현재 Apigee Edge 문서가 표시되고 있습니다.
Apigee X 문서로 이동 정보
고객이 Apigee Edge 퍼블릭 클라우드에서 PCI를 준수하도록 하려면 '공유 책임 모델'에 따라 고객이 소유한 몇 가지 작업과 프로세스가 있습니다. 다음 항목은 PCI 규정 준수 팩을 구매한 고객이 검토해야 하며 PCI를 준수해야 합니다. 이러한 항목은 Edge 내에서 셀프서비스이며 PCI 규정을 준수하려면 고객 조직 (조직)에서 해결해야 합니다. 가장 중요한 개념은 'Google은 플랫폼을 보호하고, 고객은 데이터를 보호한다'는 것입니다.
고객 책임 규정
고객은 자체 PCI 감사를 수행할 때 Google Apigee PCI-DSS 3.2.1 책임 규정을 참조하고 이를 PCI 공인 보안 평가자와 공유해야 합니다.
PCI 요구사항 매핑
| PCI 요구사항 | Section |
|---|---|
| 요구사항 7: 카드 소지자 데이터에 대한 액세스를 비즈니스상 알 필요로 제한 | |
| 요구사항 3: 저장된 카드 소지자 데이터 보호 | |
| 요구사항 10: 네트워크 리소스 및 카드 소지자 데이터에 대한 모든 액세스를 추적 및 모니터링 | |
| 요구사항 8: 컴퓨터 액세스 권한이 있는 각 사용자에게 고유 ID 할당 | |
| 요구사항 11: 보안 시스템 및 프로세스를 정기적으로 테스트 | |
| 요구사항 4: 개방형 공개 네트워크에서 카드 소지자 데이터 전송 암호화 | |
| 요구사항 3: 저장된 카드 소지자 데이터 보호 | |
| 요구사항 4: 개방형 공개 네트워크에서 카드 소지자 데이터 전송 암호화 |
PCI 데이터 보안 표준 규정 준수 증명 (AOC)을 받으려면 Apigee 지원팀에 티켓을 제출하거나 Apigee 영업팀에 문의하세요.
트레이스 / 디버그
trace/디버그는 Apigee 메시지 프로세서를 통해 처리되는 API 호출의 상태와 콘텐츠를 사용자가 확인할 수 있는 문제 해결 도구입니다. Trace와 Debug는 같은 서비스의 이름이지만 서로 다른 메커니즘을 통해 액세스됩니다. Trace는 Edge UI 내에 있는 이 서비스의 이름입니다. Debug는 API 호출을 통해 사용할 때 동일한 서비스의 이름입니다. 이 문서에서 Trace라는 용어는 Trace와 Debug 모두에 사용할 수 있습니다.
Trace 세션 중에 '데이터 마스킹'이 적용됩니다. 이 도구는 Trace 중에 데이터가 표시되지 않도록 차단할 수 있습니다. 아래의 데이터 마스킹 섹션을 참조하세요.
PCI 고객은 암호화된 키-값 맵 (KVM)을 사용할 수 있습니다. 암호화된 KVM이 사용 중인 경우 Trace가 계속 사용될 수 있지만 일부 변수는 Trace 디스플레이 화면에 표시되지 않습니다. 추가 단계를 수행하여 Trace 중에 이러한 변수를 표시할 수도 있습니다.
Trace 사용에 대한 자세한 안내는 추적 도구 사용을 참조하세요.
암호화된 KVM을 포함한 KVM에 관한 자세한 내용은 키-값 맵 다루기를 참고하세요.
사용/승인
Trace에 대한 액세스는 Edge 내 사용자 계정의 RBAC (역할 기반 액세스 제어) 시스템을 통해 관리됩니다. RBAC 시스템을 사용하여 Trace 권한을 부여하고 취소하는 방법에 대한 자세한 안내는 역할 할당 및 UI에서 커스텀 역할 만들기를 참조하세요. Trace 권한을 통해 사용자는 Trace를 실행하고 추적을 중지하며 Trace 세션의 출력에 액세스할 수 있습니다.
Trace에서 API 호출의 페이로드 (이전 명칭: '메시지 본문')에 액세스할 수 있으므로 Trace를 실행할 수 있는 사용자를 고려해야 합니다. 사용자 관리는 고객의 책임이므로 Trace 권한 부여도 고객의 책임입니다. 플랫폼 소유자로서의 Apigee는 고객 조직에 사용자를 추가하고 권한을 할당할 수 있습니다. 이 기능은 고객 서비스에 장애가 발생하고 Trace 세션을 검토하면 근본 원인에 대한 최상의 정보를 제공한다고 판단되는 상황에서 고객이 지원을 요청할 때만 사용됩니다.
데이터 마스킹
데이터 마스킹은 Trace (Edge UI)와 Debug (Edge API)의 백엔드 모두에서 trace/디버그 세션 중에 민감한 정보가 표시되지 않도록 합니다. 마스킹을 설정하는 방법에 대한 자세한 내용은 데이터 마스킹 및 숨기기를 참조하세요. 민감한 정보 마스킹은 PCI 요구사항 3 - 저장된 카드 소지자 데이터 보호의 일부입니다.
데이터 마스킹은 로그 파일, 캐시, 분석 등에 데이터가 표시되는 것을 막지 않습니다. 로그의 데이터 마스킹과 관련하여 도움이 필요한 경우 logback.xml 파일에 정규식 패턴을 추가하는 것이 좋습니다. 민감한 정보는 일반적으로 고객 보안 및 법무팀의 분명한 비즈니스 근거와 검토 없이 캐시 또는 분석에 기록해서는 안 됩니다.
L1 및 L2 캐시
캐싱은 PCI 고객이 규제 대상 데이터에만 사용할 수 있습니다. 캐시는 PCI 카드 소지자 데이터 (CHD)에 사용할 수 없으며 Apigee PCI 규정 준수 감사에서 CHD의 스토리지 위치로 승인되지 않았습니다. PCI 안내 (요구사항 3: 저장된 카드 소지자 데이터 보호)에 따라 PCI 데이터는 PCI 규정을 준수하는 위치에만 저장해야 합니다. L1 캐시를 사용하면 L2 캐시도 자동으로 사용됩니다. L1 캐시는 '메모리 전용'이지만 L2 캐시는 디스크에 데이터를 써서 여러 L1 캐시 간에 동기화합니다. L2 캐시는 여러 메시지 프로세서를 한 리전 내에서 전역으로 동기화된 상태로 유지합니다. 현재는 L2 캐시 없이 L1 캐시를 사용 설정할 수 없습니다. L2 캐시는 고객 조직의 다른 메시지 프로세서와 동기화할 수 있도록 데이터를 디스크에 씁니다. L2 캐시는 데이터를 디스크에 쓰므로 CHD 또는 기타 제한된 데이터에 캐시를 사용할 수 없습니다.
CHD가 아닌 데이터 및 기타 제한되지 않은 데이터의 경우 고객의 캐시 사용이 허용됩니다. 일부 고객은 단일 조직을 통해 PCI 및 PCI 이외의 API 호출을 모두 실행하기 때문에 Google은 PCI 고객에 대해 기본적으로 캐시를 사용 중지하지 않습니다. PCI 고객에게는 이 기능이 계속 사용 설정되어 있으므로, PCI 데이터가 API 호출에 있을 가능성이 높은 경우 서비스를 적절하게 사용하고 사용자에게 캐시를 사용하지 않도록 교육하는 것은 고객의 책임입니다. Apigee PCI 규정 준수 감사는 캐시에 저장된 CHD를 지원하지 않습니다.
캐시 사용에 대한 자세한 안내는 캐싱 및 지속성 추가를 참조하세요.
감사 추적
고객은 Trace 사용을 포함하여 고객 조직 내에서 수행되는 모든 관리 활동의 감사 추적을 검토할 수 있습니다. 자세한 안내는 여기와 Trace 도구 사용을 참조하세요. (PCI 요구사항 10: 네트워크 리소스 및 카드 소지자 데이터에 대한 모든 액세스를 추적 및 모니터링)
복잡한 비밀번호 요구사항 또는 SAML
특정 비밀번호 요구사항이 있는 고객은 SAML을 사용하여 개별 요구사항을 충족해야 합니다. Edge용 SAML 인증 사용 설정을 참조하세요. Edge는 다단계 인증도 제공합니다 (PCI 요구사항 8: 컴퓨터 액세스 권한이 있는 각 사용자에게 고유 ID 할당). Apigee 계정에 2단계 인증 사용 설정을 참조하세요.
엔드포인트 보안
엔드포인트 검사
PCI 규정 준수를 위해서는 호스트 스캔 및 테스트가 필요합니다 (요구사항 11: 보안 시스템 및 프로세스를 정기적으로 테스트). Edge Cloud의 경우 고객이 Edge에서 API 엔드포인트('런타임 구성요소'라고도 함)의 스캔 및 테스트를 담당합니다. 고객 테스트에는 Edge에서 호스팅되는 실제 API 프록시 서비스가 포함되어야 합니다. 여기서 API 트래픽이 처리되기 전에 Edge로 전송된 후 고객 데이터 센터로 전송됩니다. 관리 포털 UI와 같은 공유 리소스 테스트는 개별 고객에게 승인되지 않습니다. 공유 서비스 테스트를 다루는 서드 파티 보고서는 기밀유지 협약에 따라 또는 요청 시 고객에게 제공됩니다.
고객은 자신의 API 엔드포인트를 테스트해야 하며 테스트하는 것이 좋습니다. Apigee와의 계약에 따라 API 엔드포인트 테스트가 금지되지는 않지만 공유 관리 UI의 테스트는 허용되지 않습니다. 추가 설명이 필요한 경우 계획한 테스트를 언급한 지원 요청을 제출해 주세요. 테스트 트래픽을 파악할 수 있도록 Apigee에 미리 알려주시면 감사하겠습니다.
엔드포인트를 테스트하는 고객은 API 관련 문제, Apigee 서비스 관련 문제를 찾고 TLS 및 기타 구성 가능한 항목도 확인해야 합니다. Apigee 서비스와 관련하여 발견된 모든 항목은 지원 요청을 통해 Apigee에 전달해야 합니다.
엔드포인트와 관련된 대부분의 항목은 고객 셀프서비스 항목이며 Edge 문서를 검토하여 해결할 수 있습니다. 해결 방법이 명확하지 않은 항목이 있는 경우 지원 요청을 여세요.
TLS 구성
PCI 표준에 따라 SSL 및 조기 TLS는 보안 버전으로 마이그레이션되어야 합니다. 고객은 API 프록시에 자체 TLS 엔드포인트를 정의하고 구성해야 합니다. 이는 Edge의 셀프서비스 기능입니다. 암호화, 프로토콜, 알고리즘 선택과 관련된 고객 요구사항은 매우 다양하며 개별 사용 사례에 따라 다릅니다. Apigee가 모든 고객의 API 설계와 데이터 페이로드에 대한 세부정보를 알 수 있는 것은 아니므로 전송 중 데이터에 적절한 암호화를 결정할 책임은 고객에게 있습니다. TLS 구성에 대한 자세한 안내는 TLS/SSL을 참조하세요.
데이터 보관
Edge가 제대로 작동하기 위해 Edge 내에 데이터를 저장할 필요는 없습니다. 하지만 Edge의 데이터 스토리지에 사용할 수 있는 서비스가 있습니다. 고객은 데이터 저장을 위해 캐시, 키-값 맵 또는 분석을 사용할 수 있습니다. Apigee PCI 감사에 따라 이러한 서비스는 CHD 저장에 대해 승인되지 않았습니다. PCI 요구사항 3 (저장된 카드 소지자 데이터 보호)에 따라 PCI 데이터는 PCI 규정을 준수하는 위치에만 저장해야 합니다. 고객의 보안 및 현지 법규에 따라 PCI 이외의 데이터 또는 기타 제한되지 않은 데이터를 저장하는 데 고객이 이러한 서비스를 사용할 수 있습니다. 이러한 서비스는 고객 셀프서비스 항목이므로 CHD를 캡처하거나 저장하지 않도록 구성하는 것은 고객의 책임입니다. 고객 관리자가 구성, 정책, 배포를 검토하여 규정을 준수하지 않는 방식으로 Edge에서 우발적이거나 악의적으로 데이터 스토리지 서비스를 사용하는 것을 방지하는 것이 좋습니다 .
데이터 암호화
Edge 내에서 사용하는 고객에게는 데이터 암호화 도구가 제공되지 않습니다. 하지만 고객은 Edge로 전송하기 전에 PCI 데이터를 자유롭게 암호화할 수 있습니다. PCI 요구사항 4: (개방형 공개 네트워크에서 카드 소지자 데이터 전송 암호화)는 개방형 공개 네트워크에서 카드 소지자 데이터를 암호화하는 것이 좋습니다. 페이로드(또는 메시지 본문)의 암호화된 데이터는 Edge의 작동을 방해하지 않습니다. 일부 Edge 정책은 고객이 암호화된 데이터를 수신한 경우 데이터와 상호작용하지 못할 수 있습니다. 예를 들어 Edge에서 데이터 자체를 변경할 수 없으면 변환이 불가능합니다. 하지만 다른 정책과 고객이 빌드한 정책 및 번들은 데이터 페이로드가 암호화되더라도 작동합니다.