คุณกำลังดูเอกสารประกอบของ Apigee Edge
ไปที่เอกสารประกอบของ
Apigee X info
เพื่อให้ลูกค้าเป็นไปตามข้อกำหนด PCI ใน Apigee Edge Public Cloud ลูกค้าต้องดำเนินการและ กระบวนการบางอย่างภายใต้ "รูปแบบความรับผิดชอบร่วม" รายการต่อไปนี้ควรได้รับการตรวจสอบโดยลูกค้าที่ซื้อแพ็กเกจการปฏิบัติตามข้อกำหนด PCI และต้องปฏิบัติตามข้อกำหนด PCI รายการเหล่านี้เป็นแบบบริการตนเองภายใน Edge และต้องได้รับการแก้ไขเพื่อให้องค์กรของลูกค้าเป็นไปตามข้อกำหนด PCI แนวคิดโดยรวมคือ "Google รักษาความปลอดภัยของแพลตฟอร์ม ลูกค้าดูแลความปลอดภัยของข้อมูล"
เมทริกซ์ความรับผิดชอบของลูกค้า
ลูกค้าควรอ้างอิง Google Cloud Platform: PCI DSS v4.0.1 Shared Responsibility Matrix และแชร์กับผู้ตรวจประเมินอิสระที่ผ่านการรับรอง PCI เมื่อทำการตรวจสอบ PCI ของตนเอง
การแมปข้อกำหนดของ PCI
| ข้อกำหนดของ PCI | Section |
|---|---|
| ข้อกำหนดที่ 7: จำกัดการเข้าถึงคอมโพเนนต์ของระบบและข้อมูลผู้ถือบัตรตามความจำเป็นทางธุรกิจ ในการรับทราบ | |
| ข้อกำหนดที่ 3: ปกป้องข้อมูลบัญชีที่จัดเก็บไว้ | |
| ข้อกำหนดที่ 10: บันทึกและตรวจสอบการเข้าถึงคอมโพเนนต์ของระบบและข้อมูลผู้ถือบัตรทั้งหมด | |
| ข้อกำหนดที่ 8: ระบุผู้ใช้และตรวจสอบสิทธิ์การเข้าถึงคอมโพเนนต์ของระบบ | |
| ข้อกำหนดที่ 11: ทดสอบความปลอดภัยของระบบและเครือข่ายเป็นประจำ | |
| ข้อกำหนดที่ 4: ปกป้องข้อมูลผู้ถือบัตรด้วยวิทยาการเข้ารหัสที่รัดกุมระหว่างการส่ง ผ่านเครือข่ายแบบเปิดและสาธารณะ | |
| ข้อกำหนดที่ 3: ปกป้องข้อมูลบัญชีที่จัดเก็บไว้ | |
| ข้อกำหนดที่ 4: ปกป้องข้อมูลผู้ถือบัตรด้วยวิทยาการเข้ารหัสที่รัดกุมระหว่างการส่ง ผ่านเครือข่ายแบบเปิดและสาธารณะ |
หากต้องการรับใบรับรองการปฏิบัติตามมาตรฐานความปลอดภัยของข้อมูล PCI (AOC) ให้เปิดคำขอแจ้งปัญหากับทีมสนับสนุนของ Apigee หรือติดต่อทีมขายของ Apigee
ติดตาม / แก้ไขข้อบกพร่อง
Trace/Debug เป็นเครื่องมือแก้ปัญหาที่ช่วยให้ผู้ใช้ดูสถานะและเนื้อหาของ การเรียก API ขณะที่ประมวลผลผ่าน Apigee Message Processor ได้ Trace และ Debug เป็นชื่อของบริการเดียวกัน แต่เข้าถึงผ่านกลไกที่แตกต่างกัน Trace คือชื่อของบริการนี้ ภายใน UI ของ Edge Debug คือชื่อของบริการเดียวกันเมื่อใช้ผ่านการเรียก API การใช้คำว่า "Trace" ในเอกสารนี้ใช้ได้ทั้งกับ Trace และ Debug
ในระหว่างเซสชันการติดตาม ระบบจะบังคับใช้ "การมาสก์ข้อมูล" เครื่องมือนี้สามารถบล็อกไม่ให้แสดงข้อมูลในระหว่างการติดตามได้ ดูส่วนการมาสก์ข้อมูลด้านล่าง
คุณอาจใช้แผนที่ค่าคีย์ (KVM) ที่เข้ารหัสสำหรับลูกค้า PCI หากใช้ KVM ที่เข้ารหัส คุณอาจยังใช้ Trace ได้ แต่ตัวแปรบางอย่างจะไม่ปรากฏในหน้าจอแสดงผลของ Trace คุณสามารถทำตามขั้นตอนเพิ่มเติมเพื่อแสดงตัวแปรเหล่านี้ในระหว่างการติดตามได้ด้วย
ดูวิธีการใช้ Trace โดยละเอียดได้ที่การใช้เครื่องมือ Trace
ดูรายละเอียดเกี่ยวกับ KVM รวมถึง KVM ที่เข้ารหัสได้ที่การทำงานกับแมปค่าคีย์
การใช้งาน/การให้สิทธิ์
การเข้าถึง Trace จะได้รับการจัดการผ่านระบบ RBAC (การควบคุมการเข้าถึงตามบทบาท) สำหรับบัญชีผู้ใช้ ภายใน Edge ดูวิธีการโดยละเอียดเกี่ยวกับการใช้ระบบ RBAC เพื่อให้และเพิกถอนสิทธิ์ของ Trace ได้ที่การมอบหมายบทบาทและการสร้างบทบาทที่กำหนดเองใน UI สิทธิ์การติดตามอนุญาตให้ผู้ใช้เปิดใช้ หยุด และเข้าถึงเอาต์พุตจากเซสชันการติดตาม
เนื่องจาก Trace มีสิทธิ์เข้าถึงเพย์โหลดของการเรียก API (เดิมเรียกว่า "เนื้อความของข้อความ") จึงควรพิจารณาว่าใครมีสิทธิ์เรียกใช้ Trace เนื่องจากการจัดการผู้ใช้เป็นความรับผิดชอบของลูกค้า การให้สิทธิ์การติดตามจึงเป็นความรับผิดชอบของลูกค้าด้วยเช่นกัน Apigee ในฐานะเจ้าของแพลตฟอร์มมีสิทธิ์เพิ่มผู้ใช้ในองค์กรของลูกค้าและมอบหมายสิทธิ์ ความสามารถนี้จะใช้เมื่อลูกค้าขอรับการสนับสนุนในกรณีที่ดูเหมือนว่าฝ่ายบริการลูกค้าไม่สามารถแก้ไขปัญหาได้ และเชื่อว่าการตรวจสอบเซสชันการติดตามจะให้ข้อมูลที่ดีที่สุดเกี่ยวกับสาเหตุที่แท้จริง
การมาสก์ข้อมูล
การมาสก์ข้อมูลจะป้องกันการแสดงข้อมูลที่ละเอียดอ่อนในระหว่างเซสชันการติดตาม/การแก้ไขข้อบกพร่องเท่านั้น ทั้งใน Trace (Edge UI) และในแบ็กเอนด์โดย Debug (Edge API) ดูรายละเอียดวิธีตั้งค่าการมาสก์ได้ที่การมาสก์และการซ่อนข้อมูล การมาสก์ข้อมูลที่ละเอียดอ่อนเป็นส่วนหนึ่งของข้อกำหนด PCI ข้อที่ 3 - ปกป้องข้อมูลผู้ถือบัตรที่จัดเก็บไว้
การมาสก์ข้อมูลไม่ได้ป้องกันไม่ให้ข้อมูลปรากฏในไฟล์บันทึก แคช ข้อมูลวิเคราะห์ ฯลฯ หากต้องการความช่วยเหลือเกี่ยวกับการมาสก์ข้อมูลในบันทึก ให้พิจารณาเพิ่มรูปแบบ Regex ลงในไฟล์ logback.xml โดยปกติแล้วไม่ควรเขียนข้อมูลที่ละเอียดอ่อนลงในแคชหรือการวิเคราะห์โดยไม่มีเหตุผลทางธุรกิจที่ชัดเจน และไม่มีการตรวจสอบโดยทีมรักษาความปลอดภัยและทีมกฎหมายของลูกค้า
แคช L1 และ L2
การแคชพร้อมให้บริการแก่ลูกค้า PCI เพื่อใช้กับข้อมูลที่ไม่มีการควบคุมเท่านั้น ไม่ควรใช้แคชสำหรับข้อมูลผู้ถือบัตร (CHD) ของ PCI เนื่องจากไม่ได้รับการอนุมัติจากการตรวจสอบการปฏิบัติตามข้อกำหนด PCI ของ Apigee ให้เป็นตำแหน่งจัดเก็บ CHD ตามคำแนะนำของ PCI (ข้อกำหนด 3: ปกป้องข้อมูลผู้ถือบัตรที่จัดเก็บไว้) ควรจัดเก็บข้อมูล PCI ไว้ในตำแหน่งที่สอดคล้องกับ PCI เท่านั้น การใช้แคช L1 จะใช้แคช L2 โดยอัตโนมัติด้วย แคช L1 เป็น "หน่วยความจำ เท่านั้น" ในขณะที่แคช L2 จะเขียนข้อมูลลงในดิสก์เพื่อซิงค์ในแคช L1 หลายรายการ แคชระดับ 2 คือสิ่งที่ช่วยให้ Message Processor หลายรายการซิงค์กันภายในภูมิภาคและทั่วโลก ขณะนี้ยังไม่สามารถเปิดใช้แคช L1 โดยไม่มีแคช L2 อยู่เบื้องหลังได้ แคช L2 จะเขียนข้อมูลลงในดิสก์เพื่อให้ซิงค์กับตัวประมวลผลข้อความอื่นๆ สำหรับองค์กรของลูกค้าได้ เนื่องจาก แคช L2 จะเขียนข้อมูลลงในดิสก์ จึงไม่รองรับการใช้แคชสำหรับ CHD หรือข้อมูลอื่นๆ ที่ถูกจำกัด
ลูกค้าได้รับอนุญาตให้ใช้แคชสำหรับข้อมูลที่ไม่ใช่ CHD และข้อมูลอื่นๆ ที่ไม่มีข้อจำกัด เราจะไม่ปิดใช้แคชโดยค่าเริ่มต้นสำหรับลูกค้า PCI เนื่องจากลูกค้าบางรายเรียกใช้ทั้ง API ที่เกี่ยวข้องกับ PCI และที่ไม่เกี่ยวข้องกับ PCI ผ่านองค์กรเดียว เนื่องจากความสามารถนี้ยังคงเปิดใช้สำหรับลูกค้า PCI อยู่ ลูกค้าจึงมีหน้าที่รับผิดชอบในการใช้บริการอย่างเหมาะสมและฝึกอบรมผู้ใช้ไม่ให้ใช้แคชเมื่อมีแนวโน้มว่าข้อมูล PCI จะอยู่ในการเรียก API การตรวจสอบการปฏิบัติตามข้อกำหนด PCI ของ Apigee ไม่รองรับ CHD ที่จัดเก็บไว้ในแคช
ดูวิธีการโดยละเอียดเกี่ยวกับการใช้แคชได้ที่การเพิ่มการแคชและการคงอยู่
บันทึกการตรวจสอบ
ลูกค้าสามารถตรวจสอบบันทึกการตรวจสอบกิจกรรมการดูแลระบบทั้งหมด ที่ดำเนินการภายในองค์กรของลูกค้า รวมถึงการใช้ Trace ดูวิธีการโดยละเอียดได้ที่นี่และที่การใช้เครื่องมือติดตาม (PCI ข้อกำหนดที่ 10: ติดตามและตรวจสอบการเข้าถึงทรัพยากรเครือข่ายและข้อมูลผู้ถือบัตรทั้งหมด)
ข้อกำหนดด้านรหัสผ่านที่ซับซ้อนหรือ SAML
ลูกค้าที่มีข้อกำหนดด้านรหัสผ่านที่เฉพาะเจาะจงควรใช้ SAML เพื่อให้เป็นไปตามข้อกำหนดของตนเอง ดูการเปิดใช้การตรวจสอบสิทธิ์ SAML สำหรับ Edge Edge ยังมีการตรวจสอบสิทธิ์แบบหลายปัจจัย (ข้อกำหนด PCI ข้อที่ 8: กำหนดรหัสที่ไม่ซ้ำกันให้แก่ผู้ใช้แต่ละคนที่มีสิทธิ์เข้าถึงคอมพิวเตอร์) ดูเปิดใช้ การตรวจสอบสิทธิ์แบบ 2 ปัจจัยสำหรับบัญชี Apigee
ความปลอดภัยของอุปกรณ์ปลายทาง
การสแกนอุปกรณ์ปลายทาง
การสแกนและการทดสอบโฮสต์เป็นข้อกำหนดในการปฏิบัติตามข้อกำหนดของ PCI (ข้อกำหนด 11: ทดสอบระบบและกระบวนการรักษาความปลอดภัยเป็นประจำ) สำหรับ Edge Cloud ลูกค้ามีหน้าที่รับผิดชอบ ในการสแกนและทดสอบปลายทาง API (บางครั้งเรียกว่า "คอมโพเนนต์รันไทม์") ใน Edge การทดสอบของลูกค้าควรครอบคลุมบริการพร็อกซี API จริงที่โฮสต์ใน Edge ซึ่งจะส่งการเข้าชม API ไปยัง Edge ก่อนที่จะประมวลผล แล้วจึงส่งไปยังศูนย์ข้อมูลของลูกค้า การทดสอบทรัพยากรที่ใช้ร่วมกัน เช่น UI ของพอร์ทัลการจัดการ ไม่ได้รับอนุมัติสำหรับลูกค้าแต่ละราย (ลูกค้าสามารถดูรายงานของบุคคลที่สามเกี่ยวกับการทดสอบบริการที่ใช้ร่วมกันได้ภายใต้ข้อตกลงไม่เปิดเผยความลับและเมื่อมีการร้องขอ)
ลูกค้าควรและขอแนะนำให้ทดสอบปลายทาง API ข้อตกลงของคุณกับ Apigee ไม่ได้ห้ามการทดสอบปลายทาง API แต่เราไม่อนุญาตให้คุณทดสอบ UI การจัดการที่แชร์ แต่หากต้องการคำชี้แจงเพิ่มเติม โปรดเปิดคำขอรับการสนับสนุน โดยอ้างอิงถึงการทดสอบที่คุณวางแผนไว้ เราขอขอบคุณหากคุณแจ้งให้ Apigee ทราบล่วงหน้าเพื่อให้เรา ทราบเกี่ยวกับการเข้าชมที่เกิดจากการทดสอบ
ลูกค้าที่ทดสอบปลายทางควรตรวจสอบปัญหาที่เฉพาะเจาะจงของ API ปัญหาที่เกี่ยวข้อง กับบริการ Apigee รวมถึงตรวจสอบ TLS และรายการอื่นๆ ที่กำหนดค่าได้ หากพบรายการที่เกี่ยวข้องกับบริการ Apigee คุณควรแจ้งให้ Apigee ทราบผ่านคำขอรับการสนับสนุน
รายการส่วนใหญ่ที่เกี่ยวข้องกับปลายทางเป็นรายการที่ลูกค้าดำเนินการด้วยตนเองและแก้ไขได้โดย การตรวจสอบเอกสารประกอบของ Edge หากมีรายการที่ไม่ชัดเจนว่าจะแก้ไขอย่างไร โปรด เปิดคำขอรับการสนับสนุน
การกำหนดค่า TLS
ตามมาตรฐาน PCI คุณต้องย้ายข้อมูล SSL และ TLS เวอร์ชันแรกๆ ไปยังเวอร์ชันที่ปลอดภัย ลูกค้ามีหน้าที่รับผิดชอบในการกำหนดและกำหนดค่าปลายทาง TLS ของตนเองสำหรับพร็อกซี API นี่คือฟีเจอร์แบบบริการตนเองใน Edge ข้อกำหนดของลูกค้าเกี่ยวกับการเข้ารหัส โปรโตคอล และอัลกอริทึม ที่เลือกนั้นแตกต่างกันอย่างมากและเฉพาะเจาะจงสำหรับกรณีการใช้งานแต่ละกรณี เนื่องจาก Apigee ไม่ทราบรายละเอียดการออกแบบ API และเพย์โหลดข้อมูลของลูกค้าทุกราย ลูกค้าจึงมีหน้าที่รับผิดชอบในการกำหนดการเข้ารหัสที่เหมาะสมสำหรับข้อมูลที่อยู่ระหว่างการส่ง ดูวิธีการกำหนดค่า TLS โดยละเอียดได้ที่ TLS/SSL
การจัดเก็บข้อมูล
Edge ไม่จำเป็นต้องจัดเก็บข้อมูลเพื่อให้ทำงานได้อย่างถูกต้อง อย่างไรก็ตาม มีบริการ สำหรับการจัดเก็บข้อมูลใน Edge ลูกค้าอาจเลือกใช้แคช แผนที่คีย์-ค่า หรือข้อมูลวิเคราะห์สำหรับการจัดเก็บข้อมูล บริการเหล่านี้ไม่ได้รับอนุญาตให้จัดเก็บ CHD ตามการตรวจสอบ PCI ของ Apigee ตามข้อกำหนด 3 ของ PCI (ปกป้องข้อมูลผู้ถือบัตรที่จัดเก็บไว้) ควรจัดเก็บข้อมูล PCI ไว้ในสถานที่ที่ปฏิบัติตามข้อกำหนดของ PCI เท่านั้น ลูกค้าสามารถใช้บริการเหล่านี้เพื่อจัดเก็บข้อมูลที่ไม่ใช่ PCI หรือ ข้อมูลอื่นๆ ที่ไม่มีข้อจำกัด โดยขึ้นอยู่กับข้อกำหนดด้านความปลอดภัยและกฎหมายของลูกค้า บริการเหล่านี้ เป็นรายการที่ลูกค้าทำได้ด้วยตนเอง ดังนั้นลูกค้าจึงมีหน้าที่รับผิดชอบในการกำหนดค่าไม่ให้ บันทึกหรือจัดเก็บ CHD เราขอแนะนำให้ผู้ดูแลระบบลูกค้าตรวจสอบการกำหนดค่า นโยบาย และการติดตั้งใช้งาน เพื่อหลีกเลี่ยงการใช้บริการพื้นที่เก็บข้อมูลใน Edge โดยไม่ตั้งใจหรือในลักษณะที่เป็นอันตราย ซึ่งไม่เป็นไปตามข้อกำหนด
การเข้ารหัสข้อมูล
เราไม่ได้เสนอเครื่องมือเข้ารหัสข้อมูลให้ลูกค้าใช้ภายใน Edge อย่างไรก็ตาม ลูกค้าสามารถเข้ารหัสข้อมูล PCI ก่อนส่งไปยัง Edge ได้ PCI ข้อกำหนดที่ 4: (เข้ารหัสการส่งข้อมูลผู้ถือบัตรผ่านเครือข่ายสาธารณะแบบเปิด) ขอแนะนำให้เข้ารหัสข้อมูลผู้ถือบัตรผ่านเครือข่ายสาธารณะแบบเปิด ข้อมูลที่เข้ารหัสในเพย์โหลด (หรือเนื้อหาข้อความ) ไม่ได้ป้องกันไม่ให้ Edge ทำงาน นโยบายบางอย่างของ Edge อาจโต้ตอบกับข้อมูลไม่ได้หากลูกค้าส่งข้อมูลที่เข้ารหัส ตัวอย่างเช่น การเปลี่ยนรูปแบบ จะทำไม่ได้หาก Edge ไม่สามารถเข้าถึงข้อมูลเพื่อทำการเปลี่ยนแปลง แต่นโยบายอื่นๆ รวมถึงนโยบายและแพ็กเกจที่ลูกค้าสร้างขึ้นจะยังคงทำงานได้แม้ว่าเพย์โหลดข้อมูลจะได้รับการเข้ารหัสก็ตาม