Recomendações de segurança
Para cargas de trabalho que requerem um limite de segurança ou isolamento forte, considere o seguinte:
Para aplicar um isolamento rigoroso, coloque as cargas de trabalho sensíveis à segurança num projeto Google Cloud diferente.
Para controlar o acesso a recursos específicos, ative o controlo de acesso baseado em funções nas suas instâncias do Cloud Data Fusion.
Para garantir que a instância não está acessível publicamente e reduzir o risco de exfiltração de dados confidenciais, ative os endereços IP internos e os VPC Service Controls (VPC-SC) nas suas instâncias.
Autenticação
A IU Web do Cloud Data Fusion suporta mecanismos de autenticação suportados pela consola, com acesso controlado através da gestão de identidade e de acesso. Google Cloud
Controlos de rede
Pode criar uma instância privada do Cloud Data Fusion, que pode ser ligada à sua rede VPC através do intercâmbio da rede da VPC ou do Private Service Connect. As instâncias privadas do Cloud Data Fusion têm um endereço IP interno e não estão expostas à Internet pública. Pode usar os VPC Service Controls para estabelecer um perímetro de segurança em torno de uma instância privada do Cloud Data Fusion e ter acesso a segurança adicional.
Para mais informações, consulte a vista geral da rede do Cloud Data Fusion.
Execução de pipelines em clusters do Dataproc de IP interno pré-criados
Pode usar uma instância privada do Cloud Data Fusion com o aprovisionador remoto do Hadoop. O cluster do Dataproc tem de estar na rede VPC interligada com o Cloud Data Fusion. O aprovisionador do Hadoop remoto está configurado com o endereço IP interno do nó principal do cluster do Dataproc.
Controlo de acesso
Gerir o acesso à instância do Cloud Data Fusion: as instâncias com RBAC ativado suportam a gestão do acesso ao nível do espaço de nomes através do Identity and Access Management. As instâncias com RBAC desativado só suportam a gestão do acesso ao nível da instância. Se tiver acesso a uma instância, tem acesso a todos os pipelines e metadados nessa instância.
Acesso ao pipeline aos seus dados: o acesso ao pipeline aos dados é fornecido através da concessão de acesso à conta de serviço, que pode ser uma conta de serviço personalizada especificada por si.
Regras de firewall
Para uma execução de pipeline, controla a entrada e a saída definindo as regras de firewall adequadas na VPC do cliente na qual o pipeline está a ser executado.
Para mais informações, consulte o artigo Regras da firewall.
Armazenamento de chaves
As palavras-passe, as chaves e outros dados são armazenados em segurança no Cloud Data Fusion e encriptados através de chaves armazenadas no Cloud Key Management Service. Em tempo de execução, o Cloud Data Fusion chama o Cloud Key Management Service para obter a chave usada para desencriptar segredos armazenados.
Encriptação
Por predefinição, os dados são encriptados em repouso através de Google-owned and Google-managed encryption keys> e em trânsito através do TLS v1.2. Usa chaves de encriptação geridas pelo cliente (CMEK) para controlar os dados escritos pelos pipelines do Cloud Data Fusion, incluindo metadados do cluster do Dataproc e origens e destinos de dados do Cloud Storage, BigQuery e Pub/Sub.
Contas de serviço
Os pipelines do Cloud Data Fusion são executados em clusters do Dataproc no projeto do cliente e podem ser configurados para serem executados com uma conta de serviço especificada pelo cliente (personalizada). Tem de ser concedida a uma conta de serviço personalizada a função Utilizador da conta de serviço.
Projetos
Os serviços do Cloud Data Fusion são criados em projetos de inquilinos geridos pela Google aos quais os utilizadores não podem aceder. Os pipelines do Cloud Data Fusion são executados em clusters do Dataproc dentro dos projetos dos clientes. Os clientes podem aceder a estes grupos durante o respetivo ciclo de vida.
Registos de auditoria
Os registos de auditoria do Cloud Data Fusion estão disponíveis no Logging.
Plug-ins e artefactos
Os operadores e os administradores devem ter cuidado ao instalar plug-ins ou artefactos não fidedignos, uma vez que podem apresentar um risco de segurança.
Federação de identidade da força de trabalho
Os utilizadores da federação de identidades da força de trabalho podem realizar operações no Cloud Data Fusion, como criar, eliminar, atualizar e listar instâncias. Para mais informações sobre as limitações, consulte o artigo Federação de identidades da força de trabalho: produtos compatíveis e limitações.