Bạn đang xem tài liệu về Apigee Edge.
Chuyển đến tài liệu về
Apigee X. thông tin
Để một khách hàng đáp ứng tiêu chuẩn PCI hợp tác trên nền tảng đám mây công cộng Apigee Edge, khách hàng cần thực hiện một số biện pháp và quy trình theo "Mô hình trách nhiệm chung". Những mục sau đây phải được khách hàng đã mua gói tuân thủ PCI xem xét và những mục này bắt buộc phải tuân thủ quy định về PCI. Những mục này là tự phục vụ trong Edge và cần được giải quyết cho tổ chức của khách hàng (tổ chức) để tuân thủ PCI. Có một khái niệm bao quát là "Google sẽ bảo mật nền tảng, còn khách hàng sẽ bảo mật dữ liệu của họ".
Bảng minh hoạ trách nhiệm của khách hàng
Khách hàng nên tham khảo Bảng tính trách nhiệm PCI-DSS 3.2.1 của Google Apigee và chia sẻ thông tin này với Chuyên gia đánh giá bảo mật đủ điều kiện PCI của họ khi tiến hành kiểm tra PCI của riêng họ.
Liên kết các yêu cầu đối với PCI
| Yêu cầu về PCI | Section |
|---|---|
| Yêu cầu 7: Hạn chế quyền truy cập vào dữ liệu của chủ thẻ theo doanh nghiệp cần phải biết | |
| Yêu cầu 3: Bảo vệ dữ liệu được lưu trữ của chủ thẻ | |
| Yêu cầu 10: Theo dõi và giám sát tất cả quyền truy cập vào tài nguyên mạng và dữ liệu của chủ thẻ | |
| Yêu cầu 8: Chỉ định một mã nhận dạng duy nhất cho mỗi người có quyền truy cập vào máy tính | |
| Yêu cầu 11: Thường xuyên kiểm tra hệ thống và quy trình bảo mật | |
| Yêu cầu 4: Mã hoá quá trình truyền dữ liệu của chủ thẻ qua các mạng công khai, mở | |
| Yêu cầu 3: Bảo vệ dữ liệu được lưu trữ của chủ thẻ | |
| Yêu cầu 4: Mã hoá quá trình truyền dữ liệu của chủ thẻ qua các mạng công khai, mở |
Để có được Chứng chỉ tuân thủ tiêu chuẩn bảo mật dữ liệu PCI (AOC), hãy yêu cầu hỗ trợ qua Nhóm hỗ trợ Apigee hoặc liên hệ với nhóm bán hàng của Apigee.
Theo dõi / Gỡ lỗi
Theo dõi/Gỡ lỗi là một công cụ khắc phục sự cố cho phép người dùng xem trạng thái và nội dung của lệnh gọi API khi lệnh gọi đó được xử lý thông qua Trình xử lý thư Apigee. Theo dõi và Gỡ lỗi là hai tên của cùng một dịch vụ nhưng được truy cập thông qua các cơ chế khác nhau. Dấu vết là tên của dịch vụ này bên trong giao diện người dùng Edge. Gỡ lỗi là tên của cùng một dịch vụ khi được sử dụng thông qua các lệnh gọi API. Sử dụng thuật ngữ Theo dõi trong tài liệu này hợp lệ cho cả Theo dõi và Gỡ lỗi.
Trong phiên Theo dõi, chế độ "Che mặt nạ dữ liệu" sẽ được thực thi. Công cụ này có thể ngăn không cho dữ liệu hiển thị trong một công cụ Theo dõi. Hãy xem phần Che giấu dữ liệu bên dưới.
Có thể sử dụng Bản đồ giá trị khoá đã mã hoá (KVM) cho khách hàng PCI. Nếu bạn đang sử dụng một KVM đã mã hoá, thì bạn vẫn có thể sử dụng công cụ Theo dõi, nhưng một số biến sẽ không xuất hiện trên màn hình hiển thị công cụ Theo dõi. Bạn có thể thực hiện các bước bổ sung để hiển thị các biến này trong quá trình Theo dõi.
Bạn có thể xem hướng dẫn chi tiết về cách sử dụng công cụ Theo dõi trong bài viết Sử dụng công cụ Theo dõi.
Thông tin chi tiết về KVM, bao gồm cả KVM đã mã hoá, có trong bài viết Làm việc với bản đồ khoá giá trị.
Sử dụng/Uỷ quyền
Đối với tài khoản người dùng trong Edge, quyền truy cập vào Dấu vết được quản lý thông qua hệ thống RBAC (Kiểm soát quyền truy cập dựa trên vai trò) dành cho tài khoản người dùng trong Edge. Bạn có thể xem hướng dẫn chi tiết về cách dùng hệ thống RBAC để cấp và thu hồi đặc quyền Theo dõi tại phần Chỉ định vai trò và Tạo vai trò tuỳ chỉnh trong giao diện người dùng. Quyền truy cập cho phép người dùng khởi chạy một Dấu vết, dừng một Dấu vết, truy cập vào kết quả của một phiên Theo dõi.
Vì Dấu vết có quyền truy cập vào tải trọng của lệnh gọi API (trước đây gọi là "Nội dung thư"), nên cần phải xem xét ai có quyền truy cập để chạy Dấu vết. Vì việc quản lý người dùng là trách nhiệm của khách hàng, nên việc cấp quyền Theo dõi cũng là trách nhiệm của khách hàng. Với tư cách là chủ sở hữu nền tảng, Apigee có thể thêm người dùng vào tổ chức của khách hàng và chỉ định các đặc quyền. Khả năng này chỉ được dùng khi khách hàng yêu cầu hỗ trợ trong trường hợp dịch vụ khách hàng không hoạt động được và việc xem xét phiên Theo dõi được cho là sẽ cung cấp thông tin chính xác nhất về nguyên nhân gốc rễ.
Ẩn giấu dữ liệu
Tính năng che giấu dữ liệu chỉ ngăn hiển thị dữ liệu nhạy cảm trong phiên Theo dõi/Gỡ lỗi, cả trong Giao diện người dùng theo dõi (Giao diện người dùng Edge) và trong phần phụ trợ bằng Gỡ lỗi (API Edge). Bạn có thể xem thông tin chi tiết về cách thiết lập tính năng ẩn giấu dữ liệu trong bài viết Che giấu và ẩn dữ liệu. Việc che giấu dữ liệu nhạy cảm là một phần của Yêu cầu 3 – Bảo vệ dữ liệu của chủ thẻ đã lưu trữ
Tính năng che giấu dữ liệu KHÔNG ngăn dữ liệu xuất hiện trong các tệp nhật ký, bộ nhớ đệm, số liệu phân tích, v.v. Để được trợ giúp về việc ẩn giấu dữ liệu trong nhật ký, hãy cân nhắc thêm mẫu biểu thức chính quy vào tệp logback.xml. Thông thường, bạn không được ghi dữ liệu nhạy cảm vào bộ nhớ đệm hoặc mục phân tích khi không có lý do kinh doanh rõ ràng và phải được nhóm pháp lý và bảo mật của khách hàng xem xét.
Bộ nhớ đệm L1 và L2
Tính năng lưu vào bộ nhớ đệm chỉ dành cho khách hàng PCI để sử dụng với dữ liệu không được quản lý. Không được dùng bộ nhớ đệm cho Dữ liệu của chủ thẻ PCI (CHD). Bộ nhớ đệm này không được quy trình kiểm tra tính tuân thủ của Apigee Apigee được xem là vị trí lưu trữ cho CHD. Theo hướng dẫn về PCI (Yêu cầu 3: Bảo vệ dữ liệu của chủ thẻ đã lưu trữ) , chỉ nên lưu trữ dữ liệu PCI ở một vị trí tuân thủ PCI. Việc sử dụng bộ nhớ đệm L1 cũng sẽ tự động sử dụng bộ nhớ đệm L2. Bộ nhớ đệm L1 là "chỉ bộ nhớ" trong khi bộ nhớ đệm L2 ghi dữ liệu vào ổ đĩa để đồng bộ hoá giữa nhiều bộ nhớ đệm L1. Bộ nhớ đệm L2 giúp đồng bộ hoá nhiều Bộ xử lý thông báo trong một khu vực và trên toàn cầu. Hiện tại, bạn không thể bật bộ nhớ đệm L1 nếu không có bộ nhớ đệm L2. Bộ nhớ đệm L2 ghi dữ liệu vào ổ đĩa để có thể đồng bộ hoá với các trình xử lý thông báo khác cho tổ chức của khách hàng. Vì Bộ nhớ đệm L2 ghi dữ liệu vào ổ đĩa nên không được hỗ trợ sử dụng bộ nhớ đệm cho CHD hoặc các dữ liệu bị hạn chế khác.
Khách hàng được phép sử dụng bộ nhớ đệm đối với dữ liệu không phải CHD và dữ liệu không bị hạn chế khác. Theo mặc định, chúng tôi không vô hiệu hoá bộ nhớ đệm cho các khách hàng dùng PCI, vì một số khách hàng chạy cả các lệnh gọi API liên quan đến PCI và không liên quan đến PCI thông qua một tổ chức duy nhất. Vì chức năng này vẫn được bật cho khách hàng PCI, nên trách nhiệm của khách hàng là sử dụng dịch vụ một cách phù hợp và hướng dẫn người dùng của họ không sử dụng bộ nhớ đệm khi dữ liệu PCI có thể có trong lệnh gọi API. Quy trình kiểm tra trạng thái tuân thủ PCI của Apigee không hỗ trợ CHD được lưu trữ trong bộ nhớ đệm.
Bạn có thể xem hướng dẫn chi tiết về cách sử dụng Bộ nhớ đệm trong bài viết Thêm bộ nhớ đệm và tính năng lưu trữ cố định.
Biên bản kiểm tra
Khách hàng có thể xem lại biên bản kiểm tra của mọi hoạt động quản trị được thực hiện trong tổ chức của khách hàng, bao gồm cả việc sử dụng công cụ Theo dõi. Bạn có thể xem hướng dẫn chi tiết tại đây và trong bài viết Sử dụng công cụ Theo dõi. (Yêu cầu 10 về PCI: Theo dõi và giám sát mọi hoạt động truy cập vào tài nguyên mạng và dữ liệu của chủ thẻ)
Yêu cầu về mật khẩu phức tạp hoặc SAML
Những khách hàng có yêu cầu cụ thể về mật khẩu nên sử dụng SAML để đáp ứng các yêu cầu riêng của họ. Xem phần Bật tính năng xác thực SAML cho Edge. Edge cũng cung cấp tính năng xác thực đa yếu tố (Yêu cầu 8: Chỉ định một mã nhận dạng duy nhất cho mỗi người có quyền truy cập trên máy tính). Xem bài viết Bật tính năng xác thực hai yếu tố cho tài khoản Apigee.
Bảo mật thiết bị đầu cuối
Quét điểm cuối
Bạn cần quét và kiểm tra máy chủ để tuân thủ PCI (Yêu cầu 11: Thường xuyên kiểm tra các quy trình và hệ thống bảo mật). Đối với Edge Cloud, khách hàng sẽ chịu trách nhiệm quét và kiểm thử các điểm cuối API (đôi khi gọi là "thành phần thời gian chạy") trong Edge. Hoạt động kiểm thử của khách hàng phải bao gồm các dịch vụ proxy API thực tế được lưu trữ trên Edge, trong đó lưu lượng truy cập API được gửi đến Edge trước khi được xử lý, sau đó được gửi đến trung tâm dữ liệu khách hàng. Chúng tôi không phê duyệt việc thử nghiệm các tài nguyên dùng chung, chẳng hạn như giao diện người dùng của cổng quản lý, cho khách hàng cá nhân (báo cáo của bên thứ ba về việc thử nghiệm các dịch vụ dùng chung được cung cấp cho khách hàng theo thoả thuận không tiết lộ và theo yêu cầu).
Khách hàng nên và được khuyến khích kiểm thử các điểm cuối API của họ. Thoả thuận của bạn với Apigee không cấm việc kiểm thử các điểm cuối API, nhưng chúng tôi không cho phép bạn kiểm thử giao diện người dùng quản lý dùng chung. Mặc dù nếu cần phải giải thích thêm, vui lòng mở một yêu cầu hỗ trợ có đề cập đến thử nghiệm theo kế hoạch của bạn. Chúng tôi rất mong bạn thông báo trước cho Apigee để chúng tôi có thể nắm được lưu lượng truy cập đang thử nghiệm.
Những khách hàng kiểm thử điểm cuối nên tìm kiếm mọi vấn đề liên quan đến API, bất kỳ vấn đề nào liên quan đến các dịch vụ Apigee, đồng thời kiểm tra TLS và các mục có thể định cấu hình khác. Mọi mặt hàng được phát hiện có liên quan đến dịch vụ của Apigee nên được thông báo cho Apigee thông qua yêu cầu hỗ trợ.
Hầu hết các mục liên quan đến điểm cuối là các mục tự phục vụ của khách hàng và có thể khắc phục bằng cách xem tài liệu về Edge. Nếu có những mục không rõ cách khắc phục, vui lòng mở một yêu cầu hỗ trợ.
Cấu hình TLS
Theo tiêu chuẩn PCI, SSL và TLS sớm cần được di chuyển sang các phiên bản bảo mật. Khách hàng chịu trách nhiệm xác định và định cấu hình điểm cuối TLS của riêng mình cho các proxy API. Đây là một tính năng tự phục vụ trong Edge. Yêu cầu của khách hàng đối với những lựa chọn về mã hoá, giao thức và thuật toán rất đa dạng và phù hợp với từng trường hợp sử dụng. Vì Apigee không nắm được thông tin chi tiết về thiết kế API và tải trọng dữ liệu của mọi khách hàng, nên khách hàng có trách nhiệm xác định phương thức mã hoá phù hợp cho dữ liệu trong quá trình truyền. Bạn có thể xem hướng dẫn chi tiết về cấu hình TLS tại TLS/SSL.
Bộ nhớ dữ liệu
Edge không cần phải lưu trữ dữ liệu trong Edge để có thể hoạt động bình thường. Tuy nhiên, có một số dịch vụ để lưu trữ dữ liệu trong Edge. Khách hàng có thể chọn sử dụng bộ nhớ đệm, bản đồ khoá-giá trị hoặc số liệu phân tích để lưu trữ dữ liệu. Không có dịch vụ nào trong số này được phép lưu trữ CHD theo quy trình kiểm tra PCI của Apigee. Theo Yêu cầu PCI 3 (Bảo vệ dữ liệu của chủ thẻ được lưu trữ), bạn chỉ nên lưu trữ dữ liệu PCI ở những vị trí tuân thủ PCI. Khách hàng có thể sử dụng các dịch vụ này để lưu trữ dữ liệu không phải PCI hoặc những dữ liệu không bị hạn chế khác theo các yêu cầu về bảo mật và pháp lý của khách hàng. Những dịch vụ này là các mục tự phục vụ của khách hàng, vì vậy, khách hàng có trách nhiệm định cấu hình các dịch vụ này để không thu thập hoặc lưu trữ CHD. Quản trị viên của khách hàng nên xem xét cấu hình, chính sách và hoạt động triển khai để tránh việc vô tình sử dụng các dịch vụ lưu trữ dữ liệu trong Edge theo cách không tuân thủ hoặc vô tình .
Công nghệ mã hoá dữ liệu
Khách hàng không sử dụng được các công cụ mã hoá dữ liệu trong Edge. Tuy nhiên, khách hàng có thể thoải mái mã hoá dữ liệu PCI trước khi gửi sang Edge. Yêu cầu PCI 4: Mã hoá hoạt động truyền dữ liệu của chủ thẻ trên các mạng công khai, mở) đề xuất mã hoá dữ liệu của chủ thẻ trên các mạng công cộng mở. Dữ liệu đã mã hoá trong tải trọng (hoặc Nội dung thư) không ngăn Edge hoạt động. Một số chính sách của Edge có thể không tương tác được với dữ liệu nếu khách hàng đã mã hoá dữ liệu đó. Ví dụ: không thể chuyển đổi nếu bản thân dữ liệu không có sẵn cho Edge để thay đổi. Tuy nhiên, các chính sách cũng như gói dữ liệu do khách hàng tạo sẽ vẫn hoạt động ngay cả khi tải dữ liệu được mã hoá.