Sécurité

Authentification

L'interface utilisateur Web de Cloud Data Fusion est compatible avec les mécanismes d'authentification compatibles avec Google Cloud Console, avec un accès contrôlé par la gestion de l'authentification et des accès.

Contrôles de mise en réseau

Vous pouvez créer une instance Cloud Data Fusion privée, que vous pouvez appairer à son réseau VPC. Les instances Private Cloud Data Fusion disposent d'une adresse IP privée et ne sont pas exposées à l'Internet public. D'autres fonctionnalités de sécurité sont disponibles grâce à VPC Service Controls pour établir un périmètre de sécurité autour d'une instance privée Cloud Data Fusion.

Pour en savoir plus, consultez la présentation de la mise en réseau dans Cloud Data Fusion.

Exécution du pipeline sur des clusters Dataproc d'adresses IP privées pré-créés

Vous pouvez utiliser une instance Cloud Data Fusion privée avec l'approvisionneur Hadoop distant. Le cluster Dataproc doit se trouver sur le réseau VPC appairé avec Cloud Data Fusion. L'approvisionneur Hadoop distant est configuré avec l'adresse IP privée du nœud maître du cluster Dataproc.

Contrôle des accès

  • Gestion de l'accès à l'instance Cloud Data Fusion : Cloud Data Fusion ne prend en charge que la gestion des accès au niveau de l'instance. Si vous avez accès à une instance, vous avez accès à l'ensemble des pipelines et des métadonnées de cette instance.

  • Accès au pipeline à vos données: l'accès au pipeline aux données est fourni en accordant l'accès au compte de service, qui peut être un compte de service personnalisé que vous spécifiez.

Accès des utilisateurs finaux aux ressources Cloud Data Fusion

Les ressources Cloud Data Fusion sont créées dans des projets locataires appartenant à Google. Cloud Data Fusion ne fournit pas d'accès aux ressources et instances de VM Cloud Data Fusion sous-jacentes des projets locataires.

Règles de pare-feu

Pour exécuter un pipeline, vous contrôlez les entrées et les sorties en définissant les règles de pare-feu appropriées sur le VPC du client sur lequel le pipeline est exécuté.

Pour plus d'informations, consultez la section Règles de pare-feu.

Le stockage des clés

Vous pouvez stocker les mots de passe, les clés et d'autres données en toute sécurité dans le service de gestion de clés cloud. Lors de l'exécution, Cloud Data Fusion appelle Cloud Key Management Service pour récupérer les clés.

Chiffrement

Par défaut, les données sont chiffrées au repos à l'aide de clés de chiffrement gérées par Google et en transit à l'aide de TLS v1.2. Vous utilisez des clés de chiffrement gérées par le client (CMEK) pour contrôler les données écrites par les pipelines Cloud Data Fusion, y compris les métadonnées de cluster Dataproc et Cloud Storage, BigQuery. et des sources et récepteurs de données Pub/Sub.

Comptes de service

Les pipelines Cloud Data Fusion s'exécutent dans des clusters Dataproc dans le projet du client et peuvent être configurés pour s'exécuter à l'aide d'un compte de service (personnalisé) spécifié par le client. Un compte de service personnalisé doit disposer du rôle d'utilisateur du compte de service.

Projets

Les services Cloud Data Fusion sont créés dans des projets locataires gérés par Google auxquels les utilisateurs ne peuvent pas accéder. Les pipelines Cloud Data Fusion s'exécutent sur des clusters Dataproc au sein des projets des clients. Les clients peuvent accéder à ces clusters au cours de leur durée de vie.

Déployez le pipeline.

Journaux d'audit

Les journaux d'audit Cloud Data Fusion sont disponibles dans Logging.

Plug-ins et artefacts

Les opérateurs et les administrateurs doivent éviter d'installer des plug-ins ou des artefacts non fiables, car ils peuvent présenter un risque pour la sécurité.