Google Cloud: 5種增強(qiáng)云存儲安全性和數(shù)據(jù)保護(hù)的方法

云存儲是許多現(xiàn)代企業(yè)的基礎(chǔ)技術(shù)，可幫助存儲大量數(shù)據(jù)，用戶可以輕松訪問和使用這些數(shù)據(jù)來支持現(xiàn)代數(shù)據(jù)項(xiàng)目。

對于每種Google Cloud產(chǎn)品而言，安全始終是重中之重。默認(rèn)情況下，Cloud Storage通過豐富的安全控制和審核能力來保護(hù)數(shù)據(jù)。讓我們看一下Cloud Storage中可用的一些新安全功能。

云存儲安全性的新增功能

Cloud Storage的V4簽名支持

GA（Google Analytics）目前已推出Cloud Storage的V4簽名支持。V4簽名功能使客戶能夠生成具有有限權(quán)限和持續(xù)時(shí)間的簽名URL（也稱為預(yù)簽名URL），他們可以將其發(fā)布給不需要Google身份的客戶/用戶。基于簽名的身份驗(yàn)證（尤其是通過簽名的URL）是一種非常常見的安全措施，用于內(nèi)容存儲和交付，SaaS平臺和應(yīng)用程序以及分析（企業(yè)數(shù)據(jù)倉庫和分析管道）。

Cloud Storage服務(wù)帳戶的基于哈希的消息身份驗(yàn)證（HMAC）

可以管理和使用與Cloud Storage服務(wù)帳戶（而不是用戶帳戶）關(guān)聯(lián)的基于哈希的消息身份驗(yàn)證（HMAC）憑據(jù)。此功能無需依賴與用戶帳戶綁定的憑據(jù)，從而增強(qiáng)了身份驗(yàn)證和安全性。此功能還可以在安全性，身份驗(yàn)證設(shè)置和實(shí)踐方面在多個(gè)云供應(yīng)商之間無縫地互操作。

對Cloud IAM的統(tǒng)一存儲分區(qū)級訪問

Cloud Storage對Cloud Identity and Access Management（Cloud IAM）的支持,能夠按角色將訪問策略應(yīng)用于Cloud Storage用戶以及其他Google Cloud產(chǎn)品。新的統(tǒng)一存儲分區(qū)級訪問功能可以通過Cloud IAM策略統(tǒng)一配置對Cloud Storage資源的訪問，從而實(shí)現(xiàn)大規(guī)模的可管理性。啟用存儲分區(qū)級訪問后，只有存儲分區(qū)級的Cloud IAM權(quán)限才授予對該存儲分區(qū)及其包含的對象的訪問權(quán)限。

將云存儲安全最佳實(shí)踐付諸實(shí)踐

保護(hù)企業(yè)存儲數(shù)據(jù)需要提前考慮以保護(hù)數(shù)據(jù)免受新的威脅和挑戰(zhàn)。以下是使用這些新功能并幫助防止數(shù)據(jù)泄漏或黑客入侵的五個(gè)建議：

1.打開統(tǒng)一存儲分區(qū)級訪問權(quán)限及其組織策略

通過Cloud Storage統(tǒng)一存儲分區(qū)級訪問，可以為存儲分區(qū)配置和實(shí)施統(tǒng)一的Cloud IAM策略。啟用此功能還可以確保免受任何對象級ACL的侵害，這成為管理訪問（尤其是大規(guī)模訪問）的挑戰(zhàn)。此功能還提供了一種組織策略，如果需要，可以使用該策略在所有新存儲分區(qū)上強(qiáng)制使用統(tǒng)一的IAM訪問策略。在存儲分區(qū)級別執(zhí)行IAM策略可以幫助防止意外公開，如果用戶將單個(gè)對象公開，則在沒有此功能的情況下可能會發(fā)生這種情況。

此功能尤其對金融服務(wù)和大型高科技行業(yè)的客戶非常有用?？梢栽谛枰L問數(shù)據(jù)的開發(fā)人員/員工眾多但無法在公司外部公開的情況下大規(guī)模管理統(tǒng)一權(quán)限。

2.啟用限制域共享

打開統(tǒng)一存儲分區(qū)級訪問權(quán)限后，Cloud Storage中另一個(gè)有用的工具是在組織策略中強(qiáng)制實(shí)施限制域共享約束，以防止意外的公共數(shù)據(jù)共享或在組織外共享。借助此功能，組織和開發(fā)團(tuán)隊(duì)可以快速行動(dòng)，而安全和治理團(tuán)隊(duì)可以大規(guī)模實(shí)施安全性，并相信資源擁有適當(dāng)?shù)目刂茩?quán)。限制域共享可以與統(tǒng)一存儲分區(qū)級訪問結(jié)合使用，以配置堅(jiān)如磐石的訪問控制策略，并防止意外的公共暴露。

3.使用Cloud KMS加密Cloud Storage數(shù)據(jù)

關(guān)于數(shù)據(jù)訪問和控制的法規(guī)越來越嚴(yán)格。例如，GDPR（General Data Protection Regulation）使許多公司改變了收集，存儲和處理個(gè)人信息的方式。這個(gè)難題的重要部分是加密密鑰管理。Cloud KMS是Cloud Storage支持的云托管密鑰管理服務(wù)，可管理云存儲數(shù)據(jù)的加密密鑰?？梢陨?，使用，旋轉(zhuǎn)和銷毀AES256，RSA 2048，RSA 3072，RSA 4096，EC P256和EC P384加密密鑰。此功能提供了最新的加密管理，可以幫助制定各種規(guī)則。

4.使用Cloud Audit Logging審核Cloud Storage數(shù)據(jù)

Cloud Audit Logs可以查看用戶活動(dòng)和整個(gè)Google Cloud（包括Cloud Storage）中的數(shù)據(jù)訪問情況。云審計(jì)日志位于高度受保護(hù)的云存儲中，從而產(chǎn)生安全，不變且高度持久的審計(jì)跟蹤。用戶還可以使用Operations（以前稱為Stackdriver）API進(jìn)行編程訪問，并將Cloud Storage審核日志提取到威脅檢測分析系統(tǒng)中。

5.使用VPC Service Controls保護(hù)數(shù)據(jù)

使用VPC（Virtual Private Cloud）Service Controls，可以圍繞Cloud Storage服務(wù)資源配置安全范圍，并控制跨范圍邊界的數(shù)據(jù)泄露。例如，作為服務(wù)范圍一部分的VPC網(wǎng)絡(luò)中的VM可以從Cloud Storage存儲分區(qū)中讀取/寫入。拒絕從外圍訪問數(shù)據(jù)的任何嘗試。將Cloud Storage存儲分區(qū)置于VPC Service Control安全邊界之后，可以為Cloud Storage數(shù)據(jù)提供類似于私有云的安全狀態(tài)。

文章來源：https://cloud.google.com/blog/products/storage-data-transfer/5-ways-to-enhance-your-cloud-storage-security-and-data-protection