关于GKE环境下PCI DSS合规的ASV扫描责任及范围咨询

1. 负载均衡器与自有站点的扫描责任划分 #

GCP仅负责扫描其基础设施层面的负载均衡器核心组件（如底层硬件、系统固件、GCP托管的LB基础服务），但客户在GKE中托管的自有站点（包括自定义配置的服务、应用、专属域名对应的访问端点），需由客户自行发起合规ASV扫描。这类资产属于客户管控范畴，不在GCP的PCI合规覆盖的基础设施边界内。

2. GCP PCI合规覆盖的域名列表 #

不存在公开的固定域名列表。GCP的PCI DSS合规认证仅覆盖其自身提供的基础设施服务组件（如GKE控制平面、LB底层架构等），客户自定义的域名、应用域名属于自有资产，不在GCP的PCI认证覆盖范围内。若需确认合规的GCP服务边界，可参考GCP内部的PCI合规文档，但不会提供具体域名清单。

3. 合规ASV扫描扩展指导 #

• 全面覆盖公网暴露的客户资产：包括GKE集群暴露的服务端点、自定义负载均衡器的公网IP/域名、Ingress资源对应的访问入口等，确保无遗漏。
• 选用PCI SSC认证的ASV服务商：扫描必须由PCI安全标准委员会认可的合规ASV执行，避免使用未认证的工具或第三方服务商。
• 纳入所有涉持卡人数据的路径：若应用处理持卡人数据，所有与该数据交互的公网端点（如API接口、前端交互页面等）都需纳入扫描范围。
• 留存完整扫描记录：按照PCI DSS要求，需保留至少12个月的ASV扫描报告，包括扫描结果、漏洞修复跟踪记录等，以备审计核查。
• 结合GCP安全工具强化防护：使用Cloud Armor配置WAF规则、GKE Pod安全策略等工具，降低扫描中发现的漏洞风险，同时辅助合规验证流程。

内容的提问来源于stack exchange，提问作者Wendy