Da ein Workflow keinen Code oder Bibliotheksabhängigkeiten enthält, sind keine Sicherheitspatches erforderlich. Sobald Sie einen Workflow bereitstellen, können Sie davon ausgehen, dass er zuverlässig und ohne Wartung ausgeführt wird. Darüber hinaus bietet Workflows mehrere Sicherheitsfunktionen und bestimmte Compliance-Maßnahmen, um die Sicherheitsanforderungen von Unternehmen zu erfüllen.
Datenverschlüsselung
Google Cloud verwendet standardmäßig mehrere Verschlüsselungsebenen, um Nutzerdaten zu schützen, die in den Produktionsrechenzentren von Google gespeichert sind. Diese Standardverschlüsselung erfolgt auf der Ebene der Anwendung oder der Speicherinfrastruktur. Der Traffic zwischen Ihren Geräten und dem Google Front End (GFE) wird mithilfe starker Verschlüsselungsprotokolle wie Transport Layer Security (TLS) verschlüsselt. Durch die Durchführung von Berechnungen in einer kryptografischen Isolierung werden die verwendeten Daten geschützt und die Vertraulichkeit von Arbeitslasten in einer mehrmandantenfähigen Cloud-Umgebung gewahrt. Weitere Informationen zu den wichtigsten Sicherheitskontrollen, die Google Cloud zum Schutz Ihrer Daten verwendet, finden Sie in der Übersicht zur Google-Sicherheit.
Identitäts- und Zugriffsverwaltung
Da für jede Workflowausführung ein authentifizierter Aufruf erforderlich ist, können Sie mithilfe von Workflows das Risiko versehentlicher oder schädlicher Aufrufe verringern. Workflows verwalten den Zugriff und die Authentifizierung mithilfe von IAM-Rollen und -Berechtigungen (Identity and Access Management). Mithilfe von IAM-basierten Dienstkonten können Sie Interaktionen mit anderen Google Cloud APIs vereinfachen. Weitere Informationen finden Sie unter Workflowberechtigung für den Zugriff auf Google Cloud-Ressourcen gewähren und Authentifizierte Anfragen von einem Workflow aus senden.
Private Endpunkte
Workflows können einen privaten lokalen Endpunkt, die Compute Engine, die Google Kubernetes Engine (GKE) oder einen anderen Google Cloud-Endpunkt über eine HTTP-Anfrage aufrufen. Sie müssen Identity-Aware Proxy (IAP) für den privaten Endpunkt aktivieren, damit Workflows den Endpunkt aufrufen können. Weitere Informationen finden Sie unter Privaten lokalen Endpunkt, Compute Engine, GKE oder einen anderen Endpunkt aufrufen.
Workflows können auch Cloud Functions- oder Cloud Run-Dienste im selben Google Cloud-Projekt aufrufen, bei denen eingehender Traffic auf internen Traffic beschränkt ist. Mit dieser Konfiguration sind Ihre Dienste über das Internet nicht erreichbar, können aber über Workflows erreicht werden.
Passen Sie die Einstellungen für eingehenden Traffic Ihres Dienstes oder Ihrer Funktion an, um diese Einschränkungen anzuwenden. Der Cloud Run-Dienst muss über seine run.app-URL und nicht über eine benutzerdefinierte Domain erreicht werden. Weitere Informationen finden Sie unter Eingehenden Traffic einschränken (für Cloud Run) und Netzwerkeinstellungen konfigurieren (für Cloud Functions). Sie müssen keine weiteren Änderungen an Ihrem Workflow vornehmen.
Kunden-verwaltete Verschlüsselungsschlüssel (CMEK)
Wenn Sie bestimmte Compliance- oder regulatorische Anforderungen in Bezug auf die Schlüssel zum Schutz Ihrer Daten haben, können Sie vom Kunden verwaltete Verschlüsselungsschlüssel (CMEK) für Workflows verwenden. Ihr Workflow und die zugehörigen inaktiven Daten werden mit einem Verschlüsselungsschlüssel geschützt, auf den nur Sie zugreifen können und den Sie mit Cloud Key Management Service (Cloud KMS) steuern und verwalten können. Weitere Informationen finden Sie unter Vom Kunden verwaltete Verschlüsselungsschlüssel verwenden.
Unterstützung für VPC Service Controls (VPC SC)
VPC Service Controls ist ein Mechanismus, um das Risiko der Daten-Exfiltration zu minimieren. Sie können VPC Service Controls mit Workflows verwenden, um Ihre Dienste zu schützen. Weitere Informationen finden Sie unter Dienstperimeter mit VPC Service Controls einrichten.
Secret Manager zum Speichern und Schützen sensibler Daten
Secret Manager ist ein sicheres und praktisches Speichersystem für API-Schlüssel, Passwörter, Zertifikate und andere sensible Daten. Sie können einen Workflow-Connector verwenden, um innerhalb eines Workflows auf Secret Manager zuzugreifen. Dies vereinfacht die Einbindung, da der Connector die Formatierung von Anfragen übernimmt und Methoden und Argumente bereitstellt, sodass Sie die Details der Secret Manager API nicht kennen müssen. Weitere Informationen finden Sie unter Sensible Daten mit dem Secret Manager-Connector sichern und speichern.
Einbindung in Cloud Logging, Cloud Monitoring und Cloud-Audit-Logs
Logs sind eine Hauptquelle für Diagnoseinformationen zum Status Ihrer Workflows. Mit Logging können Sie Logdaten und Ereignisse speichern, ansehen, suchen, analysieren und Benachrichtigungen dazu erhalten.
Workflows ist in Logging eingebunden und generiert automatisch Ausführungslogs für Workflowausführungen. Aufgrund des Streaming-Charakters von Logging können Sie die Logs, die jeder Workflow sofort ausgibt, ansehen und mit Logging aus allen Workflows zentralisieren. Sie können auch mithilfe von Aufruf-Logging oder benutzerdefinierten Logs steuern, wann Logs während einer Workflowausführung an Logging gesendet werden. Weitere Informationen finden Sie unter Logs an Logging senden.
Neben der Auswertung von Logs müssen Sie in der Regel auch andere Aspekte Ihrer Dienste überwachen, um einen zuverlässigen Betrieb zu gewährleisten. Mit Monitoring können Sie sich einen Überblick über die Leistung, die Verfügbarkeit und den Gesamtzustand Ihrer Workflows verschaffen.
Mit Cloud-Audit-Logs können Sie Aktivitäten wie den Datenzugriff erfassen, um Details zu Interaktionen mit Ihren Google Cloud-Ressourcen zu verfolgen und zu verwalten. Mit IAM-Steuerelementen können Sie einschränken, wer Audit-Logs aufrufen kann. Weitere Informationen finden Sie unter Informationen zum Audit-Logging von Workflows.
Einhaltung von Standards
Informationen zur Einhaltung verschiedener Standards von Workflows finden Sie unter Compliancekontrollen.