ワークフローにはコードやライブラリの依存関係が含まれていないため、セキュリティ パッチは必要ありません。ワークフローをデプロイすると、メンテナンスなしで確実に実行されます。さらに、Workflows はいくつかのセキュリティ機能を提供し、企業のセキュリティ要件を満たすために特定のコンプライアンス対策を講じます。
データ暗号化
Google Cloud では、デフォルトで複数の暗号化レイヤを使用して、Google の本番環境データセンターに保存されているユーザーデータを保護します。このデフォルトの暗号化は、アプリケーション レイヤまたはストレージ インフラストラクチャ レイヤで行われます。デバイスと Google Front End（GFE）間のトラフィックは、Transport Layer Security（TLS）などの強力な暗号化プロトコルを使用して暗号化されます。暗号分離でコンピューティングを実行することで、使用中のデータが保護され、マルチテナント クラウド環境内のワークロードの機密性が維持されます。Google Cloud がデータの保護に使用する主なセキュリティ管理の詳細については、Google セキュリティの概要をご覧ください。
ID とアクセスの管理
すべてのワークフローの実行で認証された呼び出しが必要になるため、Workflows を使用して、誤った呼び出しや悪意のある呼び出しのリスクを軽減できます。 Workflows は、Identity and Access Management（IAM）のロールと権限を使用してアクセスと認証を管理します。IAM ベースのサービス アカウントを使用すると、他の Google Cloud APIs の操作を簡素化できます。詳細については、Google Cloud リソースにアクセスするための権限をワークフローに付与するとワークフローから認証済みリクエストを行うをご覧ください。
プライベート エンドポイント
Workflows は、HTTP リクエストを介してプライベート オンプレミス、Compute Engine、Google Kubernetes Engine（GKE）、その他の Google Cloud エンドポイントを呼び出すことができます。Workflows がエンドポイントを呼び出せるように、プライベート エンドポイントの Identity-Aware Proxy（IAP）を有効にする必要があります。詳細については、プライベート オンプレミス、Compute Engine、GKE、その他のエンドポイントを呼び出すをご覧ください。
Workflows では、上り（内向き）が内部トラフィックに制限されている同じ Google Cloud プロジェクト内の Cloud Run 関数や Cloud Run サービスを呼び出すこともできます。この構成では、インターネットからサービスにアクセスできませんが、ワークフローからはサービスにアクセスできます。
これらの制限を適用するには、サービスまたは関数の上り（内向き）設定を調整する必要があります。Cloud Run サービスには、カスタム ドメインではなく、run.app URL でアクセスする必要があります。詳細については、上り（内向き）の制限（Cloud Run の場合）とネットワーク設定の構成（Cloud Run 関数の場合）をご覧ください。ワークフローに対するその他の変更は必要ありません。
顧客管理の暗号鍵（CMEK）
データを保護する鍵について特定のコンプライアンスや規制の要件がある場合は、Workflows に顧客管理の暗号鍵（CMEK）を使用できます。ワークフローと関連する保存データは、本人だけがアクセスでき、Cloud Key Management Service（Cloud KMS）で制御と管理ができる暗号鍵を使用して保護されます。 詳細については、顧客管理の暗号鍵をご覧ください。
VPC Service Controls（VPC SC）のサポート
VPC Service Controls は、データの引き出しのリスクを軽減する仕組みです。Workflows で VPC Service Controls を使用すると、サービスを保護できます。詳細については、VPC Service Controls を使用してサービス境界を設定するをご覧ください。
センシティブ データを保存して保護する Secret Manager
Secret Manager は、API キー、パスワード、証明書、その他の機密データを保存するための安全で便利なストレージ システムです。Workflows コネクタを使用して、ワークフロー内の Secret Manager にアクセスできます。これにより、統合が簡素化されます。これは、コネクタによってリクエストの形式設定が処理され、Secret Manager API の詳細を認識する必要がないようにメソッドと引数が提供されるためです。詳細については、Secret Manager コネクタを使用してセンシティブ データを保護して保存するをご覧ください。
Cloud Logging、Cloud Monitoring、Cloud Audit Logs との統合
ログは、Workflows の状態に関する診断情報の主なソースです。Logging を使用すると、ログデータとイベントの保存、表示、検索、分析、アラートを行うことができます。
Workflows は Logging と統合され、ワークフロー実行の実行ログを自動的に生成します。Logging のストリーミングの性質上、Workflows によって出力されるログがすぐに出力され、Logging を使用してすべてのワークフローのログを一元化できます。また、コールロギングまたはカスタムログを使用して、ワークフローの実行中にログが Logging に送信されるタイミングを制御できます。詳細については、Logging にログを送信するをご覧ください。
安定したオペレーションを確実に行うには、ログを使用するだけでなく、サービスの他の側面もモニタリングする必要があります。Monitoring を使用すると、Workflows のパフォーマンス、稼働時間、全体的な動作状況を確認できます。
Google Cloud リソースとのやり取りの詳細を追跡および管理するには、Cloud Audit Logs を使用してデータアクセスなどのアクティビティをキャプチャします。監査ログを表示できるユーザーを制限するには、IAM コントロールを使用します。詳細については、ワークフローとワークフロー実行の監査ロギング情報をご覧ください。
基準の遵守
Workflows がさまざまな標準に準拠していることを確認するには、コンプライアンス管理をご覧ください。