Cloud Composer 1 | Cloud Composer 2 | Cloud Composer 3
Cloud Composer offre alcune funzionalità di sicurezza e di conformità vantaggiose per le aziende i tuoi requisiti di sicurezza.
Queste tre sezioni presentano informazioni su Cloud Composer funzionalità di sicurezza:
- Funzionalità di sicurezza di base. Descrive le funzionalità disponibili in ambienti Cloud Composer.
- Funzionalità di sicurezza avanzate. Descrive le caratteristiche che per modificare Cloud Composer in base ai tuoi requisiti di sicurezza.
- Conformità agli standard. Fornisce un elenco degli standard con cui Cloud Composer è conforme.
Funzionalità di sicurezza di base
In questa sezione sono elencate le funzionalità di sicurezza fornite per impostazione predefinita per ogni nell'ambiente Cloud Composer.
Crittografia dei dati inattivi
Cloud Composer utilizza la crittografia at-rest in Google Cloud.
Cloud Composer archivia i dati in diversi servizi. Ad esempio: utilizza il database Cloud SQL, i DAG vengono archiviati di archiviazione dei bucket Cloud Storage.
Per impostazione predefinita, i dati vengono criptati utilizzando chiavi di crittografia gestite da Google.
Se preferisci, puoi configurare gli ambienti Cloud Composer per criptati con chiavi di crittografia gestite dal cliente.
Accesso uniforme a livello di bucket
L'accesso uniforme a livello di bucket consente di controllare in modo uniforme l'accesso alle risorse Cloud Storage. Questo meccanismo si applica anche al bucket del tuo ambiente, e archivia i tuoi DAG e plug-in.
Autorizzazioni utente
Cloud Composer include diverse funzionalità per la gestione delle autorizzazioni degli utenti:
Ruoli e autorizzazioni IAM. Gli ambienti Cloud Composer in un progetto Google Cloud sono accessibili solo agli utenti i cui account sono aggiunti a IAM del progetto.
Ruoli e autorizzazioni specifici di Cloud Composer. Tu assegna questi ruoli e autorizzazioni agli account utente del tuo progetto. Ogni ruolo definisce i tipi operazioni che un account utente può eseguire su Cloud Composer ambienti di lavoro nel tuo progetto.
Controllo dell'accesso all'UI di Airflow. Gli utenti del tuo progetto possono avere livelli di accesso diversi nell'interfaccia utente di Airflow. Questo meccanismo è chiamato Controllo dell'accesso all'interfaccia utente di Airflow (Controllo dell'accesso basato sui ruoli di Airflow o RBAC di Airflow).
Condivisione limitata del dominio (DRS). Cloud Composer supporta Criteri dell'organizzazione relativi alla condivisione limitata per i domini. Se utilizzi questo criterio, solo gli utenti dei domini selezionati potranno per accedere agli ambienti.
Ambienti IP privati
Puoi creare ambienti Cloud Composer nella configurazione di rete con IP privato.
In modalità IP privato, i nodi del cluster del tuo ambiente non hanno indirizzi IP esterni e non comunicano tramite la rete internet pubblica.
Il cluster del tuo ambiente utilizza VM schermate
Le VM schermate sono macchine virtuali (VM) su Google Cloud protette da una un insieme di controlli di sicurezza che contribuiscono alla difesa da rootkit e bootkit.
Gli ambienti Cloud Composer utilizzano le VM protette per eseguire i nodi del cluster dell'ambiente.
Funzionalità di sicurezza avanzate
Questa sezione elenca le funzionalità avanzate relative alla sicurezza per gli ambienti Cloud Composer.
Chiavi di crittografia gestite dal cliente (CMEK)
Cloud Composer supporta chiavi di crittografia gestite dal cliente (CMEK). Le chiavi CMEK ti forniscono un maggiore controllo sulle chiavi utilizzate per criptare i dati at-rest all'interno di un progetto Google Cloud.
Puoi utilizzare CMEK con Cloud Composer per criptare e decriptare i dati generati da un ambiente Cloud Composer.
Supporto di Controlli di servizio VPC (VPC SC)
Controlli di servizio VPC è un meccanismo per ridurre rischi di esfiltrazione di dati.
Cloud Composer può essere selezionato come servizio sicuro all'interno un perimetro dei Controlli di servizio VPC. Tutte le risorse sottostanti utilizzate da Cloud Composer è configurato per supportare i Controlli di servizio VPC dell'architettura e seguirne le regole. Solo gli ambienti IP privati può essere creato in un perimetro SC VPC.
Il deployment di ambienti Cloud Composer con Controlli di servizio VPC offre:
Riduzione del rischio di esfiltrazione di dati.
Protezione dall'esposizione dei dati dovuta a controlli di accesso configurati in modo errato.
Riduzione del rischio che utenti malintenzionati copino dati in risorse Google Cloud non autorizzate o che hacker esterni accedano alle risorse Google Cloud da internet.
Livelli di controllo dell'accesso di rete (ACL) del server web
Il provisioning dei server web di Airflow in Cloud Composer viene sempre eseguito con un indirizzo IP accessibile dall'esterno. Puoi controllare da quali indirizzi IP è possibile accedere alla UI di Airflow. Cloud Composer supporta IPv4 e Intervalli IPv6.
Puoi configurare le limitazioni di accesso al server web
nella console Google Cloud, in gcloud, nell'API e in Terraform.
Secret Manager come spazio di archiviazione per i dati di configurazione sensibili
In Cloud Composer, puoi configurare Airflow in modo che utilizzi Secret Manager come backend in cui vengono archiviate le variabili di connessione di Airflow.
Gli sviluppatori di DAG possono anche leggere variabili e connessioni Secret Manager dal codice DAG.
Conformità agli standard
Consulta le pagine linkate di seguito per verificare la conformità di Cloud Composer a vari standard:
- Conformità HIPAA
- Access Transparency
- PCI DSS
- ISO/IEC: 27001, 27017, 27.018
- SOC: SOC 1, SOC 2, SOC 3
- NIST: NIST800-53, NIST800-171
- FedRamp DRZ moderato
- Restrizioni per località/residenza dei dati (guida alla configurazione per Cloud Composer)
- Assured Workloads
Vedi anche
Alcune delle funzioni di sicurezza menzionate in questo articolo sono illustrate nel la presentazione Airflow Summit 2020: Esegui i DAG Airflow in modo sicuro.