Praktik keamanan terbaik

Cloud Composer 1 | Cloud Composer 2 | Cloud Composer 3

Mengamankan lingkungan Cloud Composer sangat penting untuk melindungi data sensitif dan mencegah akses yang tidak sah. Halaman ini menguraikan praktik terbaik utama, termasuk rekomendasi untuk keamanan jaringan, Identity and Access Management, enkripsi, dan pengelolaan konfigurasi lingkungan.

Untuk mendapatkan informasi selengkapnya tentang fitur keamanan yang tersedia di Cloud Composer, lihat Ringkasan keamanan.

Mengelola konfigurasi lingkungan dan DAG menggunakan kontrol versi

Contoh pipeline CI/CD Airflow
Gambar 1. Contoh pipeline CI/CD Airflow (klik untuk memperbesar)

  • Buat lingkungan Anda menggunakan Terraform. Dengan cara ini, Anda dapat menyimpan konfigurasi lingkungan sebagai kode dalam repositori. Dengan cara ini, perubahan pada konfigurasi lingkungan dapat ditinjau sebelum diterapkan, dan Anda dapat mengurangi jumlah pengguna yang memiliki izin untuk mengubah konfigurasi dengan menetapkan peran dengan izin yang lebih sedikit.

  • Deploy DAG di lingkungan Anda dengan pipeline CI/CD, sehingga kode DAG diambil dari repositori. Dengan cara ini, DAG akan ditinjau dan disetujui sebelum perubahan digabungkan ke sistem kontrol versi. Selama proses peninjauan, pemberi persetujuan memastikan bahwa DAG memenuhi kriteria keamanan yang ditetapkan dalam tim mereka. Langkah peninjauan sangat penting untuk mencegah deployment DAG yang mengubah konten bucket lingkungan.

  • Di Identity and Access Management, nonaktifkan akses langsung ke DAG dan konfigurasi lingkungan kepada pengguna reguler, seperti yang dijelaskan di bagian Identity and Access Management.

Keamanan jaringan

  • Gunakan Lingkungan IP pribadi sehingga komponen Airflow dalam yang menjalankan cluster lingkungan Anda tidak diberi alamat IP publik dan hanya berkomunikasi melalui jaringan internal Google.

  • Terapkan aturan firewall yang ketat untuk mengontrol traffic ke dan dari cluster lingkungan Anda.

  • Konfigurasikan konektivitas ke Google API dan layanan Google melalui domain private.googleapis.com sehingga lingkungan Anda mengakses Google API dan layanan Google melalui alamat IP yang hanya dapat dirutekan dari dalam Google Cloud.

  • Tinjau aturan firewall umum di project Anda dan di jaringan VPC tempat lingkungan Anda berada. Bergantung pada cara Anda mengonfigurasinya, komponen Airflow di lingkungan Anda, seperti pekerja Airflow yang menjalankan DAG, dapat mengakses internet.

Identity and Access Management

  • Mengisolasi izin. Buat akun layanan lingkungan dan gunakan akun layanan yang berbeda untuk lingkungan yang berbeda. Tetapkan ke akun layanan ini hanya izin yang benar-benar diperlukan untuk mengoperasikan lingkungan ini dan melakukan operasi yang ditentukan dalam DAG Airflow yang dijalankannya.

  • Hindari penggunaan akun layanan dengan izin yang luas. Meskipun Anda dapat membuat lingkungan yang menggunakan akun dengan izin yang luas, seperti yang diberikan oleh peran dasar Editor, hal ini akan menimbulkan risiko DAG menggunakan izin yang lebih luas dari yang diinginkan.

  • Jangan mengandalkan akun layanan default layanan Google yang digunakan oleh Cloud Composer. Sering kali tidak mungkin untuk mengurangi izin yang tersedia untuk akun layanan ini tanpa memengaruhi layanan Google lainnya dalam project Anda.

  • Pastikan Anda memahami pertimbangan keamanan untuk akun layanan lingkungan dan memahami cara akun ini berinteraksi dengan izin dan peran yang Anda berikan kepada setiap pengguna dalam project Anda.

  • Patuhi prinsip hak istimewa terendah. Hanya berikan izin minimum yang diperlukan kepada pengguna. Misalnya, tetapkan peran IAM, sehingga hanya administrator yang dapat mengakses bucket lingkungan dan cluster lingkungan, dan akses langsung dinonaktifkan untuk pengguna reguler. Misalnya, peran Pengguna Composer hanya memungkinkan akses ke UI DAG dan UI Airflow.

  • Terapkan Kontrol Akses UI Airflow, yang memungkinkan pengurangan visibilitas di UI Airflow dan UI DAG berdasarkan peran Airflow pengguna, dan dapat digunakan untuk menetapkan izin tingkat DAG untuk setiap DAG.

  • Tinjau secara rutin. Lakukan audit izin dan peran IAM secara rutin untuk mengidentifikasi dan menghapus hak istimewa yang berlebihan atau tidak digunakan.

  • Berhati-hatilah saat meneruskan dan menyimpan data sensitif:

    • Berhati-hatilah saat meneruskan penyimpanan data sensitif seperti informasi identitas pribadi atau sandi. Jika diperlukan, gunakan Secret Manager untuk menyimpan koneksi Airflow dan secret Airflow, kunci API, sandi, dan sertifikat dengan aman. Jangan simpan informasi ini dalam DAG atau variabel lingkungan Anda.

    • Berikan izin IAM ke bucket lingkungan hanya kepada pengguna tepercaya. Gunakan izin per objek, jika memungkinkan. Pertimbangan keamanan untuk akun layanan lingkungan mencantumkan beberapa cara pengguna dengan akses ke bucket lingkungan dapat melakukan tindakan atas nama akun layanan lingkungan.

    • Pastikan Anda memahami data yang disimpan dalam snapshot dan berikan izin untuk membuat snapshot lingkungan dan mengakses bucket tempat data disimpan hanya kepada pengguna tepercaya.

    • Semua antarmuka eksternal Cloud Composer menggunakan enkripsi secara default. Saat terhubung ke produk dan layanan eksternal, pastikan Anda menggunakan komunikasi terenkripsi (SSL/TLS).

Langkah selanjutnya