أنت الآن بصدد الاطّلاع على مستندات Apigee Edge.
انتقِل إلى
مستندات Apigee X. info
لكي يلتزم العميل بمعيار أمان بيانات قطاع بطاقات الدفع (PCI) على "السحابة الإلكترونية العامة" في Apigee Edge، عليه اتّخاذ بعض الإجراءات وتنفيذ بعض العمليات التي تقع ضمن نطاق مسؤوليته بموجب "نموذج المسؤولية المشتركة". يجب أن يراجع العملاء الذين اشتروا حزمة الامتثال لمعيار أمان بيانات قطاع بطاقات الدفع (PCI) العناصر التالية، علمًا بأنّهم ملزمون بالامتثال لهذا المعيار. هذه العناصر هي عناصر ذاتية الخدمة ضمن Edge ويجب معالجتها لكي تكون مؤسسة العميل متوافقة مع معيار PCI. المفهوم الشامل هو "تتولّى Google تأمين المنصة، ويتولّى العميل تأمين بياناته".
مصفوفة مسؤولية العميل
على العملاء الرجوع إلى مصفوفة المسؤولية المشترَكة في Google Cloud Platform: معيار أمان بيانات قطاع بطاقات الدفع (PCI DSS) الإصدار 4.0.1 ومشاركتها مع مقيّم الأمان المؤهل (QSA) التابع لقطاع بطاقات الدفع عند إجراء عملية التدقيق الخاصة بهم.
ربط متطلبات معايير PCI
| متطلبات PCI | Section |
|---|---|
| المتطلب 7: فرض قيود على الوصول إلى مكونات النظام وبيانات أصحاب البطاقات حسب حاجة النشاط التجاري إلى المعرفة | |
| المتطلب 3: حماية بيانات الحساب المخزّنة | |
| المتطلب 10: تسجيل جميع عمليات الوصول إلى مكوّنات النظام وبيانات أصحاب البطاقات ومراقبتها | |
| المتطلب 8: تحديد هوية المستخدمين والمصادقة على إمكانية الوصول إلى مكوّنات النظام | |
| المتطلب 11: اختبار أمان الأنظمة والشبكات بانتظام | |
| المتطلب 4: حماية بيانات حامل البطاقة باستخدام تشفير قوي أثناء نقلها عبر الشبكات المفتوحة والعامة | |
| المتطلب 3: حماية بيانات الحساب المخزّنة | |
| المتطلب 4: حماية بيانات حامل البطاقة باستخدام تشفير قوي أثناء نقلها عبر الشبكات المفتوحة والعامة |
للحصول على شهادة امتثال لمعيار أمان بيانات قطاع بطاقات الدفع (PCI DSS)، افتح تذكرة مع فريق الدعم في Apigee أو تواصَل مع فريق المبيعات في Apigee.
التتبُّع / تصحيح الأخطاء
Trace/Debug هي أداة لتحديد المشاكل وحلّها تتيح للمستخدم عرض حالة ومحتوى طلب البيانات من واجهة برمجة التطبيقات أثناء معالجته من خلال "معالج الرسائل" في Apigee. Trace وDebug هما اسمان للخدمة نفسها، ولكن يتم الوصول إليها من خلال آليات مختلفة. Trace هو اسم هذه الخدمة داخل واجهة مستخدم Edge. Debug هو اسم الخدمة نفسها عند استخدامها من خلال طلبات البيانات من واجهة برمجة التطبيقات. إنّ استخدام المصطلح "تتبُّع" في هذا المستند صالح لكلّ من "التتبُّع" و"تصحيح الأخطاء".
أثناء جلسة "التتبُّع"، يتم فرض "إخفاء البيانات". يمكن لهذه الأداة حظر عرض البيانات أثناء عملية تتبُّع. راجِع قسم إخفاء البيانات أدناه.
يمكن استخدام "خرائط القيم الرئيسية" (KVM) المشفّرة لعملاء PCI. في حال استخدام مبدّل KVM مشفَّر، سيظل بإمكانك استخدام "التتبُّع"، ولكن لن تظهر بعض المتغيرات في شاشة عرض "التتبُّع". يمكن اتّخاذ خطوات إضافية لعرض هذه المتغيّرات أيضًا أثناء عملية التتبُّع.
تتوفّر تعليمات تفصيلية حول استخدام Trace في مقالة استخدام أداة Trace.
تتوفّر تفاصيل حول خرائط قيم المفاتيح، بما في ذلك خرائط قيم المفاتيح المشفّرة، في التعامل مع خرائط قيم المفاتيح.
الاستخدام/الأذونات
تتم إدارة الوصول إلى Trace من خلال نظام التحكّم في الوصول المستند إلى الدور (RBAC) لحسابات المستخدمين ضمن Edge. تتوفّر تعليمات مفصّلة حول استخدام نظام التحكّم المستند إلى الأدوار لمنح امتيازات Trace وإبطالها في منح الأدوار وإنشاء أدوار مخصّصة في واجهة المستخدم. تسمح أذونات التتبُّع للمستخدم بتشغيل عملية تتبُّع وإيقافها والوصول إلى الناتج من جلسة تتبُّع.
بما أنّ Trace يمكنه الوصول إلى حمولة طلبات البيانات من واجهة برمجة التطبيقات (المعروفة سابقًا باسم "نص الرسالة")، من المهم مراعاة المستخدمين الذين يمكنهم تشغيل Trace. بما أنّ إدارة المستخدمين هي من مسؤولية العميل، فإنّ منح أذونات Trace يقع أيضًا على عاتق العميل. بصفتها مالكة المنصة، يمكن لشركة Apigee إضافة مستخدم إلى مؤسسة أحد العملاء ومنحه الامتيازات. لا يتم استخدام هذه الإمكانية إلا بناءً على طلب العميل للحصول على الدعم في حال بدا أنّ خدمة العملاء لا تعمل بشكل جيد، ويُعتقد أنّ مراجعة جلسة Trace ستوفّر أفضل المعلومات حول السبب الأساسي للمشكلة.
إخفاء البيانات
تمنع ميزة إخفاء البيانات عرض البيانات الحسّاسة أثناء جلسة "التتبُّع" أو "تصحيح الأخطاء" فقط، سواء في "التتبُّع" (واجهة مستخدم Edge) أو في الخلفية من خلال "تصحيح الأخطاء" (واجهة برمجة تطبيقات Edge). تتوفر تفاصيل حول كيفية إعداد الإخفاء في مقالة إخفاء البيانات. يُعدّ إخفاء البيانات الحسّاسة جزءًا من المتطلّب 3 من معيار أمان بيانات بطاقات الدفع (PCI) - حماية بيانات حامل البطاقة المخزّنة
لا يمنع إخفاء البيانات ظهورها في ملفات السجلّ وذاكرة التخزين المؤقت والإحصاءات وما إلى ذلك. للحصول على مساعدة بشأن إخفاء البيانات في السجلّات، ننصحك بإضافة نمط تعبير عادي إلى ملف logback.xml. يجب عادةً عدم كتابة البيانات الحسّاسة في ذاكرة التخزين المؤقت أو "إحصاءات Google" بدون مبرّر تجاري قوي ومراجعة من قِبل فِرق الأمان والقانون لدى العميل.
ذاكرة التخزين المؤقت من المستوى 1 والمستوى 2
تتوفّر ميزة التخزين المؤقت لعملاء PCI لاستخدامها مع البيانات غير الخاضعة للرقابة فقط. يجب عدم استخدام ذاكرة التخزين المؤقت لبيانات حامل بطاقة الدفع (CHD) في قطاع بطاقات الدفع (PCI)، لأنّها غير معتمَدة من خلال تدقيق امتثال Apigee لمعيار أمان البيانات في قطاع بطاقات الدفع كموقع تخزين لبيانات حامل بطاقة الدفع. وفقًا لإرشادات معيار PCI (المتطلب 3: حماية بيانات أصحاب البطاقات المخزّنة)، يجب تخزين بيانات PCI في موقع متوافق مع معيار PCI فقط. سيؤدي استخدام ذاكرة التخزين المؤقت من المستوى 1 إلى استخدام ذاكرة التخزين المؤقت من المستوى 2 تلقائيًا أيضًا. ذاكرة التخزين المؤقت من المستوى الأول هي "ذاكرة فقط"، بينما تكتب ذاكرة التخزين المؤقت من المستوى الثاني البيانات على القرص للمزامنة بين عدة ذاكرات تخزين مؤقت من المستوى الأول. ذاكرة التخزين المؤقت من المستوى الثاني هي التي تحافظ على مزامنة "معالجات الرسائل" المتعددة داخل منطقة وعلى مستوى العالم. لا يمكن حاليًا تفعيل ذاكرة التخزين المؤقت من المستوى 1 بدون ذاكرة تخزين مؤقت من المستوى 2. تكتب ذاكرة التخزين المؤقت من المستوى الثاني البيانات على القرص حتى يمكن مزامنتها مع معالجات الرسائل الأخرى الخاصة بمؤسسة العميل. بما أنّ ذاكرة التخزين المؤقت من المستوى الثاني (L2) تكتب البيانات على القرص، لا يمكن استخدام ذاكرة التخزين المؤقت لبيانات CHD أو غيرها من البيانات المحظورة.
يُسمح للعملاء باستخدام ذاكرة التخزين المؤقت للبيانات غير المتعلقة ببطاقات الدفع وغيرها من البيانات غير المحظورة. لا نوقف ذاكرة التخزين المؤقت تلقائيًا لعملاء PCI، لأنّ بعض العملاء ينفّذون طلبات واجهة برمجة التطبيقات المرتبطة بـ PCI وغير المرتبطة بها من خلال مؤسسة واحدة. بما أنّ هذه الإمكانية لا تزال متاحة لعملاء PCI، يتحمّل العميل مسؤولية استخدام الخدمة بشكل مناسب وتدريب المستخدمين على عدم استخدام ذاكرة التخزين المؤقت عندما يكون من المحتمل أن تتضمّن طلبات البيانات من واجهة برمجة التطبيقات بيانات PCI. لا يتيح تدقيق امتثال Apigee لمعيار أمان بيانات حامل البطاقة (PCI) تخزين بيانات حامل البطاقة (CHD) في ذاكرة التخزين المؤقت.
تتوفّر تعليمات مفصّلة حول استخدام ذاكرة التخزين المؤقت في إضافة التخزين المؤقت والثبات.
مسار التدقيق
يمكن للعملاء مراجعة سجلّ التدقيق لجميع الأنشطة الإدارية التي تم تنفيذها داخل مؤسسة العميل، بما في ذلك استخدام Trace. تتوفّر التعليمات المفصّلة هنا وفي استخدام أداة "التتبُّع". (متطلبات معيار أمان بيانات بطاقات الدفع (PCI) رقم 10: تتبُّع جميع عمليات الوصول إلى موارد الشبكة وبيانات أصحاب البطاقات ومراقبتها)
متطلبات كلمات المرور المعقّدة أو SAML
على العملاء الذين لديهم متطلبات محدّدة لكلمات المرور استخدام SAML لتلبية متطلباتهم الفردية. راجِع مقالة تفعيل مصادقة SAML في Edge. يوفّر Edge أيضًا المصادقة المتعدّدة العوامل (متطلبات معيار أمان بيانات بطاقات الدفع 8: تعيين معرّف فريد لكل شخص لديه إذن الوصول إلى الكمبيوتر). راجِع تفعيل المصادقة الثنائية لحسابك على Apigee.
أمان نقاط النهاية
فحص نقاط النهاية
يجب فحص المضيفين واختبارهم للامتثال لمعيار أمان بيانات قطاع بطاقات الدفع (المتطلب 11: اختبار أنظمة وعمليات الأمان بانتظام). في Edge Cloud، يتحمّل العملاء مسؤولية فحص واختبار نقاط نهاية واجهات برمجة التطبيقات (التي تُعرف أحيانًا باسم "مكوّنات وقت التشغيل") في Edge. يجب أن تغطي اختبارات العملاء خدمات خادم وكيل واجهة برمجة التطبيقات الفعلية المستضافة على Edge، حيث يتم إرسال عدد زيارات واجهة برمجة التطبيقات إلى Edge قبل معالجتها ثم تسليمها إلى مركز بيانات العميل. لا تتم الموافقة على اختبار الموارد المشتركة، مثل واجهة مستخدم بوابة الإدارة، للعملاء الفرديين (يتوفّر للعملاء تقرير تابع لجهة خارجية يغطّي اختبار الخدمات المشتركة بموجب اتفاقية عدم إفصاح وبناءً على طلب).
يجب على العملاء اختبار نقاط نهاية واجهة برمجة التطبيقات، وننصحهم بذلك. لا تحظر اتفاقيتك مع Apigee اختبار نقاط نهاية واجهة برمجة التطبيقات، ولكن لا نسمح لك باختبار واجهة مستخدم الإدارة المشتركة. مع ذلك، إذا كنت بحاجة إلى مزيد من التوضيح، يُرجى فتح طلب للحصول على الدعم مع الإشارة إلى الاختبار الذي تخطّط له. يُرجى إرسال إشعار مسبق إلى Apigee حتى نتمكّن من التعرّف على عدد الزيارات التجريبية.
على العملاء الذين يختبرون نقاط النهاية البحث عن أي مشاكل خاصة بواجهة برمجة التطبيقات، وأي مشاكل متعلقة بخدمات Apigee، والتحقّق أيضًا من بروتوكول أمان طبقة النقل (TLS) والعناصر الأخرى القابلة للإعداد. يجب إبلاغ Apigee بأي عناصر يتم العثور عليها ذات صلة بخدمات Apigee من خلال طلب دعم.
معظم المشاكل المتعلّقة بنقطة النهاية هي مشاكل يمكن للعميل حلّها بنفسه، ويمكن حلّها من خلال مراجعة مستندات Edge. إذا كانت هناك عناصر غير واضحة بشأن كيفية إصلاحها، يُرجى فتح طلب للحصول على الدعم.
إعدادات بروتوكول أمان طبقة النقل (TLS)
وفقًا لمعايير PCI، يجب نقل طبقة المقابس الآمنة (SSL) وبروتوكول أمان طبقة النقل (TLS) القديم إلى إصدارات آمنة. يتحمّل العملاء مسؤولية تحديد نقاط نهاية بروتوكول أمان النقل (TLS) الخاصة بهم وإعدادها لوكلاء واجهة برمجة التطبيقات. هذه ميزة خدمة ذاتية في Edge. تختلف متطلبات العملاء بشكل كبير بشأن خيارات التشفير والبروتوكول والخوارزمية، وهي خاصة بحالات الاستخدام الفردية. بما أنّ Apigee لا يعرف تفاصيل تصميم واجهة برمجة التطبيقات وحِزم البيانات الخاصة بكل عميل، يتحمّل العملاء مسؤولية تحديد التشفير المناسب للبيانات أثناء نقلها. تتوفّر تعليمات مفصّلة حول إعدادات بروتوكول أمان طبقة النقل (TLS) على TLS/SSL.
تخزين البيانات
لا يُشترط تخزين البيانات في Edge لكي يعمل بشكل صحيح. ومع ذلك، تتوفّر خدمات لتخزين البيانات في Edge. يمكن للعملاء اختيار استخدام ذاكرة التخزين المؤقت أو خرائط قيم المفاتيح أو الإحصاءات لتخزين البيانات. ولا يُسمح باستخدام أي من هذه الخدمات لتخزين بيانات حامل البطاقة وفقًا لعملية التدقيق في معيار أمان بيانات الدفع التي أجرتها Apigee. وفقًا للمتطلب 3 من معيار أمان بيانات قطاع بطاقات الدفع (حماية بيانات حامل البطاقة المخزّنة)، يجب تخزين بيانات معيار أمان بيانات قطاع بطاقات الدفع في المواقع المتوافقة مع هذا المعيار فقط. يمكن للعملاء استخدام هذه الخدمات لتخزين البيانات غير المتعلّقة بمعيار PCI أو البيانات الأخرى غير المحظورة وفقًا لمتطلبات العميل الأمنية والقانونية. هذه الخدمات هي عناصر خدمة ذاتية للعملاء، لذا يتحمّل العميل مسؤولية ضبطها بشكل لا يؤدي إلى تسجيل بيانات حامل البطاقة أو تخزينها. ننصح بأن يراجع مشرفو العملاء عمليات الإعداد والسياسات وعمليات النشر لتجنُّب الاستخدام العرضي أو الضار لخدمات تخزين البيانات في Edge بطريقة غير متوافقة .
تشفير البيانات
لا يتم توفير أدوات تشفير البيانات للعملاء لاستخدامها داخل Edge. ومع ذلك، يمكن للعملاء تشفير بياناتهم المتعلّقة بمعيار PCI قبل إرسالها إلى Edge. متطلبات معيار أمان بيانات صناعة بطاقات الدفع (PCI) 4: (تشفير نقل بيانات حامل البطاقة عبر الشبكات المفتوحة والعامة) ننصح بتشفير بيانات حامل البطاقة عبر الشبكات المفتوحة والعامة. لا تمنع البيانات المشفّرة في الحمولة (أو نص الرسالة) Edge من العمل. قد لا تتمكّن بعض سياسات Edge من التفاعل مع البيانات إذا تلقّتها مشفّرة من العميل. على سبيل المثال، لا يمكن إجراء عملية تحويل إذا لم تكن البيانات نفسها متاحة لـ Edge لتغييرها. ومع ذلك، ستعمل السياسات الأخرى والحِزم والسياسات التي أنشأها العملاء حتى إذا كانت حمولة البيانات مشفَّرة.