Sécurité

Authentification

L'interface utilisateur Web de Cloud Data Fusion est compatible avec les mécanismes d'authentification compatibles avec Google Cloud Console, avec un accès contrôlé via la gestion de l'authentification et des accès.

Contrôles de mise en réseau

Les utilisateurs peuvent créer une instance Cloud Data Fusion privée, qui peut être appairer avec leur réseau VPC. Les instances Cloud Data Fusion privées possèdent une adresse IP privée et ne sont pas exposées à l'Internet public. Vous pouvez bénéficier d'une sécurité supplémentaire en utilisant VPC Service Controls pour établir un périmètre de sécurité autour d'une instance Cloud Data Fusion privée.

Pour en savoir plus, consultez la présentation de la mise en réseau Cloud Data Fusion.

Exécution du pipeline sur des clusters Dataproc d'adresses IP privées pré-créés

Vous pouvez utiliser une instance Cloud Data Fusion privée avec l'approvisionneur Hadoop distant. Le cluster Dataproc doit se trouver sur le réseau VPC appairé à Cloud Data Fusion. L'approvisionneur Hadoop distant est configuré avec l'adresse IP privée du nœud maître du cluster Dataproc.

Contrôle des accès

  • Gestion de l'accès à l'instance Cloud Data Fusion : Cloud Data Fusion n'est compatible qu'avec la gestion des accès au niveau de l'instance. Si vous avez accès à une instance, vous avez accès à l'ensemble des pipelines et des métadonnées de cette instance.

  • Accès du pipeline à vos données : l'accès du pipeline aux données est fourni en accordant l'accès au compte de service, qui peut être un compte de service personnalisé que vous spécifiez.

Accès des utilisateurs finaux aux ressources Cloud Data Fusion

Les ressources Cloud Data Fusion sont créées dans des projets locataires appartenant à Google. Cloud Data Fusion ne fournit pas d'accès aux ressources et aux instances de VM Cloud Data Fusion sous-jacentes des projets locataires.

Règles de pare-feu

Pour une exécution de pipeline, vous contrôlez les entrées et sorties en définissant les règles de pare-feu appropriées sur le VPC client sur lequel le pipeline est exécuté.

Pour plus d'informations, consultez la section Règles de pare-feu.

Le stockage des clés

Vous pouvez stocker des mots de passe, clés et autres données en toute sécurité dans Cloud Key Management Service. Au moment de l'exécution, Cloud Data Fusion appelle Cloud Key Management Service pour récupérer les clés.

Chiffrement

Par défaut, les données sont chiffrées au repos à l'aide de clés de chiffrement gérées par Google et en transit à l'aide de TLS v1.2. Utilisez des clés de chiffrement gérées par le client (CMEK) pour contrôler les données écrites par les pipelines Cloud Data Fusion, y compris les métadonnées de cluster Dataproc et les sources de données et les récepteurs Cloud Storage, BigQuery et Pub/Sub.

Comptes de service

Les pipelines Cloud Data Fusion s'exécutent dans des clusters Dataproc du projet client et peuvent être configurés pour s'exécuter à l'aide d'un compte de service spécifié par le client (personnalisé). Un compte de service personnalisé doit disposer du rôle Utilisateur du compte de service.

Projets

Les services Cloud Data Fusion sont créés dans des projets locataires gérés par Google auxquels les utilisateurs ne peuvent pas accéder. Les pipelines Cloud Data Fusion s'exécutent sur des clusters Dataproc au sein de projets clients. Les clients peuvent accéder à ces clusters tout au long de leur durée de vie.

Déployez le pipeline.

Journaux d'audit

Les journaux d'audit Cloud Data Fusion sont disponibles dans Logging.

Plug-ins et artefacts

Les opérateurs et les administrateurs doivent éviter d'installer des plug-ins ou des artefacts non approuvés, car ceux-ci peuvent présenter un risque de sécurité.