আপনি Apigee Edge ডকুমেন্টেশন দেখছেন।
Apigee X ডকুমেন্টেশন দেখুন। তথ্য
Apigee Edge পাবলিক ক্লাউডে কোনও গ্রাহককে PCI কমপ্লায়েন্ট হতে হলে, কিছু অ্যাকশন ও প্রসেস "শেয়ার করা দায়িত্ব মডেল"-এর অধীনে গ্রাহককে মেনে চলতে হয়। যেসব গ্রাহক PCI কমপ্লায়েন্স প্যাক কিনেছেন এবং PCI কমপ্লায়েন্ট হতে হবে, তাদের নিম্নলিখিত আইটেম পর্যালোচনা করতে হবে। এইসব আইটেম Edge-এর মধ্যে সেল্ফ-সার্ভিস এবং গ্রাহক সংস্থাকে (org) PCI মেনে চলতে হলে এগুলির সমাধান করতে হবে। মূল ধারণাটি হল, "Google প্ল্যাটফর্ম সুরক্ষিত করে, গ্রাহক তার ডেটা সুরক্ষিত করে।"
গ্রাহকের দায়িত্ব সংক্রান্ত মেট্রিক্স
গ্রাহকদের Google Cloud Platform: PCI DSS v4.0.1 শেয়ার করা দায়িত্বের ম্যাট্রিক্স রেফার করা উচিত এবং নিজেদের PCI অডিট করার সময় তাদের PCI কোয়ালিফায়েড নিরাপত্তা অ্যাসেসরের সাথে এটি শেয়ার করা উচিত।
PCI সংক্রান্ত প্রয়োজনীয়তা ম্যাপিং
| PCI সংক্রান্ত প্রয়োজনীয়তা | বিভাগ |
|---|---|
| প্রয়োজনীয়তা ৭: সিস্টেম কম্পোনেন্ট ও কার্ডহোল্ডার ডেটাতে অ্যাক্সেস সীমাবদ্ধ করুন, ব্যবসার প্রয়োজনে জানতে হবে | |
| প্রয়োজনীয়তা ৩: সেভ করা অ্যাকাউন্ট ডেটা সুরক্ষিত রাখা | |
| প্রয়োজনীয়তা ১০: সিস্টেম কম্পোনেন্ট ও কার্ডহোল্ডার ডেটা অ্যাক্সেস করার সব লগ ও মনিটর করা | |
| প্রয়োজনীয়তা ৮: ব্যবহারকারীদের শনাক্ত করা এবং সিস্টেমের কম্পোনেন্ট অ্যাক্সেস করার জন্য যাচাইকরণ করা | |
| প্রয়োজনীয়তা ১১: সিস্টেম ও নেটওয়ার্কের নিরাপত্তা নিয়মিত পরীক্ষা করা | |
| প্রয়োজনীয়তা ৪: ওপেন, পাবলিক নেটওয়ার্কের মাধ্যমে ট্রান্সমিশনের সময় শক্তিশালী ক্রিপ্টোগ্রাফির মাধ্যমে কার্ডহোল্ডারের ডেটা সুরক্ষিত রাখতে হবে | |
| প্রয়োজনীয়তা ৩: সেভ করা অ্যাকাউন্ট ডেটা সুরক্ষিত রাখা | |
| প্রয়োজনীয়তা ৪: ওপেন, পাবলিক নেটওয়ার্কের মাধ্যমে ট্রান্সমিশনের সময় শক্তিশালী ক্রিপ্টোগ্রাফির মাধ্যমে কার্ডহোল্ডারের ডেটা সুরক্ষিত রাখা |
PCI ডেটা নিরাপত্তা স্ট্যান্ডার্ড অ্যাটেস্টেশন অফ কমপ্লায়েন্স (AOC) পেতে, Apigee সহায়তা টিমের সাথে টিকিট খুলুন অথবা আপনার Apigee সেলস টিমের সাথে যোগাযোগ করুন।
ট্রেস / ডিবাগ
ট্রেস/ডিবাগ হল একটি সমস্যা সমাধানকারী টুল যা ব্যবহারকারীকে Apigee মেসেজ প্রসেসরের মাধ্যমে প্রসেস করার সময় API কলের স্ট্যাটাস এবং কন্টেন্ট দেখতে দেয়। Trace ও Debug হল একই পরিষেবার দুটি নাম, তবে আলাদা আলাদা মেকানিজমের মাধ্যমে অ্যাক্সেস করা হয়। Edge UI-এর মধ্যে এই পরিষেবার নাম হল Trace। API কলের মাধ্যমে ব্যবহার করা হলে একই পরিষেবার নাম হল 'ডিবাগ'। এই ডকুমেন্টে Trace শব্দটি ব্যবহার করা হয়েছে এবং তা Trace ও Debug, দু'টির ক্ষেত্রেই প্রযোজ্য।
ট্রেস সেশনের সময়, "ডেটা মাস্কিং" প্রয়োগ করা হয়। ট্রেস চলাকালীন এই টুল ডেটা দেখানো ব্লক করতে পারে। নিচে ডেটা মাস্কিং বিভাগ দেখুন।
PCI গ্রাহকদের জন্য এনক্রিপ্ট করা কী ভ্যালু ম্যাপ (KVM) ব্যবহার করা হতে পারে। এনক্রিপ্ট করা KVM ব্যবহার করা হলে, Trace এখনও ব্যবহার করা যেতে পারে, তবে কিছু ভেরিয়েবল Trace ডিসপ্লে স্ক্রিনে দেখা যাবে না। Trace চলাকালীন এইসব ভেরিয়েবল দেখানোর জন্য অতিরিক্ত পদক্ষেপ নেওয়া সম্ভব।
Trace-এর ব্যবহার সংক্রান্ত বিস্তারিত নির্দেশাবলী Trace টুল ব্যবহার করা লিঙ্কে উপলভ্য।
এনক্রিপ্টেড KVM সহ KVM-এর বিবরণ কী-ভ্যালু ম্যাপের সাথে কাজ করা লিঙ্কে উপলভ্য।
ব্যবহার/অনুমোদন
Edge-এর মধ্যে ব্যবহারকারীর অ্যাকাউন্টের জন্য RBAC (ভূমিকা-ভিত্তিক অ্যাক্সেস কন্ট্রোল) সিস্টেমের মাধ্যমে Trace-এ অ্যাক্সেস ম্যানেজ করা হয়। Trace প্রিভিলেজ দেওয়া ও প্রত্যাহার করার জন্য RBAC সিস্টেম ব্যবহার করার বিষয়ে বিস্তারিত নির্দেশাবলী ভূমিকা অ্যাসাইন করা এবং UI-তে কাস্টম ভূমিকা তৈরি করালিঙ্কে উপলভ্য। ট্রেস অনুমতি ব্যবহারকারীকে ট্রেস চালু করতে, ট্রেস বন্ধ করতে এবং ট্রেস সেশন থেকে আউটপুট অ্যাক্সেস করতে দেয়।
Trace-এর যেহেতু API কলের পেলোড (আগে "মেসেজ বডি" বলা হত) অ্যাক্সেস করার সুবিধা আছে, তাই Trace কে রান করতে পারবে তা বিবেচনা করা গুরুত্বপূর্ণ। যেহেতু ব্যবহারকারী ম্যানেজমেন্ট গ্রাহকের দায়িত্ব, তাই Trace অনুমতি দেওয়াও গ্রাহকের দায়িত্ব। প্ল্যাটফর্মের মালিক হিসেবে Apigee-র কাছে গ্রাহক সংস্থার সাথে কোনও ব্যবহারকারীকে যোগ করার এবং বিশেষ সুবিধা অ্যাসাইন করার ক্ষমতা আছে। এই ক্ষমতা শুধুমাত্র গ্রাহকের অনুরোধে ব্যবহার করা হয় যখন এটি দেখা যায় যে গ্রাহক পরিষেবা ব্যর্থ হচ্ছে এবং একটি ট্রেস সেশন পর্যালোচনা করলে সমস্যার মূল কারণ সম্পর্কে সেরা তথ্য পাওয়া যাবে বলে মনে করা হয়।
ডেটা মাস্কিং
ডেটা মাস্কিং শুধুমাত্র Trace/Debug সেশনের সময় সংবেদনশীল ডেটা দেখাতে বাধা দেয়। এটি Trace (Edge UI) এবং Debug (Edge API) উভয় ক্ষেত্রেই করা হয়। মাস্কিং কীভাবে সেট-আপ করতে হয় সেই সংক্রান্ত বিবরণ ডেটা মাস্কিং ও লুকানো লিঙ্কে উপলভ্য। সংবেদনশীল ডেটা মাস্ক করা PCI প্রয়োজনীয়তা ৩ - সেভ করা কার্ডহোল্ডার ডেটা সুরক্ষিত রাখা-এর অংশ
ডেটা মাস্কিং লগ ফাইল, ক্যাশে, অ্যানালিটিক্স, ইত্যাদিতে ডেটা দেখা যাওয়া আটকায় না। লগে ডেটা মাস্কিং সংক্রান্ত সাহায্যের জন্য, logback.xml ফাইলে রেগুলার এক্সপ্রেশন প্যাটার্ন যোগ করার কথা বিবেচনা করুন। সংবেদনশীল ডেটা সাধারণত শক্তিশালী ব্যবসায়িক যুক্তি এবং গ্রাহক সুরক্ষা ও আইনি টিমের পর্যালোচনা ছাড়া ক্যাশে বা অ্যানালিটিক্সে লেখা উচিত নয়।
L1 ও L2 ক্যাশে
ক্যাশিং সুবিধা শুধুমাত্র অনিয়ন্ত্রিত ডেটার ক্ষেত্রে PCI গ্রাহকদের জন্য উপলভ্য। PCI কার্ড হোল্ডার ডেটা (CHD)-এর জন্য ক্যাশে ব্যবহার করা উচিত নয়; CHD-এর স্টোরেজ লোকেশন হিসেবে এটি Apigee PCI কমপ্লায়েন্স অডিট দ্বারা অনুমোদিত নয়। PCI নির্দেশিকা (প্রয়োজনীয়তা ৩: সেভ করা কার্ডহোল্ডার ডেটা সুরক্ষিত রাখুন) অনুযায়ী, PCI ডেটা শুধুমাত্র PCI মেনে চলা লোকেশন স্টোর করা উচিত। L1 ক্যাশে ব্যবহার করলে, L2 ক্যাশেও অটোমেটিক ব্যবহার করা হবে। L1 ক্যাশে হল "শুধুমাত্র মেমরি" যেখানে L2 ক্যাশে একাধিক L1 ক্যাশে জুড়ে সিঙ্ক্রোনাইজ করার জন্য ডিস্কে ডেটা লেখে। L2 ক্যাশে হল এমন একটি জিনিস যা কোনও অঞ্চল ও বিশ্বজুড়ে একাধিক মেসেজ প্রসেসরকে সিঙ্ক করে রাখে। L2 ক্যাশে চালু না করে L1 ক্যাশে চালু করা বর্তমানে সম্ভব নয়। L2 ক্যাশে ডিস্কে ডেটা লেখে যাতে গ্রাহক সংস্থার জন্য অন্যান্য মেসেজ প্রসেসরের সাথে সিঙ্ক করা যায়। কারণ L2 ক্যাশে ডিস্কে ডেটা লেখে, CHD বা অন্যান্য সীমাবদ্ধ ডেটার জন্য ক্যাশে ব্যবহার করা যায় না।
গ্রাহকদের CHD নয় এমন ডেটা ও অন্যান্য বিধিনিষেধহীন ডেটা ক্যাশে করার অনুমতি দেওয়া হয়। আমরা PCI গ্রাহকদের জন্য ডিফল্ট হিসেবে ক্যাশে বন্ধ করি না, কারণ কিছু গ্রাহক একটি অর্গের মাধ্যমে PCI এবং নন-PCI সম্পর্কিত API কল রান করান। যেহেতু PCI গ্রাহকদের জন্য এই সুবিধা এখনও চালু আছে তাই PCI ডেটা API কলে থাকার সম্ভাবনা থাকলে, গ্রাহকের দায়িত্ব হল পরিষেবাটি সঠিকভাবে ব্যবহার করা এবং তাদের ব্যবহারকারীদের ক্যাশে ব্যবহার না করার ব্যাপারে প্রশিক্ষণ দেওয়া। Apigee PCI কমপ্লায়েন্স অডিট ক্যাশে সেভ করা CHD-কে সাপোর্ট করে না।
ক্যাশিং ও পারসিস্টেন্স যোগ করা লিঙ্কে ক্যাশে ব্যবহার করা সংক্রান্ত বিস্তারিত নির্দেশাবলী উপলভ্য।
অডিট ট্রেল
গ্রাহকের org-এর মধ্যে Trace-এর ব্যবহার সহ সব প্রশাসনিক অ্যাক্টিভিটির অডিট ট্রেল পর্যালোচনা করার ক্ষমতা গ্রাহকদের আছে। বিস্তারিত নির্দেশাবলী এখানে এবং ট্রেস টুল ব্যবহার করা লিঙ্কে উপলভ্য। (PCI Requirement 10: Track and monitor all access to network resources and cardholder data)
জটিল পাসওয়ার্ড সংক্রান্ত প্রয়োজনীয়তা বা SAML
নির্দিষ্ট পাসওয়ার্ড সংক্রান্ত প্রয়োজনীয়তা আছে এমন গ্রাহকদের তাদের ব্যক্তিগত প্রয়োজনীয়তা পূরণের জন্য SAML ব্যবহার করা উচিত। Edge-এর জন্য SAML যাচাইকরণ চালু করা দেখুন। এছাড়াও, Edge-এ বহু-স্তরীয় যাচাইকরণ (PCI Requirement 8: Assign a unique ID to each person with computer access) উপলভ্য। আপনার Apigee অ্যাকাউন্টের জন্য দুই-ধাপে যাচাইকরণ চালু করুন দেখুন।
এন্ডপয়েন্ট নিরাপত্তা
এন্ডপয়েন্ট স্ক্যানিং
PCI মেনে চলার জন্য হোস্ট স্ক্যান ও পরীক্ষা করা প্রয়োজন (প্রয়োজনীয়তা ১১: নিয়মিত নিরাপত্তা সিস্টেম ও প্রসেস পরীক্ষা করুন)। Edge Cloud-এর ক্ষেত্রে, Edge-এ গ্রাহকের API এন্ডপয়েন্ট (কখনও কখনও "রানটাইম কম্পোনেন্ট" বলা হয়) স্ক্যান ও টেস্ট করার দায়িত্ব গ্রাহকের উপরেই বর্তায়। গ্রাহক টেস্টিংয়ে Edge-এ হোস্ট করা আসল API প্রক্সি পরিষেবা অন্তর্ভুক্ত করা উচিত যেখানে API ট্রাফিক প্রসেস করার আগে Edge-এ পাঠানো হয় এবং তারপরে গ্রাহকের ডেটা সেন্টারে ডেলিভার করা হয়। শেয়ার করা রিসোর্স, যেমন ম্যানেজমেন্ট পোর্টাল UI-এর টেস্টিং, স্বতন্ত্র গ্রাহকদের জন্য অনুমোদিত নয় (শেয়ার করা পরিষেবার টেস্টিং কভার করে এমন থার্ড-পার্টি রিপোর্ট, গোপনীয়তা চুক্তি ও অনুরোধের ভিত্তিতে গ্রাহকদের উপলভ্য)।
গ্রাহকদের API এন্ডপয়েন্ট পরীক্ষা করা উচিত এবং এটি করার জন্য তাদের উৎসাহিত করা হয়। Apigee-এর সাথে আপনার চুক্তি আপনার API এন্ডপয়েন্ট পরীক্ষা করতে বাধা দেয় না, তবে আমরা আপনাকে শেয়ার করা ম্যানেজমেন্ট UI পরীক্ষা করার অনুমতি দিই না। তবে, আরও স্পষ্টীকরণের প্রয়োজন হলে, আপনার পরিকল্পিত পরীক্ষার রেফারেন্স সহ একটি সহায়তা অনুরোধ খুলুন । আগাম Apigee-কে বিজ্ঞপ্তি দিলে ভাল হয়, যাতে আমরা টেস্টিং ট্রাফিক সম্পর্কে সচেতন থাকতে পারি।
যেসব গ্রাহক তাদের এন্ডপয়েন্ট পরীক্ষা করছেন, তাদের API-নির্দিষ্ট সমস্যা, Apigee পরিষেবা সম্পর্কিত সমস্যা এবং TLS ও অন্যান্য কনফিগার করা যায় এমন আইটেম চেক করা উচিত। Apigee পরিষেবার সাথে সম্পর্কিত যেকোনও আইটেম পাওয়া গেলে, সহায়তা সংক্রান্ত অনুরোধের মাধ্যমে Apigee-কে তা জানাতে হবে।
এন্ডপয়েন্ট সম্পর্কিত বেশিরভাগ আইটেম হল গ্রাহকের সেল্ফ-সার্ভিস আইটেম এবং Edge ডকুমেন্টেশন পর্যালোচনা করে এগুলি ঠিক করা যেতে পারে। যদি এমন আইটেম থাকে যেগুলি কীভাবে ঠিক করতে হবে তা স্পষ্ট নয়, তাহলে সহায়তার অনুরোধ জানান।
TLS কনফিগারেশন
PCI স্ট্যান্ডার্ড অনুযায়ী, SSL ও আগের TLS-কে সুরক্ষিত ভার্সনে মাইগ্রেট করতে হবে। API প্রক্সির জন্য নিজস্ব TLS এন্ডপয়েন্ট নির্ধারণ ও কনফিগার করার দায়িত্ব গ্রাহকদের। এটি Edge-এর একটি সেল্ফ-সার্ভিস ফিচার। এনক্রিপশন, প্রোটোকল ও অ্যালগরিদম বেছে নেওয়ার ব্যাপারে গ্রাহকের প্রয়োজনীয়তা ব্যাপকভাবে পরিবর্তিত হয় এবং তা স্বতন্ত্র ব্যবহারের ক্ষেত্রে নির্দিষ্ট হয়। কারণ, Apigee প্রতিটি গ্রাহকের API ডিজাইন ও ডেটা পেলোডের বিবরণ জানে না, তাই ট্রানজিটে থাকা ডেটার জন্য উপযুক্ত এনক্রিপশন নির্ধারণ করার দায়িত্ব গ্রাহকদের। TLS কনফিগারেশন সম্পর্কে বিস্তারিত নির্দেশাবলী TLS/SSL লিঙ্কে উপলভ্য।
ডেটা স্টোরেজ
Edge-এর সঠিকভাবে কাজ করার জন্য Edge-এর মধ্যে ডেটা স্টোরেজ প্রয়োজন হয় না। তবে, Edge-এ ডেটা স্টোরেজের জন্য পরিষেবা উপলভ্য। ডেটা স্টোরেজের জন্য গ্রাহকরা ক্যাশে, কী ভ্যালু ম্যাপ বা অ্যানালিটিক্স ব্যবহার করার বিকল্প বেছে নিতে পারেন। Apigee PCI অডিট অনুযায়ী, CHD সেভ করার জন্য এইসব পরিষেবার কোনওটিই অনুমোদিত নয়। PCI Requirement 3 (Protect stored cardholder data) অনুযায়ী, PCI ডেটা শুধুমাত্র PCI নিয়ম মেনে চলা লোকেশনেই স্টোর করা উচিত। গ্রাহকের নিরাপত্তা ও আইনি প্রয়োজনীয়তা মেনে চলার শর্তে, গ্রাহকরা PCI নয় এমন ডেটা বা অন্যান্য বিধিনিষেধহীন ডেটা স্টোর করার জন্য এইসব পরিষেবা ব্যবহার করতে পারেন। এইসব পরিষেবা হল গ্রাহকের সেল্ফ-সার্ভিস আইটেম, তাই CHD ক্যাপচার বা স্টোর না করার জন্য এগুলি কনফিগার করার দায়িত্ব গ্রাহকের। গ্রাহকের অ্যাডমিনিস্ট্রেটরদের দ্বারা কনফিগারেশন, নীতি ও ডেপ্লয়মেন্ট পর্যালোচনা করা হলে, Edge-এ অননুমোদিত উপায়ে ডেটা স্টোরেজ পরিষেবার আকস্মিক বা ক্ষতিকর ব্যবহার এড়ানো যায়।
ডেটা এনক্রিপশন
Edge-এর মধ্যে ব্যবহারের জন্য গ্রাহকদের ডেটা এনক্রিপশন টুল অফার করা হয় না। তবে, Edge-এ পাঠানোর আগে গ্রাহকরা নিজেদের PCI ডেটা এনক্রিপ্ট করতে পারেন। PCI প্রয়োজনীয়তা ৪: (ওপেন, পাবলিক নেটওয়ার্ক জুড়ে কার্ডহোল্ডার ডেটা এনক্রিপ্ট করে ট্রান্সমিট করা) ওপেন, পাবলিক নেটওয়ার্ক জুড়ে কার্ডহোল্ডার ডেটা এনক্রিপ্ট করে ট্রান্সমিট করার পরামর্শ দেওয়া হয়। পে-লোডে এনক্রিপ্ট করা ডেটা (বা মেসেজ বডি) Edge-এর কাজ করতে বাধা দেয় না। গ্রাহকের থেকে এনক্রিপ্ট করা ডেটা পেলে, কিছু Edge নীতি সেটির সাথে ইন্টার্যাক্ট করতে পারবে না। যেমন, Edge-এর কাছে পরিবর্তন করার জন্য ডেটা উপলভ্য না থাকলে, কোনও ট্রান্সফর্মেশন সম্ভব নয়। তবে, অন্যান্য নীতি এবং গ্রাহক-নির্মিত নীতি ও বান্ডেল ডেটা পেলোড এনক্রিপ্ট করা থাকলেও কাজ করবে।