Como um fluxo de trabalho não tem dependências de código ou biblioteca, ele não requer patches de segurança. Depois de implantar um fluxo de trabalho, ele é executado de maneira confiável sem manutenção. Além disso, o Workflows oferece vários recursos de segurança e toma medidas específicas de compliance para atender aos requisitos de segurança corporativa.
Criptografia de dados
Por padrão,o Google Cloud usa várias camadas de criptografia para proteger os dados do usuário armazenados nos data centers de produção do Google. Essa criptografia padrão ocorre na camada de infraestrutura de aplicativo ou de armazenamento. O tráfego entre seus dispositivos e o Google Front End (GFE) é criptografado com protocolos de criptografia fortes, como o Transport Layer Security (TLS). Seus dados em uso são protegidos, e a confidencialidade das cargas de trabalho em um ambiente de nuvem multilocatário é mantida ao realizar a computação em isolamento criptográfico. Para mais informações sobre os principais controles de segurança que o Google Cloud usa para proteger seus dados, consulte a Visão geral de segurança do Google.
Gerenciamento de identidade e acesso
Como cada execução de fluxo de trabalho requer uma chamada autenticada, é possível usar fluxos de trabalho para reduzir o risco de chamadas acidentais ou maliciosas. O Workflows gerencia o acesso e a autenticação usando papéis e permissões do Identity and Access Management (IAM). É possível simplificar as interações com outras Google Cloud APIs usando contas de serviço baseadas no IAM. Para mais detalhes, consulte Conceder permissão a um fluxo de trabalho para acessar Google Cloud recursos e Fazer solicitações autenticadas em um fluxo de trabalho.
É possível usar o Workflows para invocar um endpoint em que o Identity-Aware Proxy (IAP) foi ativado. O IAP verifica a identidade e aplica a autorização no nível do aplicativo. Assim, você pode usar um modelo de controle de acesso no nível do aplicativo em vez de depender de firewalls no nível da rede. Quando um aplicativo ou recurso é protegido pelo IAP, ele só pode ser acessado por meio do proxy por principais que têm o papel correto do Identity and Access Management (IAM). Para mais informações, consulte Invocar um endpoint protegido pela IAP.
Entrada de rede restrita
Workflows também podem invocar funções do Cloud Run
ou serviços do Cloud Run no mesmo projeto Google Cloud
com entrada restrita ao tráfego interno. Com essa configuração, seus
serviços são inacessíveis na Internet, mas podem ser acessados no Workflows.
Para aplicar essas restrições, ajuste as configurações de entrada do serviço ou da função. O serviço do Cloud Run precisa ser
acessado no URL run.app, não em um domínio personalizado. Para mais informações,
consulte Restringir a entrada de rede (para o Cloud Run)
e Como definir configurações de rede
(para as funções do Cloud Run). Nenhuma outra alteração é necessária no fluxo de trabalho.
Chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês)
Se você tiver requisitos regulatórios ou de compliance específicos relacionados às chaves que protegem seus dados, use chaves de criptografia gerenciadas pelo cliente. Seu fluxo de trabalho e os dados associados em repouso são protegidos com uma chave de criptografia que só você pode acessar e que pode controlar e gerenciar usando o Cloud Key Management Service (Cloud KMS). Para mais informações, consulte Usar chaves de criptografia gerenciadas pelo cliente.
Suporte do VPC Service Controls (VPC SC)
O VPC Service Controls é um mecanismo para reduzir os riscos de exfiltração de dados. É possível usar o VPC Service Controls com o Workflows para proteger seus serviços. Para mais informações, consulte Configurar um perímetro de serviço usando o VPC Service Controls.
Secret Manager para armazenar e proteger dados sensíveis
O Secret Manager é um sistema de armazenamento prático e seguro para chaves de API, senhas, certificados e outros dados sensíveis. É possível usar um conector do Workflows para acessar o Secret Manager em um fluxo de trabalho. Isso simplifica a integração para você, porque o conector processa a formatação das solicitações e fornece métodos e argumentos para que você não precise conhecer os detalhes da API Secret Manager. Para mais informações, consulte Proteger e armazenar dados sensíveis usando o conector do Secret Manager.
Integração com o Cloud Logging, o Cloud Monitoring e os registros de auditoria do Cloud
Os registros são uma fonte importante de informações de diagnóstico sobre a integridade dos seus fluxos de trabalho. Com o Logging, é possível armazenar, visualizar, pesquisar, analisar e criar alertas sobre eventos e dados de registros.
O Workflows é integrado ao Logging e gera automaticamente registros de execução para execuções de fluxo de trabalho. Devido à natureza de streaming do Logging, é possível ver os registros que qualquer fluxo de trabalho emite imediatamente e usar o Logging para centralizar os registros de todos os fluxos de trabalho. Também é possível usar registros de chamadas ou registros personalizados para controlar quando os registros são enviados para o Logging durante uma execução de fluxo de trabalho. Para mais detalhes, consulte Enviar registros para o Logging.
Além de consumir registros, normalmente é preciso monitorar outros aspectos dos serviços para garantir uma operação confiável. Use o Monitoring para ter visibilidade do desempenho, do tempo de atividade e da integridade geral dos seus fluxos de trabalho.
Para rastrear e manter detalhes das interações com seus recursos do Google Cloud, use os registros de auditoria do Cloud para capturar atividades como acesso a dados. Use os controles do IAM para limitar quem pode visualizar os registros de auditoria. Para mais informações, consulte as informações de registro de auditoria para fluxos de trabalho e execuções de fluxos de trabalho.
Conformidade com os padrões
Para confirmar a conformidade do Workflows com vários padrões, consulte Controles de compliance.