Como um fluxo de trabalho não tem dependências de código ou de biblioteca, ele não requer patches de segurança. Depois de implantar um fluxo de trabalho, ele é executado de maneira confiável sem manutenção. Além disso, o Workflows oferece vários recursos de segurança e adota medidas de compliance específicas para atender aos requisitos de segurança da empresa.
Criptografia de dados
Por padrão, o Google Cloud usa várias camadas de criptografia para proteger os dados do usuário armazenados nos data centers do Google. Essa criptografia padrão ocorre na camada de infraestrutura de aplicativo ou de armazenamento. O tráfego entre seus dispositivos e o Google Front End (GFE) é criptografado com protocolos de criptografia fortes, como o Transport Layer Security (TLS). Seus dados em uso são protegidos, e a confidencialidade das cargas de trabalho em um ambiente de nuvem multilocatário é mantida, realizando a computação em isolamento criptográfico. Para mais informações sobre os principais controles de segurança que o Google Cloud usa para proteger seus dados, consulte a Visão geral da segurança do Google.
Gerenciamento de identidade e acesso
Como cada execução de fluxo de trabalho requer uma chamada autenticada, é possível usar fluxos de trabalho para reduzir o risco de chamadas acidentais ou maliciosas. O Workflows gerencia o acesso e a autenticação usando papéis e permissões do Identity and Access Management (IAM). É possível simplificar as interações com outras APIs do Google Cloud usando contas de serviço baseadas no IAM. Para mais detalhes, consulte Conceder permissão a um fluxo de trabalho para acessar recursos do Google Cloud e Fazer solicitações autenticadas de um fluxo de trabalho.
Endpoints particulares
Workflows podem invocar um endpoint privado local, do Compute Engine, do Google Kubernetes Engine (GKE) ou outro endpoint do Google Cloud por uma solicitação HTTP. É necessário ativar o Identity-Aware Proxy (IAP) para o endpoint privado para que os Workflows possam invocar o endpoint. Para mais informações, consulte Invocar um endpoint privado local, do Compute Engine, do GKE ou outro.
Workflows também podem invocar funções ou serviços do Cloud Run no mesmo projeto do Google Cloud que tenha entrada restrita ao tráfego interno. Com essa configuração, seus
serviços são inacessíveis na Internet, mas podem ser acessados no Workflows.
Para aplicar essas restrições, ajuste as configurações de entrada do seu serviço ou função. O serviço do Cloud Run precisa ser acessado pelo URL run.app, não por um domínio personalizado. Para mais informações,
consulte Como restringir a entrada (para o Cloud Run)
e Como definir configurações de rede
(para funções do Cloud Run). Nenhuma outra alteração é necessária no fluxo de trabalho.
Chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês)
Se você tiver requisitos regulatórios ou de compliance específicos relacionados às chaves que protegem seus dados, use chaves de criptografia gerenciadas pelo cliente (CMEK) para Workflows. Seu fluxo de trabalho e os dados associados em repouso são protegidos usando uma chave de criptografia que só você pode acessar e controlar e gerenciar usando o Cloud Key Management Service (Cloud KMS). Para mais informações, consulte Usar chaves de criptografia gerenciadas pelo cliente.
Suporte do VPC Service Controls (VPC SC)
O VPC Service Controls é um mecanismo para reduzir os riscos de exfiltração de dados. É possível usar o VPC Service Controls com Workflows para ajudar a proteger seus serviços. Para mais informações, consulte Configurar um perímetro de serviço usando o VPC Service Controls.
Secret Manager para armazenar e proteger dados sensíveis
O Secret Manager é um sistema de armazenamento prático e seguro para chaves de API, senhas, certificados e outros dados sensíveis. É possível usar um conector do Workflows para acessar o Secret Manager em um fluxo de trabalho. Isso simplifica a integração, porque o conector processa a formatação das solicitações e fornece métodos e argumentos para que você não precise conhecer os detalhes da API Secret Manager. Para mais informações, consulte Proteger e armazenar dados sensíveis usando o conector do Secret Manager.
Integração com o Cloud Logging, o Cloud Monitoring e os registros de auditoria do Cloud
Os registros são uma fonte importante de informações de diagnóstico sobre a integridade dos fluxos de trabalho. Com o Logging, é possível armazenar, visualizar, pesquisar, analisar e criar alertas sobre dados e eventos de registro.
O Workflows é integrado ao Logging e gera automaticamente registros de execução para execuções de fluxo de trabalho. Devido à natureza de streaming do Logging, é possível conferir os registros que qualquer fluxo de trabalho emite imediatamente e usar o Logging para centralizar os registros de todos os fluxos de trabalho. Também é possível usar registros de chamadas ou registros personalizados para controlar quando os registros são enviados para o Logging durante uma execução de fluxo de trabalho. Para mais detalhes, consulte Enviar registros para o Logging.
Além de consumir registros, normalmente é preciso monitorar outros aspectos dos seus serviços para garantir uma operação confiável. Use o Monitoramento para ter visibilidade do desempenho, do tempo de atividade e da integridade geral dos fluxos de trabalho.
Para acompanhar e manter detalhes das interações com seus recursos do Google Cloud, use os Registros de auditoria do Cloud para capturar atividades, como acesso a dados. Use os controles do IAM para limitar quem pode acessar os registros de auditoria. Para mais informações, consulte as informações de registro de auditoria para fluxos de trabalho e execuções de fluxo de trabalho.
Compliance com os padrões
Para confirmar a conformidade Workflows com vários padrões, consulte Controles de compliance.