Paylaşılan məsuliyyət
Təhlükəsizlikdə Bulutistan Cloud-un və sizin nəyə cavabdeh olduğunuzu öyrənin: girişdən və şəbəkədən virtual maşınlardakı proqram və məlumatlara qədər.
Bulutistan Cloud-da təhlükəsizlik paylaşılan məsuliyyətdir. Bulutistan fiziki obyektləri, buludu və resurslarınızı idarə etdiyiniz platformanı qoruyur. Siz isə platformada qurduğunuz və saxladığınız hər şeyi qoruyursunuz: ona kimin girişi olduğunu, virtual maşınlarınızın (instance) və şəbəkələrinizin (network) necə konfiqurasiya edildiyini və məlumatlarınızın necə qorunduğunu.
Məsuliyyətlərin icmalı
| Sahə | Bulutistan Cloud | Siz |
|---|---|---|
| Fiziki obyektlər və avadanlıq | Resurslarınızın işlədiyi regionların, məsələn, Istanbul 1 regionunun fiziki obyektlərini və buludunu idarə edir. | — |
| Platformaya giriş | Hər API sorğusunu autentifikasiyadan keçirir və təyin etdiyiniz rolları, token miqyaslarını (scope), IP icazə siyahılarını (IP allowlist) və iki faktorlu autentifikasiya (two-factor authentication) tələbini tətbiq edir. | Hansı rolun kimə verilməsinə qərar verin, iki faktorlu autentifikasiyanı tələb edin və ayrılan şəxsləri silin. |
| Müştərilərin bir-birindən ayrılması | Hər tenant-ın resurslarını və qeydlərini ayrı saxlayır. | — |
| Giriş məlumatları | API tokenlərinin (API token) və açarların sirlərini (secret) bir dəfə göstərir və giriş məlumatlarını hər sorğuda yoxlayır. | Sirləri təhlükəsiz saxlayın, onlara qısa qüvvədə olma müddəti verin və sızma ehtimalı olduqda onları ləğv edin. |
| Şəbəkə | Müəyyən etdiyiniz təhlükəsizlik qrupu (security group) qaydalarını virtual maşınlarınızın trafikinə tətbiq edir. | Qaydaları yazın və ictimai ünvanların hansı virtual maşınlara verilməsinə qərar verin. |
| Virtual maşınlar | Virtual maşınları seçdiyiniz obrazdan (image), təyin etdiyiniz SSH açarları, administrator hesabı və istifadəçi məlumatları (user data) ilə başladır. | Əməliyyat sistemini və daxildəki proqram təminatını yenilənmiş vəziyyətdə saxlayın və oradakı hesabları idarə edin. |
| Məlumatlar | Disklərinizi (volume), ani görüntülərinizi (snapshot), ehtiyat nüsxələrinizi (backup) və obyektlərinizi (object) onların layihəsinin (project) regionunda saxlayır; konsol və REST API silinmədən qoruması (deletion protection) olan virtual maşınları və diskləri silməkdən imtina edir. | Diskləri ehtiyat nüsxə planlarına (backup plan) təyin edin, silinmədən qorumanı aktivləşdirin və saxlanma zamanı şifrlənməli olan məlumatları şifrləyin. |
| Audit | Audit və fəaliyyət qeydləri səhifəsində sadalanan əməliyyatları icraçı (actor), vaxt və nəticə ilə birlikdə qeydə alır. | Qeydləri nəzərdən keçirin və saxlamalı olduğunuz qeydləri ixrac edin. |
Bulutistan Cloud nəyə cavabdehdir
Fiziki obyektlər və bulud. Bulutistan platformanızın təklif etdiyi regionların fiziki obyektlərini və OpenStack buludunu idarə edir. Məsələn, Istanbul 1 Türkiyədəki Bulutistan data mərkəzlərində işləyir.
Girişə nəzarət. Hər API sorğusu API şlüzündən keçir: şlüz çağıranı müəyyən edir və onun layihəyə girişini yoxlayır. Yoxlamaq mümkün olmadıqda şlüz sorğunu rədd edir. Platforma verdiyiniz rolları, API tokenlərinin miqyaslarını və IP icazə siyahılarını, həmçinin mövcud üzvlər üçün iki faktorlu autentifikasiya tələbini tətbiq edir.
Müştərilərin bir-birindən ayrılması. Layihələrinizin hər biri regionun buludunda ayrıca layihədir. Platformanın verilənlər bazasında sətirlər səviyyəsində təhlükəsizlik hər tenant-ın qeydlərini ayrı saxlayır, girişiniz olmayan layihə üçün sorğuya isə sanki layihə mövcud deyilmiş kimi cavab verilir.
Giriş məlumatları. API tokeninin və ya xidmət hesabı (service account) açarının sirri bir dəfə göstərilir. Platforma bearer giriş məlumatlarını hər sorğuda yoxladığı üçün tokenin ləğvi onun növbəti sorğusunda qüvvəyə minir. Virtual maşının brauzer konsolu bir dəfə işləyən və 60 saniyədən sonra müddəti bitən giriş bileti ilə açılır.
Qoruma parametrləriniz. Virtual maşın və ya disk üçün silinmədən qorumanı aktivləşdirdikdə konsol və REST API siz qorumanı qeyri-aktiv edənə qədər onu silməkdən imtina edir.
Siz nəyə cavabdehsiniz
Kimlik və giriş. Hər üzvə işini görməyə kifayət edən ən məhdud rolu ən dar miqyasda verin. Enforce 2FA for all members dəyişdirici düyməsi ilə mövcud üzvlər üçün iki faktorlu autentifikasiyanı tələb edin. Kimsə ayrıldıqda onu silin: bunu etdikdə onun API tokenləri ləğv edilir.
Giriş məlumatları. API tokenlərini, xidmət hesabı açarlarını və tətbiq giriş məlumatlarını (application credential) kodda və versiya nəzarəti sistemində saxlamayın. API tokenlərinə və tətbiq giriş məlumatlarına bitmə tarixi verin, API tokenlərini isə onlara lazım olan miqyaslar və mənbə ünvanları ilə məhdudlaşdırın. Xidmət hesabı açarının müddəti həmişə 365 gündən sonra bitir, ona görə onu bundan əvvəl əvəz edin. Sızma ehtimalı olan istənilən giriş məlumatını ləğv edin.
Şəbəkədən əlçatanlıq. Təhlükəsizlik qrupları virtual maşınlarınıza hansı trafikin çatdığını müəyyən edir. Yalnız iş yüklərinizə lazım olan portları mümkün qədər dar mənbə diapazonlarından açın və ictimai ünvanı yalnız ona ehtiyacı olan virtual maşınlara verin.
Virtual maşınlarınızın daxili. SSH açarlarınız və qurduğunuz administrator hesabı virtual maşın ilk dəfə yükləndikdə əlavə olunur, istifadəçi məlumatları isə yalnız ilk yükləmədə icra olunur. Bundan sonra əməliyyat sistemini, onun yeniləmələrini və hesablarını, həmçinin oradakı proqram təminatını və məlumatları siz idarə edirsiniz.
Məlumatların qorunması. Backup Center yalnız ehtiyat nüsxə planına təyin etdiyiniz disklərin ehtiyat nüsxəsini çıxarır. Qorumaq istədiyiniz diskləri seçin və itirilməsi yolverilməz olan disklər üçün silinmədən qorumanı aktiv saxlayın. Saxlanma zamanı şifrlənməli olan məlumatları özünüz şifrləyin, məsələn, virtual maşının əməliyyat sistemində və ya obyektləri yükləməzdən əvvəl. Şifrləmə səhifəsinə baxın.
Monitorinq və reaksiya. Activity Log-u nəzərdən keçirin və sizin üçün vacib olan resurslar üçün xəbərdarlıq qaydaları (alert rule) qurun.
Nümunə
Məlumat diski (data disk) olan virtual maşında veb tətbiq işlədirsiniz:
- Bulutistan data mərkəzinin, buludun və platformanın girişə nəzarət sisteminin işləməsini və təhlükəsizliyini təmin edir.
- Siz obrazı seçir və veb server proqram təminatını yenilənmiş saxlayır, virtual maşının təhlükəsizlik qrupunda internetdən yalnız 80 və 443 portlarına icazə verir və komanda üzvlərinizə işlərinə uyğun rollar verirsiniz.
- Siz məlumat diskini ehtiyat nüsxə planına təyin edir, virtual maşın və disk üçün silinmədən qorumanı aktivləşdirir və tətbiqin API tokenini sirr anbarında saxlayırsınız.