由于工作流不包含代码或库依赖项，因此不需要安全补丁程序。部署工作流后，您可以可靠地执行工作流，而无需维护。此外，Workflows 还提供多项安全功能，并采取特定的合规性措施来满足企业安全要求。
数据加密
默认情况下， Google Cloud 使用多层加密来保护存储在 Google 生产数据中心内的用户数据。此默认加密发生在应用或存储基础架构层。您的设备与 Google Front End (GFE) 之间的流量使用强加密协议（如传输层安全协议 [TLS]）进行加密。通过在加密隔离中执行计算，可以保护使用中的数据，并在多租户云环境中维护工作负载的机密性。如需详细了解 Google Cloud 用于帮助保护您的数据的主要安全控制措施，请参阅 Google 安全概览。
身份和访问权限管理
由于每个工作流执行都需要进行经过身份验证的调用，因此您可以使用 Workflows 来降低意外或恶意调用的风险。Workflows 使用 Identity and Access Management (IAM) 角色和权限管理访问权限和身份验证。通过使用基于 IAM 的服务账号，您可以简化与其他 Google Cloud API 的交互。如需了解详情，请参阅授予工作流访问 Google Cloud 资源的权限和通过工作流发出经过身份验证的请求。
您可以使用 Workflows 调用已启用 Identity-Aware Proxy (IAP) 的端点。IAP 会在应用级验证身份并强制执行授权，因此您可以采用应用级访问权限控制模型，而不依靠网络级防火墙。如果某一应用或资源受 IAP 保护，则该应用或资源只能由具备正确 Identity and Access Management (IAM) 角色的主账号通过代理进行访问。如需了解详情，请参阅调用受 IAP 保护的端点。
受限的网络入站流量
Workflows 还可以调用同一 Google Cloud 项目中入站流量受限于内部流量的 Cloud Run functions 或 Cloud Run 服务。使用此配置时，您的服务无法通过互联网访问，但可以通过 Workflows 访问。如需应用这些限制，您必须调整服务或函数的入站流量设置。请注意，Cloud Run 服务必须通过其 run.app 网址访问，而不是通过自定义网域访问。如需了解详情，请参阅限制网络入站流量（适用于 Cloud Run）和配置网络设置（适用于 Cloud Run functions）。您的工作流无需进行其他更改。
客户管理的加密密钥 (CMEK)
如果您对保护数据的密钥有特定的合规性或监管要求，则可以使用客户管理的加密密钥。您的工作流和关联的静态数据会受到加密密钥的保护，只有您可以访问这些密钥，并且可以使用 Cloud Key Management Service (Cloud KMS) 控制和管理这些密钥。如需了解详情，请参阅使用客户管理的加密密钥。
VPC Service Controls (VPC SC) 支持
VPC Service Controls 是一种可降低数据渗漏风险的机制。您可以将 VPC Service Controls 与 Workflows 搭配使用来帮助保护服务。如需了解详情，请参阅使用 VPC Service Controls 设置服务边界。
使用 Secret Manager 存储和保护敏感数据
Secret Manager 是一个安全便捷的存储系统，用于存储 API 密钥、密码、证书和其他敏感数据。您可以使用 Workflows 连接器在工作流内访问 Secret Manager。这样可以简化集成，因为连接器会处理请求的格式，并提供方法和实参，这样您就无需了解 Secret Manager API 的详细信息。如需了解详情，请参阅使用 Secret Manager 连接器安全地存储敏感数据。
与 Cloud Logging、Cloud Monitoring 和 Cloud Audit Logs 集成
日志是有关工作流运行状况的诊断信息的主要来源。借助 Logging，您可以存储、查看、搜索和分析日志数据和事件，并根据这些数据和事件发出提醒。
Workflows 与 Logging 集成，并会自动为工作流执行生成执行日志。得益于 Logging 的流式传输特性，您可以立即查看任何工作流发出的日志，并且可以使用 Logging 将所有工作流中的日志集中起来。通过调用日志记录和自定义日志，您还可以控制在工作流执行期间将日志发送到 Logging 的时间。如需了解详情，请参阅将日志发送到 Logging。
除了使用日志之外，您通常还需要监控服务的其他方面，以确保可靠运行。使用 Monitoring 可以了解工作流的性能、正常运行时间和整体运行状况。
如需跟踪和维护有关与 Google Cloud资源交互的详细信息，您可以使用 Cloud Audit Logs 来捕获数据访问等活动。使用 IAM 控件可以限制哪些人员有权查看审核日志。如需了解详情，请参阅工作流和工作流执行的审核日志记录信息。
标准遵从
如需确认 Workflows 是否符合各种标准，请参阅合规性控制措施。