Responsabilité partagée Dataflow

La sécurité est une responsabilité partagée. Dataflow sécurise l'infrastructure évolutive que vous utilisez pour exécuter vos pipelines Dataflow, et fournit des outils et des contrôles de sécurité pour protéger vos données, votre code et vos modèles. Bien que cette liste ne soit pas exhaustive, ce document décrit les responsabilités de Google et du client.

Responsabilités de Google

  • Protéger l'infrastructure : Google est chargé de fournir une infrastructure sécurisée pour ses services, y compris la sécurité physique des centres de données, la sécurité réseau et la sécurité des applications.

  • Sécuriser la plate-forme : Google est responsable de la sécurisation de sa plate-forme, y compris de la gestion des contrôles des accès, de la surveillance des incidents de sécurité et de la réponse aux événements liés à la sécurité. Google fournit également aux clients des outils permettant de gérer leurs propres paramètres et configurations de sécurité.

  • Assurer la conformité : Google assure la conformité avec les lois et les réglementations liées à la protection des données. En savoir plus sur la conformité Google Cloud

  • Renforcer et corriger les images : Google renforce et corrige le système d'exploitation des images de base utilisées par les images appartenant à Dataflow. Google effectue rapidement n'importe quel correctif pour ces images disponibles. Des bulletins de sécurité sont fournis pour les failles connues.

    Pour les dépendances Open Source telles qu'Apache Beam, Dataflow fournit des images de base et met à jour le SDK Apache Beam dans la mesure du possible, à titre pratique. Étant donné que Dataflow s'appuie sur la communauté Open Source pour ces correctifs, Google ne contrôle pas entièrement la priorité ni le calendrier des correctifs. Les correctifs pour les failles et les risques courants (CVE) sont généralement inclus dans les prochaines versions d'Apache Beam.

Responsabilités du client

  • Utilisez et mettez à jour votre environnement vers les dernières versions des conteneurs, des images de VM et des SDK Dataflow : Dataflow fournit des conteneurs et des images de VM prédéfinis pour simplifier l'utilisation de ses services. Google crée des versions de ces images à mesure que des failles sont identifiées.

    Vos responsabilités incluent :

    • Surveillez les bulletins de sécurité et mettez à jour votre environnement rapidement lorsque de nouvelles versions sont disponibles.

    • Redémarrez les jobs de streaming de longue durée pour récupérer les derniers correctifs d'image de VM ou les mises à jour de conteneur. Cela ne s'applique qu'aux jobs de flux continu, car les jobs par lot utilisent automatiquement la dernière version de l'image à chaque démarrage.

      Pour appliquer des images de VM ou de conteneur mises à jour aux jobs de streaming, lancez un job de remplacement avec l'indicateur --update, ou drainez et redémarrez le pipeline. Les mises à jour des options en cours de transfert de Streaming Engine (gcloud dataflow jobs update-options) n'ajustent que les paramètres d'autoscaling. Elles ne recréent pas les VM de nœud de calcul ni n'extraient les images de conteneur mises à jour.

      Les VM de nœud de calcul Dataflow exécutent une image Container-Optimized OS en lecture seule et sans état, sans gestionnaire de packages (tel que apt ou yum). Par conséquent, vous ne pouvez pas modifier les VM de nœud de calcul sur place, exécuter OS Patch Manager sur les VM de nœud de calcul ni installer d'agents de point de terminaison hôte directement sur l'OS hôte.

      Pour en savoir plus, consultez Mettre à niveau et appliquer des correctifs sur des VM Dataflow. Pour gérer les problèmes de sécurité de manière réactive, nous vous recommandons d'utiliser des images de conteneurs personnalisés. Si vous avez des exigences strictes en termes de contrat de niveau de service (SLA) de sécurité, comme celles liées à la conformité FedRAMP, l'utilisation de conteneurs personnalisés vous permet de gérer vos propres versions d'Apache Beam et cycles de correctifs, au lieu de vous fier au calendrier de publication Open Source d'Apache Beam.

    • Mettez régulièrement à jour vos versions du SDK Apache Beam pour vous assurer de disposer des derniers correctifs et fonctionnalités de sécurité.

    • Analysez et corrigez les images personnalisées pour atténuer les failles si vous utilisez un conteneur personnalisé ou un modèle personnalisé.

    • Utilisez des images de base distroless lorsque cela est possible si vous utilisez une image de base de modèle Flex pour assurer la sécurité et réduire les risques de vulnérabilité.

  • Gérer les contrôles d'accès : vous êtes responsable de la gestion des contrôles des accès sur vos propres données et services. Cela inclut la gestion des contrôles d'accès, d'authentification et d'autorisation des utilisateurs, ainsi que la sécurisation de vos propres applications et données. En savoir plus sur la sécurité et les autorisations Dataflow

  • Applications sécurisées : vous êtes responsable de la sécurité de vos propres applications exécutées sur Dataflow, y compris de la mise en œuvre de pratiques de codage sécurisé et de vérifications des failles régulières.

    En savoir plus sur les clés de chiffrement gérées par le client, les réseaux et VPC Service Controls, et les bonnes pratiques concernant les autorisations

  • Surveiller les incidents liés à la sécurité : vous devez surveiller vos propres applications afin de détecter les incidents liés à la sécurité et les signaler à Google si nécessaire.

Étapes suivantes