Sie lesen gerade die Dokumentation zu Apigee Edge.
Apigee X-Dokumentation aufrufen. info
Damit ein Kunde in der öffentlichen Cloud von Apigee Edge PCI-konform ist, besitzt der Kunde einige Aktionen und Prozesse unter dem „Modell der gemeinsamen Verantwortung“, für die er verantwortlich ist. Die folgenden Punkte sollten von Kunden geprüft werden, die das PCI-Compliance-Paket erworben haben und PCI-konform sein müssen. Diese Elemente sind Self-Service-Elemente in Edge und müssen für die Kundenorganisation (Org.) behoben werden, damit sie PCI-konform ist. Das übergeordnete Konzept lautet: „Google sichert die Plattform, der Kunde sichert seine Daten.“
Matrix der geteilten Verantwortung
Kunden sollten die Google Cloud Platform: Matrix der geteilten Verantwortung (PCI DSS v4.0.1) heranziehen und sie bei der Durchführung eigener PCI-Audits mit ihrem PCI-Sicherheitsgutachter teilen.
PCI-Anforderungenzuordnung
| PCI-Anforderung | Section |
|---|---|
| Anforderung 7: Zugriff auf Systemkomponenten und Karteninhaberdaten je nach Geschäftsinformationsbedarf beschränken | |
| Anforderung 3: Gespeicherte Kontodaten schützen | |
| Anforderung 10: Logging und Monitoring des gesamten Zugriffs auf Systemkomponenten und Karteninhaberdaten | |
| Anforderung 8: Nutzer identifizieren und den Zugriff auf Systemkomponenten authentifizieren | |
| Anforderung 11: Sicherheit von Systemen und Netzwerken regelmäßig testen | |
| Anforderung 4: Karteninhaberdaten mit starker Kryptografie während der Übertragung über offene, öffentliche Netzwerke schützen | |
| Anforderung 3: Gespeicherte Kontodaten schützen | |
| Anforderung 4: Karteninhaberdaten mit starker Kryptografie während der Übertragung über offene, öffentliche Netzwerke schützen |
Wenn Sie eine Konformitätserklärung (Attestation of Compliance, AOC) für den PCI-Datensicherheitsstandard erhalten möchten, erstellen Sie ein Ticket beim Apigee-Support oder wenden Sie sich an Ihr Apigee-Vertriebsteam.
Trace / Debug
Trace/Debug ist ein Tool zur Fehlerbehebung, mit dem der Nutzer den Status und Inhalt eines API-Aufrufs sehen kann, während er vom Apigee Message Processor verarbeitet wird. „Trace“ und „Debug“ sind zwei Namen für denselben Dienst, auf den jedoch über unterschiedliche Mechanismen zugegriffen wird. „Trace“ ist der Name dieses Dienstes in der Edge-Benutzeroberfläche. „Debug“ ist der Name desselben Dienstes, wenn er über API-Aufrufe verwendet wird. Die Verwendung des Begriffs „Trace“ in diesem Dokument gilt sowohl für „Trace“ als auch für „Debug“.
Während einer Trace-Sitzung wird die Datenmaskierung erzwungen. Mit diesem Tool können Sie verhindern, dass Daten während eines Traces angezeigt werden. Weitere Informationen finden Sie unten im Abschnitt Datenmaskierung.
Verschlüsselte Schlüssel/Wert-Paar-Zuordnungen (Key Value Maps, KVMs) können für PCI-Kunden verwendet werden. Wenn eine verschlüsselte KVM verwendet wird, kann Trace weiterhin verwendet werden. Einige Variablen sind jedoch nicht auf dem Trace-Bildschirm sichtbar. Es ist möglich, zusätzliche Schritte auszuführen, um diese Variablen auch während eines Traces anzuzeigen.
Eine ausführliche Anleitung zur Verwendung von Trace finden Sie unter Trace-Tool verwenden.
Details zu KVMs, einschließlich verschlüsselter KVMs, finden Sie unter Mit Schlüsselwertzuordnungen arbeiten.
Nutzung/Autorisierungen
Der Zugriff auf Trace wird über das RBAC-System (rollenbasierte Zugriffssteuerung) für Nutzerkonten in Edge verwaltet. Eine detaillierte Anleitung zur Verwendung des RBAC-Systems zum Zuweisen und Entziehen von Trace-Berechtigungen finden Sie unter Rollen zuweisen und Benutzerdefinierte Rollen in der Benutzeroberfläche erstellen. Mit Trace-Berechtigungen kann der Nutzer einen Trace starten und beenden sowie auf die Ausgabe einer Trace-Sitzung zugreifen.
Da Trace Zugriff auf die Nutzlast von API-Aufrufen (früher als „Nachrichtentext“ bezeichnet) hat, ist es wichtig, zu berücksichtigen, wer Zugriff zum Ausführen eines Trace hat. Da die Nutzerverwaltung in der Verantwortung des Kunden liegt, ist auch die Erteilung von Trace-Berechtigungen seine Aufgabe. Apigee als Plattforminhaber kann einen Nutzer einer Kundenorganisation hinzufügen und die Berechtigungen zuweisen. Diese Funktion wird nur auf Kundenanfrage für Support in einer Situation verwendet, in der der Kundenservice anscheinend nicht funktioniert und die Überprüfung einer Trace-Sitzung die besten Informationen zur Ursache liefern soll.
Datenmaskierung
Durch die Datenmaskierung wird die Anzeige sensibler Daten während einer Trace-/Debug-Sitzung sowohl im Trace-Tool (Edge-Benutzeroberfläche) als auch im Back-End von Debug (Edge API) verhindert. Details zum Einrichten der Maskierung finden Sie unter Daten maskieren und ausblenden. Das Maskieren vertraulicher Daten ist Teil von PCI-Anforderung 3 – Gespeicherte Karteninhaberdaten schützen.
Durch Datenmaskierung wird NICHT verhindert, dass die Daten in Logdateien, im Cache, in Analytics usw. sichtbar sind. Wenn Sie Hilfe bei der Datenmaskierung in Logs benötigen, sollten Sie der Datei „logback.xml“ ein Regex-Muster hinzufügen. Sensible Daten sollten in der Regel nicht in den Cache oder in Analysen geschrieben werden, es sei denn, es gibt eine stichhaltige geschäftliche Begründung und eine Überprüfung durch die Sicherheits- und Rechtsteams des Kunden.
L1- und L2-Cache
Das Caching ist für PCI-Kunden nur für die Verwendung mit nicht regulierten Daten verfügbar. Der Cache sollte nicht für PCI-Karteninhaberdaten (Card Holder Data, CHD) verwendet werden, da er im Apigee-PCI-Compliance-Audit nicht als Speicherort für CHD genehmigt wurde. Gemäß den PCI-Richtlinien (Anforderung 3: Gespeicherte Karteninhaberdaten schützen) sollten PCI-Daten nur an einem PCI-konformen Speicherort gespeichert werden. Wenn Sie den L1-Cache verwenden, wird automatisch auch der L2-Cache verwendet. Der L1-Cache ist nur im Arbeitsspeicher verfügbar, während der L2-Cache Daten auf die Festplatte schreibt, um sie mit mehreren L1-Caches zu synchronisieren. Der L2-Cache sorgt dafür, dass mehrere Message Processors innerhalb einer Region und weltweit synchronisiert werden. Derzeit ist es nicht möglich, den L1-Cache ohne einen dahinterliegenden L2-Cache zu aktivieren. Der L2-Cache schreibt Daten auf das Laufwerk, damit sie mit anderen Message Processors für die Kundenorganisation synchronisiert werden können. Da der L2-Cache die Daten auf die Festplatte schreibt, wird die Verwendung des Cache für CHD oder andere eingeschränkte Daten nicht unterstützt.
Die Verwendung des Cache durch Kunden ist für Nicht-CHD-Daten und andere uneingeschränkte Daten zulässig. Wir deaktivieren den Cache für PCI-Kunden nicht standardmäßig, da einige Kunden sowohl PCI- als auch nicht PCI-bezogene API-Aufrufe über eine einzelne Organisation ausführen. Da die Funktion für PCI-Kunden weiterhin aktiviert ist, liegt es in der Verantwortung des Kunden, den Dienst angemessen zu nutzen und seine Nutzer zu schulen, den Cache nicht zu verwenden, wenn PCI-Daten wahrscheinlich im API-Aufruf enthalten sind. Die Apigee-PCI-Compliance-Prüfung unterstützt keine im Cache gespeicherten CHD.
Eine detaillierte Anleitung zur Verwendung des Cache finden Sie unter Caching und Persistenz hinzufügen.
Audit-Trail
Kunden können den Prüfpfad aller administrativen Aktivitäten in der Organisation des Kunden einsehen, einschließlich der Verwendung von Trace. Eine ausführliche Anleitung finden Sie hier und unter Das Tool „Spur“ verwenden. (PCI-Anforderung 10: Tracking und Monitoring des gesamten Zugriffs auf Netzwerkressourcen und Karteninhaberdaten)
Komplexe Passwortanforderungen oder SAML
Kunden mit spezifischen Passwortanforderungen sollten SAML verwenden, um ihre individuellen Anforderungen zu erfüllen. Weitere Informationen finden Sie unter SAML-Authentifizierung für Edge aktivieren. Edge bietet auch die Multi-Faktor-Authentifizierung (PCI-Anforderung 8: Weisen Sie jeder Person mit Computerzugriff eine eindeutige ID zu). Weitere Informationen finden Sie unter 2‑Faktor-Authentifizierung für Ihr Apigee-Konto aktivieren.
Endpunktsicherheit
Endpunktsuche
Das Scannen und Testen von Hosts ist für die PCI-Compliance erforderlich (Anforderung 11: Sicherheitssysteme und ‑prozesse regelmäßig testen). Bei Edge Cloud sind Kunden für das Scannen und Testen ihrer API-Endpunkte (manchmal auch als „Laufzeitkomponenten“ bezeichnet) in Edge verantwortlich. Kundentests sollten die tatsächlichen API-Proxy-Dienste umfassen, die auf Edge gehostet werden. API-Traffic wird an Edge gesendet, bevor er verarbeitet und dann an das Kundendatencenter gesendet wird. Tests von freigegebenen Ressourcen wie der Managementportal-Benutzeroberfläche sind für einzelne Kunden nicht genehmigt. Ein Drittanbieterbericht über Tests der freigegebenen Dienste ist für Kunden im Rahmen einer Vertraulichkeitsvereinbarung und auf Anfrage verfügbar.
Kunden sollten ihre API-Endpunkte testen und auch aufgefordert werden, diese zu testen. Ihre Vereinbarung mit Apigee verbietet nicht das Testen Ihrer API-Endpunkte, aber wir erlauben Ihnen nicht, die gemeinsame Management-UI zu testen. Sollten weitere Erläuterungen erforderlich sein, senden Sie uns bitte eine Supportanfrage, in der Sie auf Ihre geplanten Tests verweisen. Wir bitten Sie, Apigee im Voraus zu benachrichtigen, damit wir über den Test-Traffic informiert sind.
Kunden, die ihre Endpunkte testen, sollten nach API-spezifischen Problemen und allen Problemen mit Apigee-Diensten suchen sowie die TLS und andere konfigurierbare Elementen überprüfen. Alle Elemente, die im Zusammenhang mit Apigee-Diensten gefunden werden, sollten Apigee über eine Supportanfrage mitgeteilt werden.
Die meisten Elemente, die sich auf den Endpunkt beziehen, sind Self-Service-Elemente für Kunden und können durch Lesen der Edge-Dokumentation behoben werden. Wenn es Elemente gibt, bei denen unklar ist, wie sie behoben werden können, öffnen Sie bitte eine Supportanfrage.
TLS-Konfiguration
Gemäß den PCI-Standards müssen SSL und frühes TLS zu sicheren Versionen migriert werden. Kunden sind für die Definition und Konfiguration ihrer eigenen TLS-Endpunkte für API-Proxys verantwortlich. Dies ist eine Self-Service-Funktion in Edge. Die Kundenanforderungen in Bezug auf Verschlüsselung, Protokoll und Algorithmusauswahl sind variabel und spezifisch für einzelne Anwendungsfälle. Da Apigee die Details des API-Designs und der Daten-Payloads jedes Kunden nicht kennt, sind die Kunden dafür verantwortlich, eine geeignete Verschlüsselung für Daten bei der Übertragung festzulegen. Eine ausführliche Anleitung zur TLS-Konfiguration finden Sie unter TLS/SSL.
Datenspeicher
Die Speicherung von Daten in Edge ist für die ordnungsgemäße Funktion von Edge nicht erforderlich. Es gibt jedoch Dienste für die Datenspeicherung in Edge. Kunden können Cache, Schlüssel/Wert-Paare oder Analysen für die Datenspeicherung verwenden. Keiner dieser Dienste ist gemäß dem Apigee-PCI-Audit für die Speicherung von CHD autorisiert. Gemäß PCI-Anforderung 3 (Gespeicherte Karteninhaberdaten schützen) dürfen PCI-Daten nur an PCI-konformen Speicherorten gespeichert werden. Die Nutzung dieser Dienste steht Kunden zum Speichern von Nicht-PCI-Daten oder anderen uneingeschränkten Daten zur Verfügung, sofern die Sicherheits- und rechtlichen Anforderungen des Kunden erfüllt sind. Diese Dienste sind Self-Service-Artikel für Kunden. Es liegt daher in der Verantwortung des Kunden, sie so zu konfigurieren, dass keine CHD erfasst oder gespeichert werden. Es wird empfohlen, dass Kundenadministratoren Konfigurationen, Richtlinien und Bereitstellungen überprüfen, um eine versehentliche oder böswillige Nutzung von Datenspeicherdiensten in Edge auf nicht konforme Weise zu vermeiden .
Datenverschlüsselung
Kunden werden keine Tools zur Datenverschlüsselung für die Verwendung in Edge angeboten. Kunden können ihre PCI-Daten jedoch verschlüsseln, bevor sie sie an Edge senden. PCI-Anforderung 4: (Verschlüsselung der Übertragung von Karteninhaberdaten über offene, öffentliche Netzwerke) Es wird empfohlen, Karteninhaberdaten über offene, öffentliche Netzwerke zu verschlüsseln. Verschlüsselte Daten in der Nutzlast (oder im Nachrichtentext) verhindern nicht, dass Edge funktioniert. Einige Edge-Richtlinien können möglicherweise nicht mit den Daten interagieren, wenn sie vom Kunden verschlüsselt empfangen werden. Eine Transformation ist beispielsweise nicht möglich, wenn die Daten selbst nicht für Edge verfügbar sind, um sie zu ändern. Andere Richtlinien sowie von Kunden erstellte Richtlinien und Bundles funktionieren jedoch auch dann, wenn die Daten-Nutzlast verschlüsselt ist.