Ringkasan keamanan Cloud Composer

Cloud Composer 1 | Cloud Composer 2 | Cloud Composer 3

Cloud Composer menawarkan beberapa fitur dan kepatuhan keamanan yang bermanfaat bagi perusahaan perusahaan dengan persyaratan keamanan yang lebih ketat.

Ketiga bagian ini menyajikan informasi tentang fitur keamanan Cloud Composer:

Fitur keamanan dasar

Bagian ini mencantumkan fitur terkait keamanan yang disediakan secara default untuk setiap lingkungan Cloud Composer.

Enkripsi dalam penyimpanan

Cloud Composer menggunakan enkripsi dalam penyimpanan di Google Cloud.

Cloud Composer menyimpan data di berbagai layanan. Misalnya, DB Metadata Airflow menggunakan database Cloud SQL, DAG disimpan di bucket Cloud Storage.

Secara default, data dienkripsi menggunakan kunci enkripsi yang dikelola Google.

Jika ingin, Anda dapat mengonfigurasi lingkungan Cloud Composer agar dienkripsi dengan kunci enkripsi yang dikelola pelanggan.

Akses level bucket yang seragam

Akses level bucket yang seragam memungkinkan Anda mengontrol akses ke resource Cloud Storage secara seragam. Mekanisme ini juga berlaku untuk bucket lingkungan Anda, yang menyimpan DAG dan plugin Anda.

Izin pengguna

Cloud Composer memiliki beberapa fitur untuk mengelola izin pengguna:

  • Peran dan izin IAM. Lingkungan Cloud Composer dalam project Google Cloud hanya dapat diakses oleh pengguna yang akunnya ditambahkan ke IAM project.

  • Peran dan izin khusus Cloud Composer. Anda menetapkan peran dan izin ini ke akun pengguna di project Anda. Setiap peran menentukan jenis operasi yang dapat dilakukan oleh akun pengguna di lingkungan Cloud Composer dalam project Anda.

  • Kontrol Akses UI Airflow. Pengguna di project Anda dapat memiliki tingkat akses yang berbeda di UI Airflow. Mekanisme ini disebut Airflow UI Access Control (Airflow Role-Based Access Control, atau Airflow RBAC).

  • Berbagi yang Dibatasi Domain (DRS). Cloud Composer mendukung kebijakan organisasi untuk Berbagi yang Dibatasi Domain. Jika Anda menggunakan kebijakan ini, hanya pengguna dari domain yang dipilih yang dapat mengakses lingkungan Anda.

Lingkungan IP pribadi

Anda dapat membuat lingkungan Cloud Composer di Konfigurasi jaringan IP pribadi. Anda juga dapat mengalihkan lingkungan yang ada ke konfigurasi jaringan IP Pribadi.

Dalam mode IP Pribadi, komponen Airflow lingkungan Anda (dan dengan demikian DAG) tidak memiliki akses ke internet publik. Bergantung pada cara Anda mengonfigurasi jaringan VPC, lingkungan IP Pribadi dapat memperoleh akses ke internet melalui jaringan VPC Anda.

Cluster lingkungan Anda menggunakan Shielded VM

Shielded VM adalah virtual machine (VM) di Google Cloud yang telah melalui proses hardening oleh serangkaian kontrol keamanan yang membantu memberikan pertahanan dari rootkit dan bootkit.

Lingkungan Cloud Composer menggunakan Shielded VM untuk menjalankan node cluster lingkungannya.

Fitur keamanan lanjutan

Bagian ini mencantumkan fitur terkait keamanan lanjutan untuk lingkungan Cloud Composer.

Kunci Enkripsi yang Dikelola Pelanggan (CMEK)

Cloud Composer mendukung Kunci Enkripsi yang Dikelola Pelanggan (CMEK). CMEK memberi Anda kontrol lebih besar atas kunci yang digunakan untuk mengenkripsi data dalam penyimpanan dalam project Google Cloud.

Anda dapat menggunakan CMEK dengan Cloud Composer untuk mengenkripsi dan mendekripsi data yang dihasilkan oleh lingkungan Cloud Composer.

Dukungan Kontrol Layanan VPC (VPC SC)

Kontrol Layanan VPC adalah mekanisme untuk memitigasi risiko pemindahan data yang tidak sah.

Cloud Composer dapat dipilih sebagai layanan yang aman di dalam perimeter Kontrol Layanan VPC. Semua resource pokok yang digunakan oleh Cloud Composer dikonfigurasi untuk mendukung arsitektur Kontrol Layanan VPC dan mengikuti aturannya. Hanya lingkungan Private IP yang dapat dibuat dalam perimeter VPC SC.

Dengan men-deploy lingkungan Cloud Composer dengan Kontrol Layanan VPC, akan memberi Anda:

  • Mengurangi risiko pemindahan data yang tidak sah.

  • Perlindungan terhadap eksposur data karena konfigurasi kontrol akses yang salah.

  • Mengurangi risiko pengguna berbahaya menyalin data ke resource Google Cloud yang tidak sah, atau penyerang eksternal yang mengakses resource Google Cloud dari internet.

Tingkat kontrol akses jaringan (ACL) server web

Server web Airflow di Cloud Composer selalu disediakan dengan alamat IP yang dapat diakses secara eksternal. Anda dapat mengontrol dari alamat IP mana UI Airflow dapat diakses. Cloud Composer mendukung rentang IPv4 dan IPv6.

Anda dapat mengonfigurasi pembatasan akses server web di Konsol Google Cloud, gcloud, API, dan Terraform.

Secret Manager sebagai penyimpanan untuk data konfigurasi yang sensitif

Di Cloud Composer, Anda dapat mengonfigurasi Airflow untuk menggunakan Secret Manager sebagai backend tempat variabel koneksi Airflow disimpan.

Developer DAG juga dapat membaca variabel dan koneksi yang disimpan di Secret Manager dari kode DAG.

Kepatuhan terhadap standar

Lihat halaman yang ditautkan di bawah untuk memeriksa kepatuhan Cloud Composer terhadap berbagai standar:

Lihat juga

Beberapa fitur keamanan yang disebutkan dalam artikel ini dibahas dalam presentasi Airflow Summit 2020: Menjalankan DAG Airflow dengan cara yang aman.

Langkah selanjutnya