Paylaşılan sorumluluk
Erişim ve ağdan sanal makinelerinizdeki yazılım ve verilere kadar güvenliğin hangi kısımlarını Bulutistan Cloud’un, hangilerini sizin üstlendiğinizi öğrenin.
Bulutistan Cloud’da güvenlik paylaşılan bir sorumluluktur. Bulutistan; tesisleri, bulutu ve kaynaklarınızı yönettiğiniz platformu güvenli hâle getirir. Siz de platformda oluşturduğunuz ve sakladığınız her şeyi güvenli hâle getirirsiniz: kimlerin erişebildiğini, sanal makineleriniz ile ağlarınızın nasıl yapılandırıldığını ve verilerinizin nasıl korunduğunu.
Bir bakışta sorumluluklar
| Alan | Bulutistan Cloud | Siz |
|---|---|---|
| Tesisler ve donanım | Kaynaklarınızın çalıştığı bölgelerin (örneğin Istanbul 1) tesislerini ve bulutunu işletir. | — |
| Platforma erişim | Her API isteğinin kimliğini doğrular; belirlediğiniz rolleri, belirteç kapsamlarını, IP izin listelerini ve iki adımlı doğrulama zorunluluğunu uygular. | Kimin hangi rolü alacağına karar verin, iki adımlı doğrulamayı zorunlu kılın ve ayrılan kişileri kaldırın. |
| Müşteriler arasında ayrım | Her kuruluşun kaynaklarını ve kayıtlarını birbirinden ayrı tutar. | — |
| Kimlik bilgileri | API belirteçlerinin ve anahtarların gizli anahtarlarını yalnızca bir kez gösterir ve kimlik bilgilerini her istekte denetler. | Gizli anahtarları güvenle saklayın, kısa ömürler verin ve sızmış olabileceklerinde iptal edin. |
| Ağ | Tanımladığınız güvenlik grubu kurallarını sanal makinelerinizin trafiğine uygular. | Kuralları yazın ve hangi sanal makinelerin genel adres alacağına karar verin. |
| Sanal makineler | Sanal makineleri seçtiğiniz imajdan; ayarladığınız SSH anahtarları, yönetici hesabı ve kullanıcı verisiyle başlatır. | İşletim sistemini ve içindeki yazılımı güncel tutun; işletim sistemindeki hesapları yönetin. |
| Veriler | Disklerinizi, anlık görüntülerinizi, yedeklerinizi ve nesnelerinizi projelerinin bölgesinde saklar; konsol ve REST API, silme koruması olan sanal makineleri ve diskleri silmeyi reddeder. | Diskleri yedekleme planlarına atayın, silme korumasını açın ve duraktayken şifrelenmesi gereken verileri şifreleyin. |
| Denetim | Denetim ve etkinlik kayıtları sayfasında listelenen işlemleri aktör, zaman ve sonuçla birlikte kaydeder. | Kayıtları gözden geçirin ve saklamanız gerekenleri dışa aktarın. |
Bulutistan Cloud’un sorumlulukları
Tesisler ve bulut. Bulutistan, platformunuzun sunduğu bölgelerin tesislerini ve OpenStack bulutunu işletir. Örneğin Istanbul 1, Türkiye’deki Bulutistan veri merkezlerinde çalışır.
Erişim denetimi. Her API isteği, çağıranı tanımlayan ve çağıranın projeye erişimini denetleyen bir API ağ geçidinden geçer. Ağ geçidi denetim yapamadığında isteği reddeder. Platform; verdiğiniz rolleri, API belirteçlerinin kapsamları ile IP izin listelerini ve mevcut üyeler için iki adımlı doğrulama zorunluluğunu uygular.
Müşteriler arasında ayrım. Projelerinizin her biri, bölgenin bulutunda ayrı bir projedir. Platformun veritabanında satır düzeyinde güvenlik, her kuruluşun kayıtlarını birbirinden ayrı tutar; erişemediğiniz bir projeye yönelik istek, proje yokmuş gibi yanıtlanır.
Kimlik bilgileri. Bir API belirtecinin veya servis hesabı anahtarının gizli anahtarı yalnızca bir kez gösterilir. Platform taşıyıcı (bearer) kimlik bilgilerini her istekte denetlediği için bir belirteci iptal etmek, belirtecin bir sonraki isteğinde etkili olur. Bir sanal makinenin tarayıcı konsolu, bir kez çalışan ve 60 saniye sonra süresi dolan bir biletle açılır.
Koruma ayarlarınız. Bir sanal makine veya disk için silme korumasını açtığınızda konsol ve REST API, siz korumayı kapatana kadar onu silmeyi reddeder.
Sizin sorumluluklarınız
Kimlik ve erişim. Her üyeye, işini görecek en dar kapsamda en dar rolü verin. Tüm üyeler için 2FA'yı zorunlu kıl ayarıyla mevcut üyeler için iki adımlı doğrulamayı zorunlu kılın. Biri ayrıldığında onu kaldırın: kaldırdığınızda kişinin API belirteçleri iptal edilir.
Kimlik bilgileri. API belirteçlerini, servis hesabı anahtarlarını ve uygulama kimlik bilgilerini kodun ve sürüm kontrolünün dışında tutun. API belirteçlerine ve uygulama kimlik bilgilerine sona erme tarihi verin; API belirteçlerini ihtiyaç duydukları kapsamlar ve kaynak adreslerle sınırlayın. Servis hesabı anahtarının süresi her zaman 365 gün sonra dolar; bu nedenle anahtarı bu süre dolmadan değiştirin. Sızmış olabilecek her kimlik bilgisini iptal edin.
Ağ açıklığı. Hangi trafiğin sanal makinelerinize ulaşacağına güvenlik grupları karar verir. Yalnızca iş yüklerinizin ihtiyaç duyduğu bağlantı noktalarını en dar kaynak aralıklarından açın ve genel adresi yalnızca ihtiyacı olan sanal makinelere verin.
Sanal makinelerinizin içi. SSH anahtarlarınız ve ayarladığınız yönetici hesabı, sanal makine ilk kez önyüklendiğinde eklenir; kullanıcı verisi de yalnızca ilk önyüklemede çalışır. Bundan sonra işletim sistemini, güncellemelerini, hesaplarını ve üzerindeki yazılım ile verileri siz yönetirsiniz.
Veri koruma. Backup Center yalnızca bir yedekleme planına atadığınız diskleri yedekler. Hangi diskleri koruyacağınızı seçin ve kaybedemeyeceğiniz diskler için silme korumasını açık tutun. Duraktayken şifrelenmesi gereken verileri kendiniz şifreleyin; örneğin sanal makinenin işletim sisteminde ya da nesneleri yüklemeden önce. Bkz. Şifreleme.
İzleme ve müdahale. Activity Log kayıtlarını gözden geçirin ve sizin için önemli kaynaklara yönelik alarm kuralları oluşturun.
Örnek
Veri diski olan bir sanal makinede bir web uygulaması çalıştırıyorsunuz:
- Bulutistan; veri merkezini, bulutu ve platformun erişim denetimini çalışır ve güvenli durumda tutar.
- Siz imajı seçer ve web sunucusu yazılımını güncel tutarsınız; sanal makinenin güvenlik grubunda internetten yalnızca 80 ve 443 numaralı bağlantı noktalarına izin verir ve ekip üyelerinize işlerine uygun roller verirsiniz.
- Veri diskini bir yedekleme planına atar, sanal makine ve disk için silme korumasını açar ve uygulamanın API belirtecini bir gizli anahtar deposunda saklarsınız.