安全性方面的最佳做法

Cloud Composer 1 | Cloud Composer 2 | Cloud Composer 3

本页面介绍了为使用 Cloud Composer 环境的团队组织安全性的一种可行方法。

Airflow CI/CD 流水线示例
图 1. Airflow CI/CD 流水线示例（点击可放大）

Cloud Composer 提供了多项安全功能，您在 Cloud Composer 环境中使用 Airflow 时可以使用这些功能。除了使用 Identity and Access Management 进行访问权限控制和 Airflow 界面访问权限控制外，您还可以为团队设置工作流，以防止意外修改环境配置和 DAG 代码：

  1. 使用 Terraform 创建环境。 这样，您就可以将环境的配置作为代码存储在代码库中。

  2. 分配 IAM 角色，以便只有管理员可以访问环境的存储桶和环境的集群，并且普通用户的直接访问功能已停用。例如，Composer User 角色仅允许访问 DAG 界面和 Airflow 界面。

  3. 使用 CI/CD 流水线在您的环境中部署 DAG，以便从代码库中检索 DAG 代码。这样，DAG 会在更改合并到版本控制系统之前接受审核和批准。在审核过程中，审批人需确保 DAG 符合其团队制定的安全标准。审核步骤对于防止部署的 DAG 修改环境存储桶的内容至关重要。

后续步骤