Managed Service para Apache Spark te permite proteger los datos sensibles y evitar el acceso no autorizado aplicando controles de seguridad clave. Implementar prácticas recomendadas para la seguridad de redes, Identity and Access Management (IAM), la encriptación y la configuración de clústeres te ayuda a mantener tu postura de seguridad en todas tus cargas de trabajo.
Seguridad de red
Implementa Managed Service para Apache Spark en una VPC privada. Crea una nube privada virtual (VPC) dedicada para tus clústeres de Managed Service para Apache Spark, lo que los aislará de otras redes y de la Internet pública.
Usa IPs privadas. Para proteger tus clústeres de Managed Service para Apache Spark de la exposición a la Internet pública, usa direcciones IP privadas para mejorar la seguridad y el aislamiento.
Configura reglas de firewall. Implementa reglas de firewall estrictas para controlar el tráfico desde y hacia tus clústeres de Managed Service para Apache Spark. Permite solo los puertos y protocolos necesarios.
Usa el intercambio de tráfico entre redes. Para mejorar el aislamiento, establece el intercambio de tráfico entre redes de VPC entre tu VPC de Managed Service para Apache Spark y otras VPC sensibles para una comunicación controlada.
Habilita la puerta de enlace de componentes. Habilita la puerta de enlace de componentes de Managed Service para Apache Spark cuando creas clústeres para acceder de forma segura a las IU del ecosistema de Hadoop, como la IU del servidor de YARN, HDFS o Spark, en lugar de abrir los puertos del firewall.
IAM
Aísla los permisos. Usa diferentes cuentas de servicio del plano de datos para diferentes clústeres. Asigna a las cuentas de servicio solo los permisos que los clústeres necesitan para ejecutar sus cargas de trabajo.
Evita depender de la cuenta de servicio predeterminada de Google Compute Engine (GCE). No uses la cuenta de servicio predeterminada para tus clústeres.
Sigue el principio de privilegio mínimo. Otorga solo los permisos mínimos necesarios a las cuentas de servicio y los usuarios de Managed Service para Apache Spark.
Aplica el control de acceso basado en roles (RBAC). Considera configurar los permisos de IAM para cada clúster.
Usa roles personalizados. Crea roles de IAM personalizados detallados y adaptados a funciones de trabajo específicas dentro de tu entorno de Managed Service para Apache Spark.
Revisa con frecuencia. Audita con regularidad los permisos y roles de IAM para identificar y quitar cualquier privilegio excesivo o sin usar.
Encriptación
Encriptar datos en reposo. Para la encriptación de datos en reposo, usa Cloud Key Management Service (KMS) o claves de encriptación administradas por el cliente (CMEK). Además, usa políticas de la organización para aplicar de manera forzosa la encriptación de datos en reposo en la creación de clústeres.
Encripta los datos en tránsito. Habilita SSL/TLS para la comunicación entre los componentes de Managed Service para Apache Spark (habilitando el modo seguro de Hadoop) y los servicios externos. Esto protege los datos en movimiento.
Ten cuidado con los datos sensibles. Ten cuidado cuando almacenes y pases datos sensibles, como IIP o contraseñas. Cuando sea necesario, usa soluciones de encriptación y administración de secretos.
Configuración segura del clúster
Autentica con Kerberos. Para evitar el acceso no autorizado a los recursos del clúster, implementa el modo seguro de Hadoop con la autenticación de Kerberos. Para obtener más información, consulta Multiusuario seguro con Kerberos.
Usa una contraseña segura para la entidad principal raíz y un almacenamiento seguro basado en KMS. En el caso de los clústeres que usan Kerberos, Managed Service para Apache Spark configura automáticamente funciones de endurecimiento de la seguridad para todos los componentes de código abierto que se ejecutan en el clúster.
Habilita el Acceso al SO. Habilita el Acceso al SO para obtener mayor seguridad cuando administres nodos del clúster con SSH.
Separa los buckets de etapa de pruebas y temporales en Google Cloud Storage (GCS). Para garantizar el aislamiento de permisos, separa los buckets temporales y de etapa de pruebas de cada clúster de Managed Service para Apache Spark.
Usa Secret Manager para almacenar credenciales. Secret Manager puede proteger tus datos sensibles, como las claves de API, las contraseñas y los certificados. Úsala para administrar, acceder y auditar tus Secrets en Google Cloud.
Usa restricciones personalizadas de la organización. Puedes usar una política de la organización personalizada para permitir o rechazar operaciones específicas en los clústeres de Managed Service para Apache Spark. Por ejemplo, si una solicitud para crear o actualizar un clúster no satisface la validación de restricciones personalizadas según lo establece la política de la organización, la solicitud falla y se devuelve un error a la persona que llama.
¿Qué sigue?
Obtén más información sobre otras funciones de seguridad de Managed Service para Apache Spark:
- Arquitectura multiusuario segura a través de cuentas de servicio
- Configura una Confidential VM con encriptación de memoria intercalada
- Activa un servicio de autorización en cada VM del clúster