セキュリティに関するベスト プラクティス

Cloud Composer 1 | Cloud Composer 2

このページでは、Cloud Composer 環境で作業するチームのセキュリティを整理する 1 つの方法について説明します。

Airflow CI / CD パイプラインの例
図 1。Airflow CI / CD パイプラインの例（クリックして拡大）

Cloud Composer では、Cloud Composer 環境で Airflow を操作するときに使用できるセキュリティ機能がいくつかあります。Identity and Access Management を使用したアクセス制御と Airflow UI アクセス制御に加えて、環境の構成と DAG コードの両方の予期しない変更を防止するチーム用のワークフローを設定できます。

  1. Terraform を使用して環境を作成します。 このようにして、環境の構成をコードとしてリポジトリに格納できます。

  2. IAM のロールを割り当て、管理者だけが環境のバケットと環境のクラスタにアクセスできるようにし、通常のユーザーでは直接アクセスを無効にします。たとえば、Composer ユーザーのロールは、DAG UI と Airflow UI へのアクセスのみを許可します。

  3. CI / CD パイプラインを使用して DAG を環境にデプロイし、DAG コードがリポジトリから取得されるようにします。このようにして、DAG がレビューされてから承認され、変更がバージョン管理システムにマージされます。承認プロセスでは、承認者が、DAG がチーム内で確立されたセキュリティ基準を満たすことを確認します。確認手順は、環境のバケットの内容を変更する DAG のデプロイを防ぐために重要です。

次のステップ