Suggerimenti sulla sicurezza
Per i carichi di lavoro che richiedono un isolamento o un confine di sicurezza solido, considera quanto segue:
Per applicare un isolamento rigoroso, inserisci i carichi di lavoro sensibili per la sicurezza in un altro progetto Google Cloud.
Per controllare l'accesso a risorse specifiche, abilita il controllo degli accessi basato sui ruoli nelle tue istanze Cloud Data Fusion.
Per garantire che l'istanza non sia accessibile pubblicamente e per ridurre il rischio di esfiltrazione di dati sensibili, abilita gli indirizzi IP interni e i Controlli di servizio VPC (VPC-SC) nelle istanze.
Autenticazione
L'interfaccia utente web di Cloud Data Fusion supporta i meccanismi di autenticazione supportati dalla console Google Cloud, con accesso controllato tramite Identity and Access Management.
Controlli di networking
Puoi creare un'istanza privata di Cloud Data Fusion, che può essere connessa in peering con la relativa rete VPC. Le istanze Private Cloud Data Fusion hanno un indirizzo IP privato e non sono esposte alla rete internet pubblica. È disponibile una sicurezza aggiuntiva mediante i Controlli di servizio VPC per stabilire un perimetro di sicurezza attorno a un'istanza privata di Cloud Data Fusion.
Per ulteriori informazioni, consulta la panoramica della rete di Cloud Data Fusion.
Esecuzione della pipeline su cluster Dataproc privati con IP privati già creati
Puoi utilizzare un'istanza privata di Cloud Data Fusion con il provisioning remoto di Hadoop. Il cluster Dataproc deve trovarsi sulla rete VPC in peering con Cloud Data Fusion. Il provisioner remoto di Hadoop è configurato con l'indirizzo IP privato del nodo master del cluster Dataproc.
Controllo dell'accesso
Gestione dell'accesso all'istanza di Cloud Data Fusion: le istanze abilitate per RBAC supportano la gestione dell'accesso a livello di spazio dei nomi tramite Identity and Access Management. Le istanze disabilitate a RBAC supportano solo la gestione dell'accesso a livello di istanza. Se hai accesso a un'istanza, hai accesso a tutte le pipeline e ai metadati in quell'istanza.
Accesso alla pipeline ai dati: l'accesso alla pipeline ai dati è concesso concedendo l'accesso all'account di servizio, che può essere un account di servizio personalizzato da te specificato.
Regole del firewall
Per l'esecuzione di una pipeline, puoi controllare il traffico in entrata e in uscita impostando le regole firewall appropriate sul VPC del cliente su cui viene eseguita la pipeline.
Per maggiori informazioni, consulta Regole firewall.
Archiviazione chiavi
Password, chiavi e altri dati vengono archiviati in modo sicuro in Cloud Data Fusion e criptati tramite chiavi archiviate in Cloud Key Management Service. In fase di runtime, Cloud Data Fusion chiama Cloud Key Management Service per recuperare la chiave utilizzata per decriptare i secret archiviati.
Crittografia
Per impostazione predefinita, i dati at-rest vengono criptati mediante chiavi di crittografia gestite da Google e in transito mediante TLS v1.2. Puoi utilizzare chiavi di crittografia gestite dal cliente (CMEK) per controllare i dati scritti dalle pipeline di Cloud Data Fusion, inclusi i metadati dei cluster Dataproc e le origini dati e i sink di Cloud Storage, BigQuery e Pub/Sub.
Account di servizio
Le pipeline di Cloud Data Fusion vengono eseguite nei cluster Dataproc nel progetto del cliente e possono essere configurate per l'esecuzione utilizzando un account di servizio (personalizzato) specificato dal cliente. A un account di servizio personalizzato deve essere concesso il ruolo Utente account di servizio.
Progetti
I servizi Cloud Data Fusion vengono creati in progetti tenant gestiti da Google a cui gli utenti non possono accedere. Le pipeline di Cloud Data Fusion vengono eseguite su cluster Dataproc all'interno dei progetti dei clienti. I clienti possono accedere a questi cluster durante il loro lifetime.
Audit log
Gli audit log di Cloud Data Fusion sono disponibili in Logging.
Plug-in e artefatti
Gli operatori e gli amministratori devono fare attenzione a installare plug-in o artefatti non attendibili, poiché potrebbero rappresentare un rischio per la sicurezza.
Federazione delle identità per la forza lavoro
Gli utenti della Federazione delle identità per la forza lavoro possono eseguire operazioni in Cloud Data Fusion, tra cui creazione, eliminazione, upgrade ed elencazione di istanze. Per ulteriori informazioni sulle limitazioni, consulta Federazione delle identità per la forza lavoro: prodotti supportati e limitazioni.