Ringkasan keamanan Cloud Composer

Cloud Composer 1 | Cloud Composer 2

Cloud Composer menawarkan beberapa fitur dan kepatuhan keamanan yang bermanfaat bagi perusahaan perusahaan dengan persyaratan keamanan yang lebih ketat.

Ketiga bagian ini menampilkan informasi tentang fitur keamanan Cloud Composer:

Fitur keamanan dasar

Bagian ini mencantumkan fitur terkait keamanan yang disediakan secara default untuk setiap lingkungan Cloud Composer.

Enkripsi dalam penyimpanan

Cloud Composer menggunakan enkripsi dalam penyimpanan di Google Cloud.

Cloud Composer menyimpan data di berbagai layanan. Misalnya, DAG Metadata Airflow menggunakan database Cloud SQL, sedangkan DAG disimpan di bucket Cloud Storage.

Secara default, data dienkripsi menggunakan kunci enkripsi yang dikelola Google.

Jika ingin, Anda dapat mengonfigurasi lingkungan Cloud Composer untuk dienkripsi dengan kunci enkripsi yang dikelola pelanggan.

Akses level bucket yang seragam

Akses level bucket yang seragam memungkinkan Anda mengontrol akses ke resource Cloud Storage secara seragam. Mekanisme ini juga berlaku untuk bucket lingkungan Anda, yang menyimpan DAG dan plugin.

Izin pengguna

Cloud Composer memiliki beberapa fitur untuk mengelola izin pengguna:

  • Peran dan izin IAM. Lingkungan Cloud Composer di project Google Cloud hanya dapat diakses oleh pengguna yang akunnya ditambahkan ke IAM project.

  • Peran dan izin khusus Cloud Composer. Anda menetapkan peran dan izin ini ke akun pengguna di project. Setiap peran menentukan jenis operasi yang dapat dilakukan akun pengguna di lingkungan Cloud Composer dalam project Anda.

  • Kontrol Akses UI Airflow. Pengguna di project Anda dapat memiliki tingkat akses yang berbeda di UI Airflow. Mekanisme ini disebut Airflow UI Access Control (Airflow Role-Based Access Control, atau Airflow RBAC).

  • Berbagi Terbatas Domain (DRS). Cloud Composer mendukung kebijakan organisasi Berbagi dengan Domain yang Dibatasi. Jika Anda menggunakan kebijakan ini, hanya pengguna dari domain yang dipilih yang dapat mengakses lingkungan Anda.

Mode IP pribadi untuk lingkungan Cloud Composer

Anda dapat membuat lingkungan Cloud Composer di konfigurasi jaringan IP Pribadi.

Dalam mode IP Pribadi, node cluster lingkungan Anda tidak memiliki alamat IP eksternal dan tidak berkomunikasi melalui internet publik.

Cluster lingkungan Anda menggunakan Shielded VM

Shielded VM adalah virtual machine (VM) di Google Cloud yang telah melalui proses hardening oleh serangkaian kontrol keamanan yang membantu melindungi dari rootkit dan bootkit.

Lingkungan Cloud Composer 2 menggunakan Shielded VM untuk menjalankan node cluster lingkungannya.

Fitur keamanan lanjutan

Bagian ini mencantumkan fitur terkait keamanan lanjutan untuk lingkungan Cloud Composer.

Kunci Enkripsi yang Dikelola Pelanggan (CMEK)

Cloud Composer mendukung Kunci Enkripsi yang Dikelola Pelanggan (CMEK). CMEK memberi Anda lebih banyak kontrol atas kunci yang digunakan untuk mengenkripsi data dalam penyimpanan dalam project Google Cloud.

Anda dapat menggunakan CMEK dengan Cloud Composer untuk mengenkripsi dan mendekripsi data yang dibuat oleh lingkungan Cloud Composer.

Dukungan Kontrol Layanan VPC (SC VPC)

Kontrol Layanan VPC adalah mekanisme untuk mengurangi risiko pemindahan data yang tidak sah.

Cloud Composer dapat dipilih sebagai layanan yang aman di dalam perimeter Kontrol Layanan VPC. Semua resource dasar yang digunakan oleh Cloud Composer dikonfigurasi untuk mendukung arsitektur Kontrol Layanan VPC dan mengikuti aturannya. Hanya lingkungan IP Pribadi yang dapat dibuat di perimeter SC VPC.

Men-deploy lingkungan Cloud Composer dengan Kontrol Layanan VPC akan memberi Anda:

  • Mengurangi risiko pemindahan data yang tidak sah.

  • Perlindungan terhadap eksposur data karena kontrol akses yang salah dikonfigurasi.

  • Mengurangi risiko pengguna berbahaya menyalin data ke resource Google Cloud yang tidak sah, atau penyerang eksternal yang mengakses resource Google Cloud dari internet.

Tingkat kontrol akses jaringan (ACL) server web

Server web Airflow di Cloud Composer selalu disediakan dengan alamat IP yang dapat diakses secara eksternal. Anda dapat mengontrol alamat IP mana yang dapat diakses oleh UI Airflow. Cloud Composer mendukung rentang IPv4 dan IPv6.

Anda dapat mengonfigurasi pembatasan akses server web di Konsol Google Cloud, gcloud, API, dan Terraform.

Secret Manager sebagai penyimpanan untuk data konfigurasi yang sensitif

Di Cloud Composer, Anda dapat mengonfigurasi Airflow untuk menggunakan Secret Manager sebagai backend tempat variabel koneksi Airflow disimpan.

Developer DAG juga dapat membaca variabel dan koneksi yang disimpan di Secret Manager dari kode DAG.

Kepatuhan terhadap standar

Lihat halaman yang ditautkan di bawah ini untuk memeriksa kepatuhan Cloud Composer terhadap berbagai standar:

Lihat juga

Beberapa fitur keamanan yang disebutkan dalam artikel ini dibahas dalam presentasi Airflow Summit 2020: Menjalankan DAG Airflow dengan cara yang aman.

Langkah selanjutnya