为 Backup and DR 配置网络弹性

稳健的备份策略对于网络弹性至关重要。 Google Cloud Backup and DR 是一种用于保护和恢复工作负载的托管解决方案。 本文档概述了架构建议和配置最佳实践，可帮助您构建防御体系，以应对未经授权的数据渗漏和勒索软件等网络威胁。

本指南详细介绍了使用 Google Cloud Backup and DR 设计安全且 弹性的备份策略的建议最佳实践。

准备工作

启用 Backup and DR API

所需的角色

如需获得创建和管理 Backup and DR 资源所需的权限，请让管理员向您授予项目的以下 IAM 角色：

如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

您也可以通过自定义 角色或其他预定义 角色来获取所需的权限。

实现集中式备份架构

架构完善的备份环境是限制安全漏洞范围的第一步。使用集中式模型将备份与生产系统隔离开来。此模型可限制网络攻击的影响，并简化数据保护管理。

  1. 创建中心项目：为备份保险柜创建一个专用且受限的 Google Cloud 项目。此项目充当备份的中央管理中心。
  2. 使用分支项目：将生产和开发工作负载包含在 单独的项目中。这种隔离可确保遭入侵的分支项目不会授予对存储恢复数据的中心项目的固有访问权限。

如需了解详情，请参阅备份保险柜架构。

配置 IAM 权限

保护备份管理凭据并限制访问权限，以防止未经授权删除备份。对备份项目应用最小权限原则。

  1. 分离角色：确保触发备份的用户与可以删除备份或修改保留政策的用户不是同一 用户。
  2. 限制管理员角色：限制具有 Backup and DR Admin 权限的用户数量。为大多数用户分配足以履行职责的 Viewer 或操作员角色。
  3. 管理服务代理权限：确保 Backup and DR Service 服务代理 在 spoke 项目中拥有捕获和 恢复数据所需的最低权限。
  4. 审核权限：定期审核服务代理的权限，以 防止权限蔓延。

如需了解详情，请参阅使用 IAM 控制访问权限。

配置备份保险柜安全功能

Backup and DR 提供内置功能，有助于确保备份数据不会被删除或更改。

  1. 启用不可变性：配置备份保险柜以指定和锁定 最短保留期限。此设置可防止任何用户（包括管理员）在保留期限到期之前删除备份数据。
  2. 使用组织政策强制执行不可变性：使用 Google Cloud 组织政策在所有 项目中强制使用不可变保险柜。
  3. 启用 CMEK：使用客户管理的加密密钥 (CMEK) 通过您通过 Cloud Key Management Service 管理的加密密钥来保护 备份数据。 您只能在创建备份保险柜时配置 CMEK。
  4. 使用多区域保险柜：使用 多区域保险柜跨多个地理区域存储数据。这可提高安全性，并确保在区域中断期间备份可用。
  5. 设置访问限制：限制保险柜对其 组织或项目的访问权限，以最大限度地减少未经授权的访问机会。您只能在创建保险柜期间配置此设置。

与 Security Command Center 集成

将 Backup and DR 与 Security Command Center 和 Google Security Operations 集成。 此集成可通过提醒提供对高风险活动的可见性。

集成这些服务后，您可以执行以下操作：

  • 针对关键操作（例如停用工作负载保护）获取即时通知。
  • 进行威胁调查，并找出可能受到影响的特定备份资源。
  • 将与备份相关的威胁整合到案例中，以便高效且有条理地缓解威胁。

如需了解详情，请参阅在 Security Command Center 中查看提醒。

应用平台安全措施

使用 Google Cloud 安全功能为您的 备份基础架构添加多层保护。

  1. 使用项目安全锁：为了防止备份保险柜被意外 删除，我们强烈建议您对 Google Cloud 保险柜所在的项目应用项目安全锁。项目安全锁可防止项目和备份被意外删除。 如需了解详情，请参阅使用安全锁保护项目。 为了防止项目安全锁被未经授权移除，请使用 Privileged Access Manager (PAM) 来强制执行多方审批。如需了解详情， 请参阅 使用 Privileged Access Manager 保护项目安全锁。

  2. 使用 VPC Service Controls：在备份 项目周围定义服务边界，以防止数据渗漏。请参阅 配置 VPC Service Controls。

  3. 限制外部 IP：确保备份/恢复设备没有 公共 IP 地址。

后续步骤