Best practice per la sicurezza di Managed Service per Apache Spark

Managed Service for Apache Spark ti consente di proteggere i dati sensibili e impedire l'accesso non autorizzato applicando controlli di sicurezza chiave. L'implementazione delle best practice per la sicurezza di rete, Identity and Access Management (IAM), la crittografia e la configurazione dei cluster ti aiuta a mantenere la tua security posture in tutti i workload.

Sicurezza di rete

  • Esegui il deployment di Managed Service for Apache Spark in un VPC privato. Crea un Virtual Private Cloud (VPC) dedicato per i cluster Managed Service for Apache Spark, isolandoli dalle altre reti e dalla rete internet pubblica.

  • Utilizza IP privati. Per proteggere i cluster Managed Service for Apache Spark dall'esposizione a internet pubblico, utilizza indirizzi IP privati per una maggiore sicurezza e isolamento.

  • Configura le regole firewall. Implementa regole firewall rigorose per controllare il traffico da e verso i tuoi cluster Managed Service for Apache Spark. Consenti solo le porte e i protocolli necessari.

  • Utilizza il peering di rete. Per un isolamento avanzato, stabilisci il peering di rete VPC tra il VPC di Managed Service for Apache Spark e altri VPC sensibili per una comunicazione controllata.

  • Abilita il gateway dei componenti. Attiva il gateway dei componenti di Managed Service for Apache Spark quando crei i cluster per accedere in modo sicuro alle UI dell'ecosistema Hadoop, come l'UI del server YARN, HDFS o Spark, anziché aprire le porte del firewall.

IAM

  • Isola le autorizzazioni. Utilizza service account del piano dati diversi per cluster diversi. Assegna ai service account solo le autorizzazioni necessarie ai cluster per eseguire i workload.

  • Evita di fare affidamento sul service account predefinito di Google Compute Engine (GCE). Non utilizzare il service account predefinito per i tuoi cluster.

  • Rispetta il principio del privilegio minimo. Concedi solo le autorizzazioni minime necessarie agli utenti e ai service account Managed Service for Apache Spark.

  • Applica controllo dell'accesso basato su ruoli (RBAC). Valuta la possibilità di impostare le autorizzazioni IAM per ogni cluster.

  • Utilizza i ruoli personalizzati. Crea ruoli IAM personalizzati granulari su misura per funzioni lavorative specifiche all'interno del tuo ambiente Managed Service for Apache Spark.

  • Esamina regolarmente. Controlla regolarmente i ruoli e le autorizzazioni IAM per identificare e rimuovere eventuali privilegi eccessivi o inutilizzati.

Crittografia

  • Cripta i dati at-rest. Per la crittografia dei dati at-rest, utilizza Cloud Key Management Service (KMS) o le chiavi di crittografia gestite dal cliente (CMEK). Inoltre, utilizza le policy dell'organizzazione per applicare la crittografia dei dati at-rest per la creazione dei cluster.

  • Cripta i dati in transito. Abilita SSL/TLS per la comunicazione tra i componenti di Managed Service for Apache Spark (attivando la modalità Hadoop Secure) e i servizi esterni. In questo modo i dati in transito sono protetti.

  • Fai attenzione ai dati sensibili. Presta attenzione quando memorizzi e trasmetti dati sensibili come PII o password. Se necessario, utilizza soluzioni di crittografia e gestione dei secret.

Configurazione sicura del cluster

  • Esegui l'autenticazione utilizzando Kerberos. Per impedire l'accesso non autorizzato alle risorse del cluster, implementa la modalità protetta di Hadoop utilizzando l'autenticazione Kerberos. Per saperne di più, consulta Multitenancy sicura tramite Kerberos.

  • Utilizza una password efficace per l'entità radice e uno spazio di archiviazione sicuro basato su KMS. Per i cluster che utilizzano Kerberos, Managed Service for Apache Spark configura automaticamente le funzionalità di rafforzamento della sicurezza per tutti i componenti open source in esecuzione nel cluster.

  • Attiva OS Login. Attiva OS Login per una maggiore sicurezza durante la gestione dei nodi del cluster tramite SSH.

  • Separa i bucket di gestione temporanea e temporanei su Google Cloud Storage (GCS). Per garantire l'isolamento delle autorizzazioni, separa i bucket temporanei e di staging per ogni cluster Managed Service for Apache Spark.

  • Utilizza Secret Manager per archiviare le credenziali. Secret Manager può proteggere i tuoi dati sensibili, come chiavi API, password e certificati. Utilizzalo per gestire, accedere e controllare i tuoi secret in Google Cloud.

  • Utilizza i vincoli personalizzati dell'organizzazione. Puoi utilizzare una policy dell'organizzazione personalizzata per consentire o negare operazioni specifiche sui cluster Managed Service for Apache Spark. Ad esempio, se una richiesta di creazione o aggiornamento di un cluster non soddisfa la convalida dei vincoli personalizzati impostata dalla policy dell'organizzazione, la richiesta non va a buon fine e viene restituito un errore al chiamante.

Passaggi successivi

Scopri di più sulle altre funzionalità di sicurezza di Managed Service for Apache Spark: