Cloud Composer 1 | Cloud Composer 2 | Cloud Composer 3
Mengamankan lingkungan Cloud Composer sangat penting untuk melindungi data sensitif dan mencegah akses yang tidak sah. Halaman ini menguraikan praktik terbaik utama, termasuk rekomendasi untuk keamanan jaringan, Identity and Access Management, enkripsi, dan pengelolaan konfigurasi lingkungan.
Untuk mendapatkan informasi selengkapnya tentang fitur keamanan yang tersedia di Cloud Composer, lihat Ringkasan keamanan.
Mengelola konfigurasi lingkungan dan DAG menggunakan kontrol versi
Buat lingkungan Anda menggunakan Terraform. Dengan cara ini, Anda dapat menyimpan konfigurasi lingkungan sebagai kode dalam repositori. Dengan cara ini, perubahan pada konfigurasi lingkungan dapat ditinjau sebelum diterapkan, dan Anda dapat mengurangi jumlah pengguna yang memiliki izin untuk mengubah konfigurasi dengan menetapkan peran dengan izin yang lebih sedikit.
Deploy DAG di lingkungan Anda dengan pipeline CI/CD, sehingga kode DAG diambil dari repositori. Dengan cara ini, DAG akan ditinjau dan disetujui sebelum perubahan digabungkan ke sistem kontrol versi. Selama proses peninjauan, pemberi persetujuan memastikan bahwa DAG memenuhi kriteria keamanan yang ditetapkan dalam tim mereka. Langkah peninjauan sangat penting untuk mencegah deployment DAG yang mengubah konten bucket lingkungan.
Di Identity and Access Management, nonaktifkan akses langsung ke DAG dan konfigurasi lingkungan kepada pengguna reguler, seperti yang dijelaskan di bagian Identity and Access Management.
Keamanan jaringan
Gunakan Jenis jaringan IP pribadi untuk lingkungan Anda sehingga komponen Airflow di lingkungan tidak memiliki akses ke internet dan Akses Google Pribadinya dikonfigurasi melalui rentang
private.googleapis.com, yang memungkinkan akses ke Google API, layanan, dan domain yang didukung oleh rentang ini.Nonaktifkan akses ke internet saat menginstal paket PyPI. Sebagai gantinya, gunakan repositori Artifact Registry sebagai satu-satunya sumber paket.
Tinjau aturan firewall di jaringan VPC yang terhubung ke lingkungan Anda (jika terhubung). Bergantung pada cara Anda mengonfigurasinya, komponen Airflow dari lingkungan Anda, seperti pekerja Airflow yang menjalankan DAG, dapat mengakses internet melalui jaringan VPC Anda.
Identity and Access Management
Mengisolasi izin. Buat akun layanan lingkungan dan gunakan akun layanan yang berbeda untuk lingkungan yang berbeda. Tetapkan ke akun layanan ini hanya izin yang benar-benar diperlukan untuk mengoperasikan lingkungan ini dan melakukan operasi yang ditentukan dalam DAG Airflow yang dijalankannya.
Hindari penggunaan akun layanan dengan izin yang luas. Meskipun Anda dapat membuat lingkungan yang menggunakan akun dengan izin yang luas, seperti yang diberikan oleh peran dasar Editor, hal ini akan menimbulkan risiko DAG menggunakan izin yang lebih luas dari yang diinginkan.
Jangan mengandalkan akun layanan default layanan Google yang digunakan oleh Cloud Composer. Sering kali tidak mungkin untuk mengurangi izin yang tersedia untuk akun layanan ini tanpa memengaruhi layanan Google lainnya dalam project Anda.
Pastikan Anda memahami pertimbangan keamanan untuk akun layanan lingkungan dan memahami cara akun ini berinteraksi dengan izin dan peran yang Anda berikan kepada setiap pengguna dalam project Anda.
Patuhi prinsip hak istimewa terendah. Hanya berikan izin minimum yang diperlukan kepada pengguna. Misalnya, tetapkan peran IAM, sehingga hanya administrator yang dapat mengakses bucket lingkungan, dan akses langsung dinonaktifkan untuk pengguna reguler. Misalnya, peran Pengguna Composer hanya memungkinkan akses ke UI DAG dan UI Airflow.
Terapkan Kontrol Akses UI Airflow, yang memungkinkan pengurangan visibilitas di UI Airflow dan UI DAG berdasarkan peran Airflow pengguna, dan dapat digunakan untuk menetapkan izin tingkat DAG untuk setiap DAG.
Tinjau secara rutin. Lakukan audit izin dan peran IAM secara rutin untuk mengidentifikasi dan menghapus hak istimewa yang berlebihan atau tidak digunakan.
Berhati-hatilah saat meneruskan dan menyimpan data sensitif:
Berhati-hatilah saat meneruskan penyimpanan data sensitif seperti informasi identitas pribadi atau sandi. Jika diperlukan, gunakan Secret Manager untuk menyimpan koneksi Airflow dan secret Airflow, kunci API, sandi, dan sertifikat dengan aman. Jangan simpan informasi ini dalam DAG atau variabel lingkungan Anda.
Berikan izin IAM ke bucket lingkungan hanya kepada pengguna tepercaya. Gunakan izin per objek, jika memungkinkan. Pertimbangan keamanan untuk akun layanan lingkungan mencantumkan beberapa cara pengguna dengan akses ke bucket lingkungan dapat melakukan tindakan atas nama akun layanan lingkungan.
Pastikan Anda memahami data yang disimpan dalam snapshot dan berikan izin untuk membuat snapshot lingkungan dan mengakses bucket tempat data disimpan hanya kepada pengguna tepercaya.
Semua antarmuka eksternal Cloud Composer menggunakan enkripsi secara default. Saat terhubung ke produk dan layanan eksternal, pastikan Anda menggunakan komunikasi terenkripsi (SSL/TLS).
Langkah selanjutnya
- Ringkasan Keamanan
- Kontrol akses dengan IAM
- Kontrol Akses UI Airflow
- Presentasi Airflow Summit tentang keamanan DAG