Recomendações de segurança
Para cargas de trabalho que exigem um limite de segurança ou isolamento forte, considere o seguinte:
Para aplicar o isolamento estrito, coloque cargas de trabalho confidenciais em uma em um projeto diferente do Google Cloud.
Para controlar o acesso a recursos específicos, ative controle de acesso baseado em papéis instâncias do Cloud Data Fusion.
Para garantir que a instância não seja acessível publicamente e reduzir o risco de exfiltração de dados confidenciais, ative os endereços IP internos e o VPC Service Controls (VPC-SC) nas suas instâncias.
Autenticação
A interface da Web do Cloud Data Fusion é compatível com mecanismos de autenticação compatíveis com o console do Google Cloud, com acesso controlado pelo gerenciamento de identidade e acesso.
Controles de rede
Crie uma instância privada do Cloud Data Fusion, que pode ser com peering com a rede VPC. As instâncias particulares do Cloud Data Fusion têm um endereço IP interno e não à Internet pública. Segurança adicional está disponível usando o VPC Service Controls para estabelecer um perímetro de segurança em torno de uma instância privada do Cloud Data Fusion.
Para mais informações, consulte a visão geral de rede do Cloud Data Fusion.
Execução de pipeline em clusters de IP interno pré-criados do Dataproc
É possível usar uma instância privada do Cloud Data Fusion com o Provisionador do Hadoop remoto. O cluster do Dataproc precisa estar na rede VPC com peering com o Cloud Data Fusion. O provisionador remoto do Hadoop é configurado com o endereço IP interno do nó mestre do cluster do Dataproc.
Controle de acesso
Como gerenciar o acesso à instância do Cloud Data Fusion: as instâncias com RBAC ativadas são compatíveis com o gerenciamento de acesso no nível do namespace pelo gerenciamento de identidade e acesso. As instâncias desativadas pelo RBAC só são compatíveis com o gerenciamento de acesso no nível da instância. Se você tiver acesso a uma instância, terá acesso a todos os pipelines e metadados nessa instância.
Acesso ao pipeline aos seus dados: o acesso ao pipeline é fornecido pela concessão de acesso à conta de serviço, que pode ser uma conta de serviço personalizada especificada por você.
Regras de firewall
Para uma execução de pipeline, controle a entrada e a saída definindo as regras de firewall apropriadas na VPC do cliente em que o pipeline está sendo executado.
Saiba mais em Regras de firewall.
Armazenamento de chaves
Senhas, chaves e outros dados são armazenados com segurança no Cloud Data Fusion e criptografados usando chaves armazenadas no Cloud Key Management Service. No ambiente de execução, O Cloud Data Fusion chama o Cloud Key Management Service para recuperar a chave usada para descriptografar de secrets armazenados.
Encryption
Por padrão, os dados são criptografados em repouso usando chaves de propriedade e gerenciadas pelo Google e em trânsito usando o TLS v1.2. Use chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês) para controlar os dados gravados pelos pipelines do Cloud Data Fusion, incluindo metadados de cluster do Dataproc e Cloud Storage, BigQuery, as fontes de dados e os coletores do Pub/Sub.
Contas de serviço
Os pipelines do Cloud Data Fusion são executados em clusters do Dataproc no projeto do cliente e podem ser configurados para serem executados usando uma conta de serviço especificada pelo cliente (personalizada). Uma conta de serviço personalizada precisa receber o papel de usuário da conta de serviço.
Projetos
Os serviços do Cloud Data Fusion são criados em projetos de locatários gerenciados pelo Google que os usuários não podem acessar. Os pipelines do Cloud Data Fusion são executados em clusters do Dataproc dentro de projetos de clientes. Os clientes podem acessá-los durante a vida útil.
Registros de auditoria
Os registros de auditoria do Cloud Data Fusion estão disponíveis no Logging.
Plug-ins e artefatos
Os operadores e administradores precisam ser cuidadosos na instalação de plug-ins ou artefatos não confiáveis, porque podem apresentar um risco de segurança.
Federação de identidade da força de trabalho
Os usuários da federação de identidade da força de trabalho podem realizar operações no Cloud Data Fusion, como criar, excluir, atualizar e listar instâncias. Para mais informações sobre as limitações, consulte Federação de identidade da força de trabalho: produtos e limitações compatíveis.