Segurança

Recomendações de segurança

Para cargas de trabalho que exigem um limite de segurança ou isolamento fortes, considere o seguinte:

  • Para aplicar isolamento rigoroso, coloque cargas de trabalho sensíveis à segurança em outro projeto do Google Cloud.

  • Para controlar o acesso a recursos específicos, ative o controle de acesso com base em papéis nas instâncias do Cloud Data Fusion.

  • Para garantir que a instância não seja acessível publicamente e reduzir o risco de exfiltração de dados confidenciais, ative endereços IP internos e o VPC Service Controls (VPC-SC) nas instâncias.

Authentication

A UI da Web do Cloud Data Fusion oferece suporte a mecanismos de autenticação compatíveis com o console do Google Cloud, com acesso controlado pelo Identity and Access Management.

Controles de rede

Crie uma instância privada do Cloud Data Fusion, que pode ser com peering com a rede VPC. As instâncias do Cloud Data Fusion têm um endereço IP privado e não são expostas à Internet pública. Segurança adicional está disponível usando o VPC Service Controls para estabelecer um perímetro de segurança em torno de uma instância privada do Cloud Data Fusion.

Para mais informações, consulte a visão geral de rede do Cloud Data Fusion.

Execução de pipeline em clusters de IP particular do Dataproc pré-criados

É possível usar uma instância privada do Cloud Data Fusion com o Provisionador do Hadoop remoto. O cluster do Dataproc precisa estar na rede VPC com peering com o Cloud Data Fusion. O provisionador remoto do Hadoop é configurado com o endereço IP privado do nó mestre do cluster do Dataproc.

Controle de acesso

  • Gerenciamento de acesso à instância do Cloud Data Fusion: as instâncias ativadas pelo RBAC são compatíveis com o gerenciamento de acesso em um nível de namespace por meio do Identity and Access Management. As instâncias desativadas pelo RBAC só são compatíveis com o gerenciamento de acesso no nível da instância. Se você tiver acesso a uma instância, terá acesso a todos os pipelines e metadados nessa instância.

  • Acesso ao pipeline aos seus dados: o acesso ao pipeline é fornecido pela concessão de acesso à conta de serviço, que pode ser uma conta de serviço personalizada especificada por você.

Regras de firewall

Para uma execução de pipeline, controle a entrada e a saída definindo as regras de firewall apropriadas na VPC do cliente em que o pipeline está sendo executado.

Saiba mais em Regras de firewall.

Armazenamento de chaves

Senhas, chaves e outros dados são armazenados com segurança no Cloud Data Fusion e criptografados usando chaves armazenadas no Cloud Key Management Service. No ambiente de execução, o Cloud Data Fusion chama o Cloud Key Management Service para recuperar a chave usada para descriptografar os secrets armazenados.

Criptografia

Por padrão, os dados são criptografados em repouso usando chaves de criptografia gerenciadas pelo Google e em trânsito usando o TLS v1.2. Use chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês) para controlar os dados gravados pelos pipelines do Cloud Data Fusion, incluindo metadados de cluster do Dataproc e Cloud Storage, BigQuery, as fontes de dados e os coletores do Pub/Sub.

Contas de serviço

Os pipelines do Cloud Data Fusion são executados em clusters do Dataproc no projeto do cliente e podem ser configurados para serem executados usando uma conta de serviço especificada pelo cliente (personalizada). Uma conta de serviço personalizada precisa receber o papel de usuário da conta de serviço.

Projetos

Os serviços do Cloud Data Fusion são criados em projetos de locatários gerenciados pelo Google que os usuários não podem acessar. Os pipelines do Cloud Data Fusion são executados em clusters do Dataproc dentro de projetos de clientes. Os clientes podem acessá-los durante a vida útil.

Implante o pipeline.

Registros de auditoria

Os registros de auditoria do Cloud Data Fusion estão disponíveis no Logging.

Plug-ins e artefatos

Os operadores e administradores precisam ser cuidadosos na instalação de plug-ins ou artefatos não confiáveis, porque podem apresentar um risco de segurança.

Federação de identidade da força de trabalho

Os usuários da federação de identidade de colaboradores podem executar operações no Cloud Data Fusion, como criar, excluir, fazer upgrade e listar instâncias. Para mais informações sobre limitações, consulte Federação de identidade de colaboradores: limitações e produtos com suporte.