 3: Saklanan kart sahibi verilerini koruyun) göre PCI verileri yalnızca PCI uyumlu bir konumda saklanmalıdır. L1 önbelleği kullanıldığında L2 önbelleği de otomatik olarak kullanılır. L1 önbelleği "yalnızca bellek"tir. L2 önbelleği ise birden fazla L1 önbelleği arasında senkronizasyon sağlamak için verileri diske yazar. L2 önbelleği, bir bölge içinde ve genel olarak birden fazla ileti işlemcisini senkronize tutar. Şu anda L2 önbelleği olmadan L1 önbelleğinin etkinleştirilmesi mümkün değildir. L2 önbelleği, müşteri kuruluşu için diğer ileti işlemcileriyle senkronize edilebilmesi amacıyla verileri diske yazar. L2 önbelleği verileri diske yazdığından, CHD veya diğer kısıtlanmış veriler için önbellek kullanımı desteklenmez.
Müşterilerin önbelleği kullanmasına, CHD olmayan ve diğer sınırsız veriler için izin verilir. Bazı müşteriler hem PCI hem de PCI ile ilgili olmayan API çağrılarını tek bir kuruluş üzerinden çalıştırdığından, PCI müşterileri için önbelleği varsayılan olarak devre dışı bırakmıyoruz. Bu özellik, PCI müşterileri için hâlâ etkin olduğundan hizmeti uygun şekilde kullanmak ve kullanıcılarını PCI verilerinin API çağrısında bulunma ihtimali olduğunda önbelleği kullanmamaları konusunda eğitmek müşterinin sorumluluğundadır. Apigee PCI Uygunluk denetimi, önbellekte depolanan CHD'yi desteklemez.
Önbelleği kullanmayla ilgili ayrıntılı talimatları Önbelleğe alma ve kalıcılık ekleme başlıklı makalede bulabilirsiniz.
Denetim takibi
Müşteriler, Trace kullanımı da dahil olmak üzere müşterinin kuruluşunda gerçekleştirilen tüm yönetim etkinliklerinin denetim izini inceleyebilir. Ayrıntılı talimatları burada ve İzleme aracını kullanma bölümünde bulabilirsiniz. (PCI Requirement 10: Track and monitor all access to network resources and cardholder data)
Karmaşık şifre koşulları veya SAML
Belirli şifre koşulları olan müşteriler, kendi koşullarını karşılamak için SAML'yi kullanmalıdır. Edge için SAML kimlik doğrulamasını etkinleştirme başlıklı makaleyi inceleyin. Edge ayrıca çok öğeli kimlik doğrulaması da sunar (PCI 8. Koşul: Bilgisayar erişimi olan her kişiye benzersiz bir kimlik atayın). Apigee hesabınızda iki faktörlü kimlik doğrulamayı etkinleştirme başlıklı makaleyi inceleyin.
Uç nokta güvenliği
Uç nokta taraması
PCI uyumluluğu için ana makinelerin taranması ve test edilmesi gerekir (Şart 11: Güvenlik sistemlerini ve süreçlerini düzenli olarak test edin). Edge Cloud'da müşteriler, Edge'deki API uç noktalarının (bazen "çalışma zamanı bileşenleri" olarak da adlandırılır) taranması ve test edilmesinden sorumludur. Müşteri testi, API trafiğinin işlenmeden önce Edge'e gönderildiği ve ardından müşteri veri merkezine teslim edildiği Edge'de barındırılan gerçek API proxy hizmetlerini kapsamalıdır. Yönetim portalı kullanıcı arayüzü gibi paylaşılan kaynakların test edilmesi, bireysel müşteriler için onaylanmamıştır (Paylaşılan hizmetlerin test edilmesini kapsayan bir üçüncü taraf raporu, müşterilere gizlilik sözleşmesi kapsamında ve talep üzerine sunulur).
Müşterilerin API uç noktalarını test etmesi gerekir ve bu konuda teşvik edilirler. Apigee ile yaptığınız sözleşme, API uç noktalarınızın test edilmesini yasaklamaz ancak paylaşılan yönetim kullanıcı arayüzünü test etmenize izin vermeyiz. Ancak daha fazla açıklamaya ihtiyaç duyulursa lütfen planladığınız testi belirterek bir destek isteği gönderin. Test trafiğinden haberdar olabilmemiz için Apigee'ye önceden bildirimde bulunmanız rica olunur.
Uç noktalarını test eden müşteriler, API'ye özgü sorunların yanı sıra Apigee hizmetleriyle ilgili sorunları da aramalı ve TLS ile yapılandırılabilir diğer öğeleri kontrol etmelidir. Apigee hizmetleriyle ilgili bulunan tüm öğeler, destek isteği aracılığıyla Apigee'ye bildirilmelidir.
Uç nokta ile ilgili öğelerin çoğu müşteri self servis öğeleridir ve Edge belgelerini inceleyerek düzeltilebilir. Nasıl düzeltileceği net olmayan öğeler varsa lütfen destek talebi açın.
TLS yapılandırması
PCI standartlarına göre SSL ve erken TLS'nin güvenli sürümlere taşınması gerekir. Müşteriler, API proxy'leri için kendi TLS uç noktalarını tanımlayıp yapılandırmaktan sorumludur. Bu, Edge'de self servis bir özelliktir. Şifreleme, protokol ve algoritma seçimleriyle ilgili müşteri gereksinimleri büyük ölçüde değişkendir ve kullanım alanlarına özeldir. Apigee, her müşterinin API tasarımı ve veri yükleriyle ilgili ayrıntıları bilmediğinden, müşteriler geçiş halindeki veriler için uygun şifrelemeyi belirlemekle yükümlüdür. TLS yapılandırmasıyla ilgili ayrıntılı talimatları TLS/SSL sayfasında bulabilirsiniz.
Veri depolama
Edge'in düzgün çalışması için verilerin Edge'de depolanması gerekmez. Ancak Edge'de veri depolama için kullanılabilecek hizmetler vardır. Müşteriler, veri depolama için önbelleği, anahtar/değer çifti haritalarını veya analizleri kullanmayı tercih edebilir. Apigee PCI denetimine göre bu hizmetlerin hiçbiri CHD depolaması için yetkili değildir. PCI Requirement 3 (Protect stored cardholder data) uyarınca PCI verileri yalnızca PCI uyumlu konumlarda depolanmalıdır. Bu hizmetlerin kullanımı, müşterilerin PCI olmayan verileri veya müşterinin güvenlik ve yasal şartlarına tabi diğer kısıtlanmamış verileri depolaması için kullanılabilir. Bu hizmetler, müşteriye özel self servis öğelerdir. Bu nedenle, CHD'yi yakalamayacak veya depolamayacak şekilde yapılandırmak müşterinin sorumluluğundadır. Müşteri yöneticileri tarafından yapılandırma, politikalar ve dağıtımların incelenmesi, Edge'de veri depolama hizmetlerinin yanlışlıkla veya kötü amaçlı olarak politikaya uygun olmayan bir şekilde kullanılmasını önlemek için önerilir .
Veri şifreleme
Müşterilere, Edge'de kullanmaları için veri şifreleme araçları sunulmaz. Ancak müşteriler, Edge'e göndermeden önce PCI verilerini şifreleyebilir. PCI 4. Şart: (Kart sahibi verilerinin açık ve herkese açık ağlarda iletimini şifreleyin) Kart sahibi verilerinin açık ve herkese açık ağlarda şifrelenmesi önerilir. Yükteki (veya mesaj gövdesindeki) şifrelenmiş veriler Edge'in çalışmasını engellemez. Bazı Edge politikaları, müşteri tarafından şifrelenmiş olarak alınan verilerle etkileşime giremeyebilir. Örneğin, verilerin kendisi Edge tarafından değiştirilemiyorsa dönüştürme işlemi yapılamaz. Ancak diğer politikalar, müşteriler tarafından oluşturulan politikalar ve paketler, veri yükü şifrelenmiş olsa bile çalışır.