Práticas recomendadas de segurança

Cloud Composer 1 | Cloud Composer 2 | Cloud Composer 3

Nesta página, descrevemos uma possível abordagem para organizar a segurança de uma equipe que trabalha com um ambiente do Cloud Composer.

Exemplo de um pipeline de CI/CD do Airflow
Figura 1. Um exemplo de pipeline de CI/CD do Airflow (clique para ampliar)
.

O Cloud Composer oferece vários recursos de segurança que podem ser usados ao trabalhar com o Airflow em um ambiente do Cloud Composer. Além do controle de acesso com o Identity and Access Management e o Controle de acesso da interface do Airflow, é possível configurar um fluxo de trabalho para sua equipe que impeça a modificação acidental da configuração do ambiente e do código DAG:

  1. Crie seu ambiente usando o Terraform. Dessa forma, você pode armazenar a configuração do ambiente como código em uma repositório de dados.

  2. Atribua papéis do IAM, para que apenas os administradores podem acessar o bucket e o cluster do ambiente, e o acesso direto desativado para usuários comuns. Por exemplo, a função Usuário do Composer permite o acesso apenas à IU do DAG e do Airflow.

  3. Implantar DAGs no seu ambiente com um pipeline de CI/CD para que o código DAG seja recuperado de um repositório. Dessa forma, os DAGs são revisado e aprovado antes de as alterações serem mescladas no controle de versões sistema. Durante o processo de análise, os aprovadores verificam se os DAGs atendem aos os critérios de segurança estabelecidos dentro das equipes. A etapa de revisão é essencial para evitar a implantação de DAGs que modifiquem o conteúdo do bucket do ambiente.

A seguir