安全性最佳做法

Cloud Composer 3 | Cloud Composer 2 | Cloud Composer 1

確保 Cloud Composer 環境安全至關重要，才能保護機密資料並防止未經授權的存取行為。本頁概述了主要的最佳做法，包括網路安全性、身分和存取權管理、加密和環境設定管理的最佳做法建議。

如要進一步瞭解 Cloud Composer 提供的安全防護功能，請參閱「安全性總覽」。

使用版本管控管理環境設定和 DAG

Airflow CI/CD 管道的範例
圖 1. Airflow CI/CD 管道的範例 (按一下可放大)

  • 使用 Terraform 建立環境。這樣一來，您就可以將環境設定儲存在存放區中，做為程式碼。如此一來，您就能在環境設定變更套用前進行審查，並且透過指派權限較少的角色，減少具有變更設定權限的使用者人數。

  • 在身分與存取權管理中，禁止一般使用者直接存取 DAG 和環境設定，詳情請參閱「身分與存取權管理」一節。

  • 使用 CI/CD 管道在環境中部署 DAG，以便從存放區擷取 DAG 程式碼。如此一來，系統會先審查及核准 DAG，再將變更合併至版本控制系統。在審查期間，核准者會確保 DAG 符合團隊內部建立的安全性標準。審查步驟非常重要，可避免部署可能執行不必要動作的 DAG。

    審查 DAG 時，請考量以下幾個重要的安全性面向：

    • 修改環境值區內容的 DAG 不得修改其他 DAG 的程式碼或存取機密資料，除非這是預期的行為。

    • 除非有意為之，否則 DAG 不得直接查詢 Airflow 資料庫。Cloud Composer 環境中的 DAG 可存取 Airflow 資料庫中的所有資料表。您可以從任何資料表擷取資訊、處理該資訊，然後儲存在 Airflow 資料庫之外。

網路安全

Identity and Access Management

  • 隔離權限。建立環境服務帳戶，並為不同的環境使用不同的服務帳戶。請只將必要的權限指派給這些服務帳戶，以便操作這些環境，並執行在 Airflow DAG 中定義的作業。

  • 避免使用權限過大的服務帳戶。雖然可以建立使用具備廣泛權限的帳戶的環境 (例如由「編輯者」基本角色授予的權限)，但這會導致 DAG 使用比預期更廣泛的權限。

  • 請勿依賴 Cloud Composer 使用的 Google 服務的預設服務帳戶。通常，如果要減少這些服務帳戶的權限，就會影響專案中的其他 Google 服務。

  • 請務必熟悉環境服務帳戶的安全性考量，並瞭解這個帳戶如何與您在專案中授予個別使用者的權限和角色互動。

  • 遵循最低權限原則。只授予使用者必要的最低權限。舉例來說，您可以指派 IAM 角色，讓只有管理員可以存取環境的值區，並停用一般使用者的直接存取權。舉例來說，Composer 使用者角色僅可存取 DAG UI 和 Airflow UI。

  • 強制實施 Airflow UI 存取權控管機制，可根據使用者的 Airflow 角色，減少 Airflow UI 和 DAG UI 中的可見度，並可用於為個別 DAG 指派 DAG 層級權限。

  • 定期查看。定期稽核 IAM 權限和角色，找出並移除任何超額或未使用的權限。

  • 請注意傳遞及儲存機密資料的方式：

    • 傳遞或儲存個人可辨識資訊或密碼等機密資料時，請務必謹慎。如有需要，請使用 Secret Manager 安全地儲存 Airflow 連線和 Airflow 密鑰、API 金鑰、密碼和憑證。請勿將這類資訊儲存在 DAG 或環境變數中。

    • 請只將環境值區的 IAM 權限授予信任的使用者。盡可能使用個別物件權限。「環境服務帳戶的安全性考量」一文列出幾種方法，說明有權存取環境儲存桶的使用者可以如何以環境服務帳戶的名義執行動作。

    • 請務必熟悉快照中儲存的資料，並只將建立環境快照和存取快照所在的儲存空間的權限提供給信任的使用者。

    • 根據預設，所有 Cloud Composer 外部介面都會使用加密機制。連線至外部產品和服務時，請務必使用加密通訊 (SSL/TLS)。

後續步驟