Dataproc-Modell der geteilten Verantwortung

Für das Ausführen geschäftskritischer Arbeitslasten in Dataproc müssen mehrere Parteien unterschiedliche Verantwortlichkeiten übernehmen. Auf dieser Seite werden die Verantwortlichkeiten aufgeführt, die Google und dem Kunden obliegen. Die Liste ist jedoch nicht vollständig.

Dataproc: Verantwortlichkeiten von Google

• Schutz der zugrunde liegenden Infrastruktur, einschließlich Hardware, Firmware, Kernel, Betriebssystem, Speicher, Netzwerk und mehr. Dazu zählen:

  • Ruhende Daten standardmäßig verschlüsseln
  • Zusätzliche vom Kunden verwaltete Laufwerkverschlüsselung
  • Daten während der Übertragung verschlüsseln
  • mit kundenspezifischer Hardware
  • Verlegen von Private-Network-Kabeln
  • Rechenzentren vor physischem Zugriff schützen
  • Schutz des Bootloaders und des Kernels vor Modifikationen mithilfe von geschützten Knoten
  • Netzwerkschutz mit VPC Service Controls
  • die sichere Softwareentwicklung einhalten

• Sicherheitspatches für Dataproc-Images werden veröffentlicht . Dazu zählen:

  • Patches für die Basisbetriebssysteme in Dataproc-Images (Ubuntu, Debian und Rocky Linux)
  • Patches und Fehlerkorrekturen für die Open-Source-Komponenten, die in Dataproc-Images enthalten sind
    Sicherheits-Patches sind möglicherweise nur für Betriebssystemversionen oder Open-Source-Software verfügbar, die in der neuesten Version von Dataproc-Images enthalten sind. Es liegt in der Verantwortung des Kunden, die neueste verfügbare Dataproc-Image-Version zu verwenden.

• Bereitstellung von Google Cloud-Integrationen für Connect, Identity and Access Management, Cloud-Audit-Logs, Cloud Key Management Service, Security Command Center und andere.

• Beschränken und Protokollieren des administrativen Zugriffs von Google auf Kundencluster mit Access Transparency und Access Approval für vertragliche Supportzwecke

• Best Practices für die Konfiguration von Dataproc und der Open-Source-Komponenten in Dataproc-Images empfehlen

Dataproc: Pflichten der Kunden

• Verwalten der Arbeitslasten, einschließlich Anwendungscode, benutzerdefinierter Images, Daten, IAM-Richtlinien und Clustern, die Sie ausführen

• Cluster auf aktuellen Dataproc-Images ausführen, indem Sie die neueste Sub-Minor-Image-Version verwenden, Ihre benutzerdefinierten Images sofort aktualisieren und so bald wie möglich zur neuesten Minor-Image-Version migrieren. Die Bildmetadaten enthalten ein previous-subminor-Label, das auf true gesetzt wird, wenn im Cluster nicht die neueste Sub-Minor-Version des Images verwendet wird. Informationen zum Aufrufen von Bildmetadaten finden Sie unter Wichtige Hinweise zu Versionen.

• Google auf Anfrage Details zur Umgebung zur Verfügung stellen, damit Probleme behoben werden können

• Best Practices für die Konfiguration von Dataproc und anderen Google Cloud-Diensten sowie für die Konfiguration von Open-Source-Komponenten in Dataproc-Images befolgen