Proteger a função do Cloud
Esta página fornece uma visão geral de alto nível das maneiras de controlar as interações usando seus recursos do Cloud Functions.
Controle de acesso
Há duas abordagens para controlar o acesso do Cloud Functions:
Como proteger o acesso com identidade
Uma maneira de controlar o acesso a uma função é exigir que a entidade solicitante se identifique usando uma credencial. Uma credencial é um "nome" de algum tipo, protegido por um secret que a entidade conhece ou tem acesso, como uma senha ou um dongle de hardware. Por padrão, as funções são implantadas como particular e exigem essa credencial, embora seja possível implantar uma função pública, ou seja, não exigir um.
A primeira etapa do processo é validar a credencial para garantir que
o solicitante seja quem diz ser, que apresente a combinação correta de nome
e secreto. Essa etapa é chamada (Authentication).
Depois que a identidade do requerente for autenticada, o nível de acesso,
as permissões concedidas, poderão ser avaliadas. Essa etapa
é chamada (Authorization).
Autenticação
O Cloud Functions é compatível com dois tipos diferentes de identidades, que também são chamadas de principais:
- Contas de serviço: são contas especiais que servem como identidade de uma pessoa, como uma função, um aplicativo ou uma VM. É uma maneira de autenticar essas pessoas.
- Contas de usuário: elas representam pessoas, sejam proprietários de contas individuais do Google ou como parte de uma entidade controlada pelo Google, como um Grupo do Google.
Para contas de serviço e contas de usuário, a parte do nome da credencial geralmente é um endereço de e-mail associado à conta. O secret para uma conta de usuário geralmente é uma senha e, para uma conta de serviço, geralmente é a chave privada do par de chaves que é criado com a conta.
Porém, as próprias senhas de usuário e chaves da conta de serviço são muito eficientes: podem oferecer acesso amplo a dados e funcionalidades e permanecem eficazes até serem revogadas ou alteradas ativamente. Portanto, para limitar os possíveis danos que podem ocorrer se a credencial vazar, no Google Cloud essa credencial principal é substituída por uma credencial de curto prazo baseada nela, um token, que tem vida útil limitada e é criada imediatamente como parte da sequência de solicitação; O token é transmitido com a solicitação e serve para autenticar a conta com segurança.
Há dois tipos de tokens usados no Cloud Functions: tokens de acesso e tokens de ID. Os tokens de acesso geralmente são usados para autenticar chamadas de API, e os tokens de ID são usados para autenticar chamadas a códigos criados pelo desenvolvedor, por exemplo, se uma função chama outra. Os tokens são criados com o framework OAuth 2 e a extensão dele, Open Identity Connect, mas a sequência é complexa e propensa a erros, e o uso de Bibliotecas de cliente do Cloud para gerenciar o processo é altamente recomendável.
Autorização
Depois que a identidade da entidade solicitante for confirmada, o que o solicitante pode fazer precisa ser avaliado. Essa avaliação se baseia em quais permissões a conta autenticada recebeu quando foi configurada. O Cloud Functions usa o gerenciamento de identidade e acesso (IAM) para fazer isso. Papéis, que são conjuntos de permissões individuais agrupados por conveniência, são atribuídos à conta diretamente ou por uma configuração chamada de política. Cada permissão individual no conjunto de papéis geralmente corresponde a uma única chamada da API REST exposta pelo serviço solicitado. Para mais informações sobre esse processo, consulte Como autorizar o acesso por meio do IAM.
Controle de acesso baseado em rede
Você também pode limitar o acesso especificando as configurações de rede para funções individuais. Isso permite um controle refinado da entrada e saída de rede para e de suas funções.
Isolamento e sandbox
Internamente, as instâncias de função são isoladas umas das outras usando a plataforma de sandbox gVisor. Por concepção, uma função não pode acessar os ambientes operacionais de outras funções.
Atualizações do ambiente de execução
O Google disponibiliza patches de segurança e atualizações de manutenção após um período de testes de estabilidade. O Cloud Functions pode aplicar atualizações a outros aspectos do ambiente de execução, como o sistema operacional ou pacotes incluídos. Essas atualizações ajudam a manter o ambiente de execução da função seguro.
Atualizações de segurança do Cloud Functions
O Cloud Functions oferece duas políticas de atualização de segurança:
Atualizações automáticas: as atualizações e os patches de segurança no ambiente de execução são publicados em novas versões da imagem do ambiente de execução. Após um período de testes de estabilidade e confiabilidade, o ambiente de execução atualizado é lançado para todas as funções, resultando em uma atualização sem inatividade. As atualizações de segurança automáticas estão disponíveis apenas no Cloud Functions (1ª geração).
Atualizações na implantação: as atualizações e os patches de segurança são aplicados aos ambientes de execução somente quando as funções são implantadas ou reimplantadas, a menos que indicado de outra forma. As atualizações na implantação estão disponíveis no Cloud Functions (1ª geração) e no Cloud Functions (2ª geração).
Para saber mais sobre as atualizações de segurança do ambiente de execução, consulte políticas de atualização de segurança.