Ringkasan keamanan Managed Airflow

Managed Airflow (Gen 3) | Managed Airflow (Gen 2) | Managed Airflow (Gen 1 Lama)

Managed Airflow menawarkan sejumlah fitur keamanan dan kepatuhan yang bermanfaat bagi perusahaan dengan persyaratan keamanan yang lebih ketat.

Tiga bagian ini menyajikan informasi tentang fitur keamanan Managed Airflow:

Fitur keamanan dasar

Bagian ini mencantumkan fitur terkait keamanan yang disediakan secara default untuk setiap lingkungan Managed Airflow.

Enkripsi dalam penyimpanan

Managed Airflow menggunakan enkripsi dalam penyimpanan di Google Cloud.

Managed Airflow menyimpan data di berbagai layanan. Misalnya, Airflow Metadata DB menggunakan database Cloud SQL, DAG disimpan di bucket Cloud Storage.

Secara default, data dienkripsi menggunakan Google-owned and Google-managed encryption keys.

Jika mau, Anda dapat mengonfigurasi lingkungan Managed Airflow agar di enkripsi dengan kunci enkripsi yang dikelola pelanggan.

Akses level bucket yang seragam

Akses level bucket yang seragam memungkinkan Anda mengontrol akses ke resource Cloud Storage secara seragam. Mekanisme ini juga berlaku untuk bucket lingkungan Anda, yang menyimpan DAG dan plugin.

Izin pengguna

Managed Airflow memiliki beberapa fitur untuk mengelola izin pengguna:

  • Peran dan izin IAM. Lingkungan Managed Airflow di a Google Cloud project hanya dapat diakses oleh pengguna yang akunnya ditambahkan ke IAM project.

  • Peran dan izin khusus Managed Airflow. Anda menetapkan peran dan izin ini ke akun pengguna di project Anda. Setiap peran menentukan jenis operasi yang dapat dilakukan akun pengguna di lingkungan Managed Airflow dalam project Anda.

  • Kontrol Akses UI Airflow. Pengguna di project Anda dapat memiliki tingkat akses yang berbeda di UI Airflow. Mekanisme ini disebut Kontrol Akses UI Airflow (Kontrol Akses Berbasis Peran Airflow, atau RBAC Airflow).

  • Aktivitas Berbagi yang Dibatasi Domain (DRS). Managed Airflow mendukung kebijakan organisasi Aktivitas Berbagi yang Dibatasi Domain. Jika Anda menggunakan kebijakan ini, hanya pengguna dari domain yang dipilih yang dapat mengakses lingkungan Anda.

Lingkungan IP Pribadi

Anda dapat membuat lingkungan Managed Airflow dalam konfigurasi jaringan IP Pribadi.

Dalam mode IP Pribadi, node cluster lingkungan Anda tidak memiliki alamat IP eksternal dan tidak berkomunikasi melalui internet publik.

Cluster lingkungan Anda menggunakan Shielded VM

Shielded VM adalah virtual machine (VM) di Google Cloud yang telah melalui proses hardening oleh serangka rangkaian kontrol keamanan yang membantu memberikan pertahanan dari rootkit dan bootkit.

Lingkungan Managed Airflow (Gen 1 Lama) yang dibuat berdasarkan GKE versi 1.18 dan yang lebih baru menggunakan Shielded VM untuk menjalankan node cluster lingkungannya.

Fitur keamanan lanjutan

Bagian ini mencantumkan fitur terkait keamanan lanjutan untuk lingkungan Managed Airflow.

Kunci Enkripsi yang Dikelola Pelanggan (CMEK)

Managed Airflow mendukung Kunci Enkripsi yang Dikelola Pelanggan (CMEK). CMEK memberi Anda lebih banyak kontrol atas kunci yang digunakan untuk mengenkripsi data dalam penyimpanan dalam a Google Cloud project.

Anda dapat menggunakan CMEK dengan Managed Airflow untuk mengenkripsi dan mendekripsi data yang dihasilkan oleh lingkungan Managed Airflow.

Dukungan Kontrol Layanan VPC (VPC SC)

Kontrol Layanan VPC adalah mekanisme untuk mengurangi risiko pemindahan data yang tidak sah.

Managed Airflow dapat dipilih sebagai layanan yang diamankan di dalam perimeter Kontrol Layanan VPC. Semua resource dasar yang digunakan oleh Managed Airflow dikonfigurasi untuk mendukung arsitektur Kontrol Layanan VPC dan mengikuti aturannya. Hanya lingkungan IP Pribadi yang dapat dibuat di perimeter VPC SC.

Men-deploy lingkungan Managed Airflow dengan Kontrol Layanan VPC memberi Anda:

  • Pengurangan risiko pemindahan data yang tidak sah.

  • Perlindungan terhadap data yang terekspos karena kontrol akses yang salah konfigurasi.

  • Pengurangan risiko pengguna berbahaya yang menyalin data ke resource Google Cloud yang tidak sah, atau penyerang eksternal yang mengakses Google Cloud resource dari internet.

Tingkat kontrol akses jaringan server web (ACL)

Server web Airflow di Managed Airflow selalu disediakan dengan alamat IP yang dapat diakses secara eksternal. Anda dapat mengontrol alamat IP yang dapat digunakan untuk mengakses UI Airflow. Managed Airflow mendukung rentang IPv4 dan IPv6.

Anda dapat mengonfigurasi batasan akses server web di Google Cloud konsol, gcloud, API, dan Terraform.

Secret Manager sebagai penyimpanan data konfigurasi sensitif

Di Managed Airflow, Anda dapat mengonfigurasi Airflow untuk menggunakan Secret Manager sebagai backend tempat variabel koneksi Airflow disimpan.

Developer DAG juga dapat membaca variabel dan koneksi yang disimpan di Secret Manager dari kode DAG.

Kepatuhan terhadap standar

Lihat halaman yang ditautkan di bawah untuk memeriksa kepatuhan Managed Airflow terhadap berbagai standar:

Lihat juga

Beberapa fitur keamanan yang disebutkan dalam artikel ini dibahas dalam presentasi Airflow Summit 2020: Menjalankan DAG Airflow dengan cara yang aman.

Langkah berikutnya