Prácticas recomendadas de seguridad

Cloud Composer 1 | Cloud Composer 2 | Cloud Composer 3

En esta página, se describe un posible enfoque para organizar la seguridad de un equipo que trabaja con un entorno de Cloud Composer.

Ejemplo de una canalización de CI/CD de Airflow
Figura 1. Ejemplo de una canalización de CI/CD de Airflow (haz clic para ampliar)

Cloud Composer proporciona varias funciones de seguridad que puedes usar cuando trabajas con Airflow en un entorno de Cloud Composer. Además del control de acceso con la administración de identidades y accesos y el control de acceso de la IU de Airflow, puedes configurar un flujo de trabajo para tu equipo que evite la modificación accidental de la configuración del entorno y el código de DAG:

  1. Crea tu entorno con Terraform. De esta manera, puedes almacenar la configuración del entorno como código en un repositorio.

  2. Asigna roles de IAM para que solo los administradores puedan acceder al bucket y al clúster del entorno, y el acceso directo esté inhabilitado para los usuarios normales. Por ejemplo: El rol Usuario de Composer habilita el acceso solo a la IU del DAG y de la IU de Airflow.

  3. Implementa DAG en tu entorno con una canalización de CI/CD, para que el código DAG se recupere de un repositorio. De esta manera, los DAG se revisan y aprueban antes de que los cambios se combinen con el sistema de control de versiones. Durante el proceso de revisión, los revisores se aseguran de que los DAG cumplan con los criterios de seguridad establecidos en sus equipos. El paso de revisión es fundamental para evitar la implementación de DAGs que modifiquen el contenido del bucket del entorno.

¿Qué sigue?