Cloud Composer 1 | Cloud Composer 2 | Cloud Composer 3
Mit VPC Service Controls können Organisationen Perimeter für Google Cloud-Ressourcen definieren, um das Risiko einer Daten-Exfiltration zu minimieren.
Cloud Composer-Umgebungen können innerhalb eines Dienstperimeters bereitgestellt werden. Durch die Konfiguration Ihrer Umgebung mit VPC Service Controls können Sie vertrauliche Daten schützen und gleichzeitig die vollständig verwalteten Workflow-Orchestrierungsfunktionen von Cloud Composer nutzen.
Die VPC Service Controls-Unterstützung für Cloud Composer bedeutet:
- Cloud Composer kann jetzt als sicherer Dienst innerhalb von VPC Service Controls-Perimetern ausgewählt werden.
- Alle von Cloud Composer verwendeten unterliegenden Ressourcen sind so konfiguriert, dass sie die VPC Service Controls-Architektur unterstützen und den relevanten Regeln entsprechen.
Ihre Vorteile bei der Bereitstellung von Cloud Composer-Umgebungen mit VPC Service Controls sind:
- Geringeres Risiko der Daten-Exfiltration.
- Schutz vor Datenweitergabe aufgrund falsch konfigurierter Zugriffskontrollen.
- Reduziertes Risiko, dass böswillige Nutzer Daten in nicht autorisierte Google Cloud-Ressourcen kopieren oder dass externe Angreifer über das Internet auf Google Cloud-Ressourcen zugreifen.
Airflow-Webserver im VPC Service Controls-Modus
Im VPC Service Controls-Modus wird der Zugriff auf den Webserver durch die Perimeter und der Zugang von außerhalb des Perimeters ist blockiert.
Um den Zugriff von außerhalb des Dienstperimeters zuzulassen, konfigurieren Sie die Zugriffsebene korrekt.
Dienstperimeter erstellen
Informationen zum Erstellen und Konfigurieren von Dienstperimetern finden sich unter Dienstperimeter erstellen. Wählen Sie Cloud Composer als einen der im Perimeter gesicherten Dienste aus.
Umgebungen in einem Perimeter erstellen
Es sind zusätzliche Schritte erforderlich, um Cloud Composer in einem Perimeter bereitzustellen. Beim Erstellen einer Cloud Composer-Umgebung gilt Folgendes:
Aktivieren Sie die Access Context Manager API und die Cloud Composer API für Ihr Projekt. Weitere Informationen finden sich unter APIs aktivieren.
Achten Sie darauf, dass Ihr Dienstperimeter die folgenden über VPC zugänglichen Dienste hat: Andernfalls kann Ihre Umgebung Folgendes nicht erstellen:
- Cloud Composer API (composer.googleapis.com)
- Compute Engine API (compute.googleapis.com)
- Kubernetes Engine API (container.googleapis.com)
- Container Registry API (containerRegistry.googleapis.com)
- Artifact Registry API (Artifact Registry.googleapis.com)
- Cloud Storage API (storage.googleapis.com)
- Cloud SQL Admin API (sqladmin.googleapis.com)
- Cloud Build API (cloudbuild.googleapis.com)
- Cloud Logging API (logging.googleapis.com)
- Cloud Monitoring API (monitoring.googleapis.com)
- Cloud Pub/Sub API (pubsub.googleapis.com)
- Security Token Service API (sts.googleapis.com)
- Cloud Resource Manager API (cloudresourcemanager.googleapis.com)
- Service Directory API (servicedirectory.googleapis.com)
- Cloud Key Management Service API (cloudkms.googleapis.com), wenn Sie Cloud KMS- oder CMEK-Schlüssel verwenden
- Secret Manager API (secretmanager.googleapis.com), wenn Sie Secret Manager als Secret-Back-End verwenden
Erstellen Sie eine neue Cloud Composer-Umgebung mit aktivierter privater IP. Beachten Sie, dass diese Einstellung während der Erstellung der Umgebung konfiguriert werden muss.
Standardmäßig ist der Zugriff auf die Airflow-UI und -API nur innerhalb der Sicherheitsbereich. Wenn Sie sie außerhalb des Sicherheitsbereichs verfügbar machen möchten Perimeter und konfigurieren Sie dann die Zugriffsebene entsprechend, wie in Zugriff auf geschützte Ressourcen von außerhalb eines Perimeters zulassen.
Vorhandene Umgebungen mit VPC Service Controls konfigurieren
Sie können das Projekt, das Ihre Umgebung enthält, in den Perimeter einfügen, wenn:
Sie haben den Perimeter wie im vorherigen Abschnitt beschrieben erstellt.
Ihre Umgebungen sind private IP-Umgebungen.
PyPI-Pakete installieren
In der standardmäßigen VPC Service Controls-Konfiguration unterstützt Cloud Composer nur die Installation von PyPI-Paketen aus privaten Repositories, die über den privaten IP-Adressbereich des VPC-Netzwerks erreichbar sind. Die empfohlene Konfiguration für diesen Prozess besteht darin, ein privates PyPI-Repository einzurichten, es mit geprüften Paketen zu versehen, die von Ihrer Organisation verwendet werden und anschließend Cloud Composer zu konfigurieren, um Python-Abhängigkeiten aus einem privaten Repository zu installieren.
Es ist auch möglich, PyPI-Pakete aus Repositories außerhalb des privaten IP-Bereichs zu installieren. Gehen Sie so vor:
- Konfigurieren Sie Cloud NAT so, dass Cloud Composer im privaten IP-Bereich eine Verbindung zu externen PyPI-Repositories herstellen kann.
- Konfigurieren Sie Ihre Firewallregeln so, dass ausgehende Verbindungen vom Composer-Cluster zum Repository zugelassen werden.
Wenn Sie diese Einrichtung verwenden, stellen Sie sicher, dass Sie die Risiken der Verwendung externer Repositories verstehen. Vergewissern Sie sich, dass Sie dem Inhalt und der Integrität aller externen Repositories vertrauen, da diese Verbindungen möglicherweise als Exfiltrationsvektor verwendet werden können.
Konnektivität zu Google APIs und Google-Diensten konfigurieren
In einer VPC Service Controls-Konfiguration
steuern Sie den Netzwerktraffic,
den Zugriff auf Google APIs und Google-Dienste über die
restricted.googleapis.com
Diese Domain blockiert den Zugriff auf Google APIs und
die VPC Service Controls nicht unterstützen.
Cloud Composer-Umgebungen verwenden die folgenden Domains:
*.googleapis.com
wird für den Zugriff auf andere Google-Dienste verwendet.Mit
*.composer.cloud.google.com
wird der Airflow-Webserver Ihrer zugänglich zu machen. Diese Regel muss angewendet werden, bevor Sie eine zu verbessern.- Alternativ können Sie eine Regel für eine bestimmte Region erstellen. Gehen Sie dazu wie folgt vor:
REGION.composer.cloud.google.com
verwenden. Ersetzen SieREGION
durch die Region, in der sich die Umgebung befindet. Beispiel:us-central1
.
- Alternativ können Sie eine Regel für eine bestimmte Region erstellen. Gehen Sie dazu wie folgt vor:
(Optional)
*.composer.googleusercontent.com
wird beim Zugriff auf die Airflow-Webserver Ihrer Umgebung. Diese Regel ist nur erforderlich, wenn Sie auf den Airflow-Webserver von einer Instanz aus VPC-Netzwerk und ist andernfalls nicht erforderlich. Ein gängiges Szenario für dieses wenn Sie die Airflow REST API aus dem VPC-Netzwerk aufrufen möchten.- Alternativ können Sie eine Regel für eine bestimmte Umgebung erstellen. Bis
verwenden Sie
ENVIRONMENT_WEB_SERVER_NAME.composer.googleusercontent.com
. Ersetzen SieENVIRONMENT_WEB_SERVER_NAME
durch den eindeutigen Teil von die Airflow-UI-URL Ihrer Umgebung, z. B.bffe6ce6c4304c55acca0e57be23128c-dot-us-central1
.
- Alternativ können Sie eine Regel für eine bestimmte Umgebung erstellen. Bis
verwenden Sie
*.pkg.dev
wird zum Abrufen von Umgebungs-Images verwendet, z. B. beim Erstellen oder Aktualisierung einer Umgebung.*.gcr.io
GKE erfordert eine Verbindung zu Container Registry-Domain unabhängig von der Cloud Composer-Version.
Konfigurieren Sie die Verbindung zum restricted.googleapis.com
-Endpunkt.
Domain | DNS-Name | CNAME-Eintrag | A-Eintrag |
---|---|---|---|
*.googleapis.com
|
googleapis.com. |
DNS-Name: *.googleapis.com. Ressourceneintragstyp: CNAME Kanonischer Name: googleapis.com. |
Ressourceneintragstyp: A IPv4-Adressen: 199.36.153.4 , 199.36.153.5 , 199.36.153.6 , 199.36.153.7
|
*.composer.cloud.google.com
|
composer.cloud.google.com. |
DNS-Name: *.composer.cloud.google.com. Ressourceneintragstyp: CNAME Kanonischer Name: composer.cloud.google.com. |
Ressourceneintragstyp: A IPv4-Adressen: 199.36.153.4 , 199.36.153.5 , 199.36.153.6 , 199.36.153.7
|
*.composer.googleusercontent.com
(optional, siehe Beschreibung) |
composer.googleusercontent.com. |
DNS-Name: *.composer.googleusercontent.com. Ressourceneintragstyp: CNAME Kanonischer Name: composer.googleusercontent.com. |
Ressourceneintragstyp: A IPv4-Adressen: 199.36.153.4 , 199.36.153.5 , 199.36.153.6 , 199.36.153.7
|
*.pkg.dev
|
pkg.dev. |
DNS-Name: *.pkg.dev. Ressourceneintragstyp: CNAME Kanonischer Name: pkg.dev. |
Ressourceneintragstyp: A IPv4-Adressen: 199.36.153.4 , 199.36.153.5 , 199.36.153.6 , 199.36.153.7
|
*.gcr.io
|
gcr.io. |
DNS-Name: *.gcr.io. Ressourceneintragstyp: CNAME Kanonischer Name: gcr.io. |
Ressourceneintragstyp: A IPv4-Adressen: 199.36.153.4 , 199.36.153.5 , 199.36.153.6 , 199.36.153.7
|
So erstellen Sie eine DNS-Regel:
Erstellen Sie eine neue DNS-Zone und verwenden Sie DNS-Name als DNS-Namen dieser Zone.
Beispiel:
pkg.dev.
Fügen Sie einen Eintrag für den CNAME-Eintrag hinzu.
Beispiel:
- DNS-Name:
*.pkg.dev.
- Ressourceneintragstyp:
CNAME
- Kanonischer Name:
pkg.dev.
- DNS-Name:
Fügen Sie einen Eintrag für A-Eintrag hinzu:
Beispiel:
- Ressourceneintragstyp:
A
- IPv4-Adressen:
199.36.153.4
,199.36.153.5
,199.36.153.6
,199.36.153.7
- Ressourceneintragstyp:
Weitere Informationen finden Sie unter Private Verbindung zu Google APIs und Google-Diensten einrichten
Firewallregeln konfigurieren
Wenn Ihr Projekt nicht standardmäßige Firewallregeln wie Regeln, die die Implizierte Firewallregeln oder vorkonfigurierte Regeln ändern in und überprüfen Sie, ob die folgenden Firewallregeln konfiguriert.
Cloud Composer kann beispielsweise keine Umgebung erstellen, wenn
Sie haben eine Firewallregel,
die den gesamten ausgehenden Traffic ablehnt. Um Probleme zu vermeiden,
Definieren Sie selektive allow
-Regeln, die der Liste entsprechen und eine höhere Priorität haben
als die globale deny
-Regel.
Konfigurieren Sie Ihr VPC-Netzwerk so, dass Traffic aus Ihrer Umgebung zugelassen wird:
- Unter Firewallregeln verwenden erfahren Sie, wie Sie Regeln für Ihr VPC-Netzwerk prüfen, hinzufügen und aktualisieren.
- Verwenden Sie Verbindungstool um die Konnektivität zwischen IP-Bereichen zu prüfen.
- Mit Netzwerk-Tags können Sie den Zugriff zu beschränken. Sie können diese Tags beim Erstellen einer Umgebung festlegen.
Beschreibung | Richtung | Aktion | Quelle oder Ziel | Protokolle | Ports |
---|---|---|---|---|---|
DNS Konfigurieren Sie die Konfiguration wie unter Unterstützung von VPC Service Controls für Cloud DNS beschrieben. |
- | – | – | – | - |
Google APIs und Google-Dienste | Ausgehender Traffic | Zulassen | IPv4-Adressen von restricted.googleapis.com , die Sie für Google APIs und Google-Dienste verwenden. |
TCP | 443 |
Clusterknoten der Umgebung | Ausgehender Traffic | Zulassen | Primärer IP-Adressbereich des Subnetzwerks der Umgebung | TCP, UDP | Alle |
Cluster-Pods der Umgebung | Ausgehender Traffic | Zulassen | Sekundärer IP-Adressbereich für Pods im Subnetzwerk der Umgebung | TCP, UDP | Alle |
Steuerungsebene des Clusters der Umgebung | Ausgehender Traffic | Zulassen | IP-Bereich der GKE-Steuerungsebene | TCP, UDP | Alle |
(Wenn Ihre Umgebung Private Service Connect verwendet) Verbindungssubnetzwerk | Ausgehender Traffic | Zulassen | Subnetzwerkbereich der Cloud Composer-Verbindung | TCP | 3306, 3307 |
(Wenn Ihre Umgebung VPC-Peerings verwendet) Mandantennetzwerk | Ausgehender Traffic | Zulassen | IP-Bereich des Cloud Composer-Mandantennetzwerks | TCP | 3306, 3307 |
So rufen Sie IP-Bereiche ab:
Pod-, Dienst- und Steuerungsebenen-Adressbereiche sind verfügbar in auf der Seite Cluster des Umgebungsclusters:
Rufen Sie in der Google Cloud Console die Seite Umgebungen auf.
Klicken Sie in der Liste der Umgebungen auf den Namen Ihrer Umgebung. Die Seite Umgebungsdetails wird geöffnet.
Rufen Sie den Tab Umgebungskonfiguration auf.
Klicken Sie auf den Link Clusterdetails ansehen.
Sie können die Umgebung IP-Bereich des Cloud Composer-Mandantennetzwerks auf dem Tab Umgebungskonfiguration
Sie können die Umgebung Subnetzwerk-ID und Subnetzwerk-ID der Cloud Composer-Verbindung auf dem Tab Umgebungskonfiguration. IP-Adresse erhalten für ein Subnetzwerk festlegen möchten, rufen Sie die Seite VPC-Netzwerke auf und klicken Sie auf Netzwerknamen ein, um Details anzuzeigen:
VPC Service Controls-Logs
Wenn Sie Probleme bei der Erstellung der Umgebung beheben, können Sie Audit-Logs analysieren die von VPC Service Controls generiert werden.
Zusätzlich zu anderen Logeinträgen können Sie in den Protokollen auch Informationen zu
cloud-airflow-prod@system.gserviceaccount.com
und
service-PROJECT_ID@cloudcomposer-accounts.iam.gserviceaccount.com
Dienstkonten, die Komponenten Ihrer Umgebungen konfigurieren.
Der Cloud Composer-Dienst verwendet die
cloud-airflow-prod@system.gserviceaccount.com
zu verwaltendes Dienstkonto
Mandantenprojektkomponenten der Umgebungen.
Die
service-PROJECT_ID@cloudcomposer-accounts.iam.gserviceaccount.com
Dienstkonto, auch bekannt als Composer Service Agent Service Account
, verwaltet
und die Umgebungskomponenten
Dienst- und Hostprojekte.
Beschränkungen
- Alle Netzwerkeinschränkungen der VPC Service Controls gelten auch für Ihre Cloud Composer-Umgebungen. Weitere Informationen finden sich in der Dokumentation zu VPC Service Controls.
- Wenn Cloud Composer in einem Perimeter ausgeführt wird, ist der Zugriff auf öffentliche PyPI-Repositories eingeschränkt. Informationen zum Installieren von PyPi-Modulen im privaten IP-Modus finden sich unter Python-Abhängigkeiten installieren.