preparing-compliance-documentation

准备合规文档

通过识别可用的认证、将安全功能映射到合规控制项，并提供合规就绪配置清单，指导为 CockroachDB Cloud 部署准备合规文档。涵盖 SOC 2 Type II、PCI DSS、ISO 27001、HIPAA 和 GDPR。

何时使用此技能

• 回复客户关于 CockroachDB Cloud 的安全问卷
• 准备 SOC 2、PCI DSS 或 HIPAA 合规审计
• 查找 CockroachDB Cloud 认证文件（SOC 2 报告、PCI AOC、ISO 证书）
• 评估集群配置是否符合特定合规框架
• 了解各 CockroachDB Cloud 套餐提供哪些合规功能

先决条件

• CockroachDB Cloud 账户 — 任意套餐
• Cloud Console 访问权限 — 用于下载合规文档
• 了解您的合规要求 — 确定哪些框架适用于您的组织

步骤

1. 确认可用的认证

CockroachDB Cloud 持有以下认证和鉴证：

认证	类型	范围	获取方式
SOC 2 Type II	鉴证报告	云基础设施和运营	通过 Trust Center 获取，或向支持团队申请
PCI DSS	合规证书（AOC）	支付数据处理	通过 Trust Center 获取，或向支持团队申请
ISO 27001	认证	信息安全管理	通过 Trust Center 获取，或向支持团队申请
HIPAA	BAA 资格	受保护的健康信息	联系销售团队签署 BAA
GDPR	合规	欧盟个人数据保护	可按需提供 DPA

CockroachDB Cloud Trust Center： Trust Center 是下载合规文档的主要渠道。可通过 Cloud Console 访问，或提交支持工单申请文档。

2. 将合规控制项映射到 CockroachDB 功能

详细的合规控制项与 CockroachDB 功能映射，请参阅合规矩阵参考。

SOC 2 — 关键控制项

控制领域	CockroachDB 功能	所需配置
访问控制	RBAC、SSO、SCIM	配置角色、启用 SSO
加密	TLS（始终启用）、CMEK	在 Advanced 套餐上启用 CMEK
审计日志记录	SQL 审计日志记录、日志导出	启用审计日志记录和日志导出
网络安全	IP 允许列表、私有端点	配置网络限制
可用性	多区域、托管备份	所有套餐均内置
变更管理	集群版本控制、Terraform	使用 IaC 管理集群

PCI DSS — 关键要求

要求	CockroachDB 功能	备注
要求 1：网络安全	IP 允许列表、私有端点	限制对持卡人数据环境的访问
要求 3：保护存储的数据	默认静态加密、CMEK	CMEK 可提供密钥控制
要求 4：加密传输	TLS（始终启用）	默认强制启用
要求 7：限制访问	RBAC、最小权限	使用 hardening-user-privileges 技能
要求 8：识别用户	SQL 用户、SSO、MFA	在 IdP 中启用带 MFA 的 SSO
要求 10：跟踪访问	审计日志记录、日志导出	启用并导出审计日志

HIPAA — 关键保障措施

保障措施	CockroachDB 功能	备注
访问控制	RBAC、SSO	实施最小权限原则
审计控制	审计日志记录、日志导出	导出到 SIEM
完整性	校验和、复制	内置数据完整性保障
传输安全	TLS（始终启用）	默认强制启用
加密	静态加密、CMEK	使用 CMEK 控制密钥

HIPAA 要求： 存储 PHI 前，必须与 Cockroach Labs 签署业务伙伴协议（BAA）。请联系您的客户团队签署 BAA。

3. 评估集群配置是否符合要求

使用此检查清单，评估集群是否符合常见的合规要求：

基线（所有框架）

-- Check password policy
SHOW CLUSTER SETTING server.user_login.min_password_length;
-- Should be >= 12

-- Check admin user count
SELECT COUNT(*) AS admin_count FROM [SHOW GRANTS ON ROLE admin];
-- Should be minimized (1-3)

-- Check audit logging
SHOW CLUSTER SETTING sql.log.admin_audit.enabled;
SHOW CLUSTER SETTING sql.log.user_audit;
-- Should be enabled

-- Check PUBLIC role privileges
SELECT database_name, privilege_type
FROM [SHOW GRANTS FOR public]
WHERE privilege_type NOT IN ('USAGE')
  AND schema_name = 'public';
-- Should return no rows for application databases

# Check network security
ccloud cluster networking allowlist list <cluster-id> -o json
# Should NOT contain 0.0.0.0/0

# Check SSO configuration (Cloud Console)
# Verify in Cloud Console > Organization Settings > Authentication

# Check CMEK (Advanced plan)
ccloud cluster info <cluster-name> -o json
# Check for cmek_config

# Check log export (Advanced plan)
# Look for log_export_config in cluster info output

高级合规（SOC 2 + PCI DSS + HIPAA）

检查项	命令/位置	预期状态
已启用 SSO	Cloud Console	已启用并强制执行
SCIM 配置	Cloud Console	已启用
已启用 CMEK	ccloud cluster info	已启用且密钥有效
审计日志记录	SQL：SHOW CLUSTER SETTING sql.log.admin_audit.enabled	true
日志导出	ccloud cluster info	已配置且已启用
IP 允许列表	ccloud cluster networking allowlist list	不含 0.0.0.0/0
私有端点	Cloud Console：Networking > Private endpoint	已配置（推荐）
密码策略	SQL：min_password_length	>= 12
管理员数量	SQL：管理员角色授权	<= 3
PUBLIC 权限	SQL：SHOW GRANTS FOR public	尽可能精简

4. 回答安全问卷

回答客户或审计人员的问卷时，请参考以下标准答案：

静态数据加密：

• CockroachDB Cloud 使用 AES-256 对所有静态数据进行加密
• Advanced 计划搭配 Advanced Security Add-on 时，可使用 CMEK，由客户控制密钥
• 密钥管理遵循云服务提供商的最佳实践（AWS KMS、GCP Cloud KMS、Azure Key Vault）

传输中数据加密：

• 所有连接均强制使用 TLS 1.2+，且无法禁用
• 支持客户端证书身份验证（mTLS）

数据驻留：

• 可将集群部署在特定区域，以满足数据驻留要求
• 多区域集群会将数据保留在指定区域内

备份与恢复：

• 所有计划均自动执行托管备份
• RPO 和 RTO 取决于计划类型和配置
• 备份经过加密，并存储在同一云服务提供商处

事件响应：

• Cockroach Labs 制定并维护了文档化的事件响应计划
• 详情见 SOC 2 Type II 报告

5. 为合规审计做好准备

审计前：

1. 运行 auditing-cloud-cluster-security 技能以识别差距
2. 使用链接的整改技能修复所有 FAIL 项
3. 从 Trust Center 下载当前的合规文档
4. 使用屏幕截图或 Terraform 状态记录 CockroachDB Cloud 配置

审计期间：

1. 提供 SOC 2 Type II 报告，以证明 CockroachDB Cloud 的控制措施
2. 展示集群配置（安全审计报告），以证明贵组织的控制措施
3. 演示审计日志导出和审查功能
4. 展示 RBAC 配置和访问控制策略

应提前准备的合规文档：

• SOC 2 Type II 报告（从 Trust Center 获取）
• PCI AOC（如处理支付数据）
• ISO 27001 证书（如有要求）
• BAA（如存储 PHI，需与 Cockroach Labs 签署）
• DPA（如处理欧盟个人数据）
• 安全审计报告（来自 auditing-cloud-cluster-security 技能）

安全注意事项

• **此技能为只读。**不会修改任何集群配置。
• **合规文档可能包含机密信息。**请根据贵组织的信息分类政策处理 SOC 2 报告和 PCI AOC。
• **合规责任由双方共同承担。**CockroachDB Cloud 提供平台控制措施；贵组织负责正确配置和使用这些措施。

参考资料

技能参考：

• 合规控制矩阵

相关技能：

• auditing-cloud-cluster-security — 自动化安全状况评估
• configuring-audit-logging — 启用审计日志记录以满足合规要求
• enabling-cmek-encryption — 启用客户管理的加密密钥
• configuring-sso-and-scim — 启用 SSO 和自动配置
• hardening-user-privileges — 实施最小权限访问
• enforcing-password-policies — 配置密码要求
• configuring-ip-allowlists — 网络访问控制
• configuring-private-connectivity — 私有网络端点
• configuring-log-export — 导出日志以满足合规留存要求

CockroachDB 官方文档：

• CockroachDB Cloud 安全概览
• 合规
• SOC 2 合规