Panoramica sulla sicurezza di Cloud Composer

Cloud Composer 1 | Cloud Composer 2 | Cloud Composer 3

Cloud Composer offre alcune funzionalità di sicurezza e di conformità vantaggiose per le aziende requisiti di sicurezza.

Queste tre sezioni presentano informazioni su Cloud Composer funzionalità di sicurezza:

Funzionalità di sicurezza di base

In questa sezione sono elencate le funzionalità di sicurezza fornite per impostazione predefinita per ogni nell'ambiente Cloud Composer.

Crittografia dei dati inattivi

Cloud Composer utilizza crittografia at-rest in Google Cloud.

Cloud Composer archivia i dati in servizi diversi. Ad esempio: utilizza il database Cloud SQL, i DAG vengono archiviati di archiviazione dei bucket Cloud Storage.

Per impostazione predefinita, i dati vengono criptati utilizzando chiavi di crittografia gestite da Google.

Se preferisci, puoi configurare gli ambienti Cloud Composer in modo che vengano criptati con chiavi di crittografia gestite dal cliente.

Accesso uniforme a livello di bucket

L'accesso uniforme a livello di bucket consente di controllare in modo uniforme l'accesso alle risorse Cloud Storage. Questo meccanismo si applica anche al bucket del tuo ambiente, che immagazzina i DAG e i plug-in.

Autorizzazioni utente

Cloud Composer include diverse funzionalità per la gestione delle autorizzazioni degli utenti:

  • Ruoli e autorizzazioni IAM. Cloud Composer di ambienti di un progetto Google Cloud sono accessibili solo agli utenti i cui account vengono aggiunti a IAM del progetto.

  • Ruoli e autorizzazioni specifici di Cloud Composer. Assegna questi ruoli e queste autorizzazioni agli account utente del tuo progetto. Ogni ruolo definisce i tipi di operazioni che un account utente può eseguire negli ambienti Cloud Composer del progetto.

  • Controllo dell'accesso all'UI di Airflow. Utenti nel tuo progetto possono avere livelli di accesso diversi nella UI di Airflow. Questo meccanismo è chiamato Controllo dell'accesso all'UI di Airflow (basato su ruoli di Airflow controllo degli accessi o RBAC di Airflow).

  • Condivisione limitata del dominio (DRS). Cloud Composer supporta Criteri dell'organizzazione relativi alla condivisione limitata per i domini. Se utilizzi questo criterio, solo gli utenti dei domini selezionati possono accedere ai tuoi ambienti.

Ambienti IP privati

Puoi creare ambienti Cloud Composer nella configurazione di rete IP privato.

In modalità IP privato, i nodi del cluster dell'ambiente non hanno indirizzi IP esterni e non comunicano tramite la rete internet pubblica.

Il cluster del tuo ambiente utilizza Shielded VM

Le VM schermate sono macchine virtuali (VM) su Google Cloud protette da un set di controlli di sicurezza che contribuiscono alla difesa da rootkit e bootkit.

Gli ambienti Cloud Composer 1 creati in base alle versioni GKE 1.18 e successive utilizzano le VM isolate per eseguire i nodi del cluster dell'ambiente.

Funzionalità di sicurezza avanzate

Questa sezione elenca le funzionalità avanzate relative alla sicurezza per gli ambienti Cloud Composer.

Chiavi di crittografia gestite dal cliente (CMEK)

Cloud Composer supporta chiavi di crittografia gestite dal cliente (CMEK). Le chiavi CMEK ti forniscono un maggiore controllo sulle chiavi utilizzate per criptare i dati at-rest all'interno di un progetto Google Cloud.

Puoi utilizzare CMEK con Cloud Composer per criptare e decriptare i dati generati da un ambiente Cloud Composer.

Supporto di Controlli di servizio VPC (VPC SC)

Controlli di servizio VPC è un meccanismo per mitigare i rischi di esfiltrazione di dati.

Cloud Composer può essere selezionato come servizio sicuro all'interno un perimetro dei Controlli di servizio VPC. Tutte le risorse sottostanti utilizzate da Cloud Composer sono configurate per supportare l'architettura di VPC Service Controls e seguire le relative regole. In un perimetro SC VPC possono essere creati solo ambienti IP privato.

Il deployment di ambienti Cloud Composer con Controlli di servizio VPC offre:

  • Riduzione del rischio di esfiltrazione di dati.

  • Protezione dall'esposizione dei dati dovuta a controlli di accesso configurati in modo errato.

  • Riduzione del rischio di utenti malintenzionati che copiano i dati in siti non autorizzati Risorse Google Cloud o utenti malintenzionati esterni che accedono delle risorse Google Cloud da internet.

Livelli di controllo dell'accesso di rete (ACL) del server web

Per i server web Airflow in Cloud Composer viene sempre eseguito il provisioning con un indirizzo IP accessibile dall'esterno. Puoi controllare da quali indirizzi IP si può accedere all'interfaccia utente di Airflow. Cloud Composer supporta gli intervalli IPv4 e IPv6.

Puoi configurare le limitazioni di accesso al server web nella console Google Cloud, in gcloud, nell'API e in Terraform.

Secret Manager come spazio di archiviazione per i dati di configurazione sensibili

In Cloud Composer, puoi configurare Airflow per utilizzare Secret Manager come backend in cui sono archiviate le variabili di connessione Airflow.

Gli sviluppatori di DAG possono anche leggere le variabili e le connessioni memorizzate in Secret Manager dal codice DAG.

Conformità agli standard

Per verificare la conformità di Cloud Composer ai vari standard, consulta le pagine collegate ai link di seguito:

Vedi anche

Alcune delle funzionalità di sicurezza menzionate in questo articolo sono descritte nella presentazione del summit Airflow 2020: Esegui DAG Airflow in modo sicuro.

Passaggi successivi