Práticas recomendadas de segurança do Managed Service for Apache Spark

O Serviço Gerenciado para Apache Spark permite proteger dados sensíveis e impedir o acesso não autorizado aplicando controles de segurança essenciais. Implementar as práticas recomendadas de segurança de rede, Identity and Access Management (IAM), criptografia e configuração de cluster ajuda a manter sua postura de segurança em todas as cargas de trabalho.

Segurança de rede

  • Implantar o Serviço Gerenciado para Apache Spark em uma VPC particular. Crie uma nuvem privada virtual (VPC) dedicada para os clusters do Serviço Gerenciado para Apache Spark, isolando-os de outras redes e da Internet pública.

  • Usar IPs particulares. Para proteger os clusters do Managed Service for Apache Spark da exposição à Internet pública, use endereços IP privados para maior segurança e isolamento.

  • Configurar regras de firewall. Implemente regras de firewall rígidas para controlar o tráfego de entrada e saída dos clusters do Serviço Gerenciado para Apache Spark. Permita apenas as portas e os protocolos necessários.

  • Usar peering de rede. Para um isolamento aprimorado, estabeleça o peering de rede VPC entre a VPC do Serviço Gerenciado para Apache Spark e outras VPCs sensíveis para uma comunicação controlada.

  • Ative o gateway de componentes. Ative o gateway de componentes do Serviço Gerenciado para Apache Spark ao criar clusters para acessar com segurança as interfaces do ecossistema do Hadoop, como as UI do servidor YARN, HDFS ou Spark, em vez de abrir as portas do firewall.

IAM

  • Isolar permissões. Use contas de serviço do plano de dados diferentes para clusters diferentes. Atribua às contas de serviço apenas as permissões necessárias para que os clusters executem as cargas de trabalho.

  • Evite usar a conta de serviço padrão do Google Compute Engine (GCE). Não use a conta de serviço padrão nos clusters.

  • Siga o princípio de privilégio mínimo. Conceda apenas as permissões mínimas necessárias às contas de serviço e aos usuários do Serviço Gerenciado para Apache Spark.

  • Aplicar o controle de acesso baseado em papéis (RBAC). Avalie definir as permissões do IAM para cada cluster.

  • Usar papéis personalizados. Crie papéis personalizados do IAM detalhados e adaptados a funções de trabalho específicas no ambiente do Serviço Gerenciado para Apache Spark.

  • Revise regularmente. Audite regularmente as permissões e os papéis do IAM para identificar e remover privilégios excessivos ou não utilizados.

Criptografia

  • Criptografar dados em repouso. Para criptografia de dados em repouso, use o Cloud Key Management Service (KMS) ou as chaves de criptografia gerenciadas pelo cliente (CMEK). Além disso, use políticas da organização para aplicar a criptografia em repouso de dados na criação de clusters.

  • Criptografar dados em trânsito. Ative o SSL/TLS para comunicação entre os componentes do Serviço Gerenciado para Apache Spark (ativando o Modo Seguro do Hadoop) e os serviços externos. Isso protege os dados em movimento.

  • Cuidado com dados sensíveis. Tenha cuidado ao armazenar e transmitir dados sensíveis, como PIIs ou senhas. Quando necessário, use soluções de criptografia e gerenciamento de secrets.

Configuração de cluster segura

  • Autenticar usando o Kerberos. Para evitar o acesso não autorizado aos recursos do cluster, implemente o modo seguro do Hadoop usando a autenticação do Kerberos. Para mais informações, consulte Multilocação segura com o Kerberos.

  • Use uma senha forte para o principal raiz e um armazenamento seguro baseado em KMS. Para clusters que usam o Kerberos, o Serviço Gerenciado para Apache Spark configura automaticamente recursos de reforço da proteção para todos os componentes de código aberto em execução no cluster.

  • Ative o Login do SO. Ative o Login do SO para aumentar a segurança ao gerenciar nós de cluster usando SSH.

  • Segregar buckets de preparo e temporários no Google Cloud Storage (GCS). Para garantir o isolamento de permissões, separe os buckets temporários e de teste de cada cluster do Serviço Gerenciado para Apache Spark.

  • Use o Secret Manager para armazenar credenciais. O Secret Manager pode proteger seus dados sensíveis, como chaves de API, senhas e certificados. Use-o para gerenciar, acessar e auditar seus secrets no Google Cloud.

  • Usar restrições organizacionais personalizadas. É possível usar uma política personalizada da organização para permitir ou negar operações específicas em clusters do Serviço Gerenciado para Apache Spark. Por exemplo, quando uma solicitação de criação ou atualização de cluster não atende à validação de restrição personalizada definida pela política da organização, ela falha e um erro é retornado ao autor da chamada.

A seguir

Saiba mais sobre outros recursos de segurança do Serviço Gerenciado para Apache Spark: