サービスとして提供されるストレージは、クラウド データ センター外部のエンド ユーザーへのアクセスを排除することで、管理者に対する追加の露出リスクを排除します。代わりに、顧客が行う構成は、データ アクセス プレーンに対してのみです。各テナントは独自のボリュームを管理し、どのテナントも他のGoogle Cloud NetApp Volumesインスタンスにアクセスすることはできません。このサービスは自動化によって管理されており、セクションで説明されているプロセスを通じてシステムへのアクセス権が付与される信頼できる管理者のごく少数のリストが存在します。"サービス運営。"

NetApp Volumes-Performance サービス タイプは、リージョン障害が発生した場合に別のリージョンにデータ保護を提供するオプションとして、リージョン間レプリケーションを提供します。このような場合、 Google Cloud NetApp Volumes を影響を受けていないリージョンにフェイルオーバーして、データ アクセスを維持できます。

更新は脆弱なシステムを保護するのに役立ちます。各アップデートでは、攻撃対象領域を最小限に抑えるセキュリティ強化とバグ修正が提供されます。ソフトウェア更新は集中リポジトリからダウンロードされ、更新が許可される前に検証され、公式イメージが使用されていること、およびアップグレードが悪意のある人物によって侵害されていないことが確認されます。

Google Cloud NetApp Volumesでは、更新はクラウド プロバイダ チームによって処理されます。これにより、構成とアップグレードに精通した専門家がプロセスを自動化し、完全にテストすることで、管理者チームのリスク露出が排除されます。アップグレードは中断なく行われ、 Google Cloud NetApp Volumes は最新のアップデートを維持し、全体的に最良の結果を実現します。

これらのサービスアップグレードを実行する管理チームの詳細については、セクションを参照してください。"サービス運営。"

保存中のデータを保護するだけでなく、 Google Cloud NetApp Volumesインスタンスとクライアントまたはレプリケーション ターゲットの間で転送中のデータも保護する必要があります。 Google Cloud NetApp Volumes は、 Kerberos を使用した SMB 暗号化、パケットの署名/シール、NFS Kerberos 5p によるエンドツーエンドのデータ転送暗号化などの暗号化方式を使用して、NAS プロトコル経由で転送中のデータを暗号化します。

Google Cloud NetApp Volumesボリュームのレプリケーションでは、AES-GCM 暗号化方式を利用する TLS 1.2 が使用されます。

Telnet、NDMP などの安全でないインフライト プロトコルのほとんどは、デフォルトで無効になっています。ただし、DNS はGoogle Cloud NetApp Volumesによって暗号化されないため（DNS Sec はサポートされていません）、可能な場合は外部ネットワーク暗号化を使用して暗号化する必要があります。セクションを参照"転送中のデータ暗号化"転送中のデータのセキュリティ保護の詳細については、こちらをご覧ください。

NASプロトコル暗号化の詳細については、セクションを参照してください。"NAS プロトコル。"

Google Cloud NetApp Volumes は、カスタマイズ可能なスケジュールに基づいて作成される不変の読み取り専用スナップショット コピーをネイティブに提供し、データが削除された場合やボリューム全体がランサムウェア攻撃の被害に遭った場合に、迅速なポイントインタイム リカバリを実現します。以前の正常なスナップショット コピーへのスナップショットの復元は高速で、スナップショット スケジュールと RTO/RPO の保持期間に基づいてデータ損失を最小限に抑えます。スナップショット テクノロジによるパフォーマンスへの影響はごくわずかです。

Google Cloud NetApp Volumesのスナップショット コピーは読み取り専用であるため、ランサムウェアが気付かれずにデータセットに侵入し、ランサムウェアに感染したデータのスナップショット コピーが取得されない限り、ランサムウェアに感染することはありません。このため、データの異常に基づくランサムウェア検出も検討する必要があります。 Google Cloud NetApp Volumes は現在ネイティブ検出機能を提供していませんが、外部監視ソフトウェアを使用できます。

Google Cloud NetApp Volumes は、標準の NAS クライアント バックアップ機能（NFS または SMB 経由のバックアップなど）を提供します。

ボリューム レプリケーションは、ランサムウェア イベントなどの災害発生時に高速フェイルオーバーを実現するために、ソース ボリュームの正確なコピーを提供します。

NetApp Volumes-Performance を使用すると、Google のネットワークで実行されるレプリケーションに使用される特定のインターフェースを使用して、 NetAppが管理するバックエンド サービス ネットワーク上で TLS1.2 AES 256 GCM 暗号化を使用することで、データ保護とアーカイブのユースケースのために Google Cloud リージョン間でボリュームを安全に複製できます。プライマリ (ソース) ボリュームにはアクティブな本番データが含まれており、セカンダリ (宛先) ボリュームに複製されてプライマリ データセットの正確なレプリカが提供されます。

初期レプリケーションではすべてのブロックが転送されますが、更新ではプライマリ ボリューム内の変更されたブロックのみが送信されます。たとえば、プライマリ ボリュームにある 1 TB のデータベースがセカンダリ ボリュームに複製される場合、最初のレプリケーションで 1 TB の領域が転送されます。そのデータベースに、初期化と次回の更新の間に変更される数百行 (仮に数 MB) がある場合、変更された行を含むブロックのみがセカンダリ (数 MB) に複製されます。これにより、転送時間が短くなり、レプリケーション料金が抑えられます。

ファイルとフォルダーに対するすべてのアクセス許可はセカンダリ ボリュームに複製されますが、共有アクセス アクセス許可 (エクスポート ポリシーとルール、SMB 共有と共有 ACL など) は個別に処理する必要があります。サイトのフェールオーバーの場合、宛先サイトでは同じ名前サービスと Active Directory ドメイン接続を活用して、ユーザーとグループの ID およびアクセス許可を一貫して処理する必要があります。レプリケーション関係を解除してセカンダリ ボリュームを読み取り/書き込み可能に変換することで、災害発生時にセカンダリ ボリュームをフェイルオーバー ターゲットとして使用できます。

ボリューム レプリカは読み取り専用であり、ウイルスがデータに感染した場合やランサムウェアがプライマリ データセットを暗号化した場合に、データを迅速に回復できるように、オフサイトでデータの不変のコピーを提供します。読み取り専用データは暗号化されませんが、プライマリ ボリュームが影響を受けてレプリケーションが発生すると、感染したブロックも複製されます。影響を受けていない古いスナップショット コピーを使用して回復することもできますが、攻撃の検出速度によっては、SLA が約束された RTO/RPO の範囲外になる可能性があります。

さらに、Google Cloud のクロスリージョン レプリケーション（CRR）管理により、ボリュームの削除、スナップショットの削除、スナップショットのスケジュール変更などの悪意のある管理アクションを防ぐことができます。これは、ソース ボリュームを削除できるがミラーを解除できないため宛先ボリュームを削除できないボリューム管理者と、ボリューム操作を一切実行できない CRR 管理者を分離するカスタム ロールを作成することによって行われます。見る "セキュリティに関する考慮事項"各管理者グループで許可される権限については、 Google Cloud NetApp Volumes のドキュメントをご覧ください。

Google Cloud NetApp Volumes は高いデータ耐久性を提供しますが、外部イベントによってデータが失われる可能性があります。ウイルスやランサムウェアなどのセキュリティ イベントが発生した場合、データ アクセスをタイムリーに再開するには、バックアップと復元が重要になります。管理者がGoogle Cloud NetApp Volumesボリュームを誤って削除してしまう可能性があります。あるいは、ユーザーはデータのバックアップ バージョンを数か月間保持したいだけなので、ボリューム内に追加のスナップショット コピー スペースを保持するとコスト上の課題が発生します。スナップショット コピーは、失われたデータを復元するために過去数週間のバックアップ バージョンを保持するのに適した方法ですが、スナップショット コピーはボリューム内に保存されるため、ボリュームが消失すると失われます。

これらの理由から、 Google Cloud NetApp Volumesは、 "Google Cloud NetApp Volumesバックアップ" 。

Google Cloud NetApp Volumesバックアップでは、Google Cloud Storage (GCS) 上にボリュームのコピーが生成されます。ボリューム内に保存されている実際のデータのみがバックアップされ、空き領域はバックアップされません。これは永久増分として機能します。つまり、ボリュームの内容を一度転送し、それ以降は変更されたデータのみをバックアップし続けます。複数の完全バックアップを伴う従来のバックアップ概念と比較すると、大量のバックアップストレージを節約し、コストを削減します。バックアップ スペースの月額料金はボリュームに比べて低いため、バックアップ バージョンを長期間保存するのに最適な場所です。

ユーザーは、 Google Cloud NetApp Volumesバックアップを使用して、同じリージョン内の同じボリュームまたは別のボリュームに任意のバックアップ バージョンを復元できます。ソースボリュームが削除された場合でも、バックアップデータは保持されるため、個別に管理（削除など）する必要があります。

Google Cloud NetApp Volumesバックアップは、オプションとしてGoogle Cloud NetApp Volumesに組み込まれています。ユーザーは、ボリュームごとにGoogle Cloud NetApp Volumesバックアップを有効にすることで、保護するボリュームを決定できます。参照 "Google Cloud NetApp Volumesバックアップのドキュメント"バックアップの詳細については、 "サポートされる最大バックアップバージョンの数" 、スケジュール、そして "価格設定"。

プロジェクトのすべてのバックアップ データは GCS バケット内に保存されます。このバケットはサービスによって管理され、ユーザーには表示されません。各プロジェクトは異なるバケットを使用します。現在、バケットはGoogle Cloud NetApp Volumesボリュームと同じリージョンにありますが、さらに多くのオプションが検討されています。最新のステータスについてはドキュメントを参照してください。

Google Cloud NetApp Volumesバケットから GCS へのデータ転送には、HTTPS と TLS1.2 を使用したサービス内部の Google ネットワークが使用されます。データは Google が管理するキーを使用して保存時に暗号化されます。

Google Cloud NetApp Volumesのバックアップ（バックアップの作成、削除、復元）を管理するには、ユーザーは "ロール/netappcloudvolumes.admin"役割。