בעזרת Managed Service for Apache Spark אתם יכולים להגן על מידע אישי רגיש ולמנוע גישה לא מורשית באמצעות אמצעי בקרה מרכזיים לאבטחה. כדי לשמור על מצב האבטחה בעומסי העבודה, כדאי ליישם שיטות מומלצות לאבטחת רשת, לניהול זהויות והרשאות גישה (IAM), להצפנה ולהגדרת אשכולות.
אבטחת רשת
פריסת Managed Service for Apache Spark ב-VPC פרטי. יוצרים ענן וירטואלי פרטי (VPC) ייעודי לאשכולות של Managed Service for Apache Spark, כדי לבודד אותם מרשתות אחרות ומהאינטרנט הציבורי.
שימוש בכתובות IP פרטיות. כדי להגן על האשכולות של Managed Service for Apache Spark מפני חשיפה לאינטרנט הציבורי, כדאי להשתמש בכתובות IP פרטיות לשיפור האבטחה והבידוד.
הגדרת כללים לחומת אש. הטמיעו כללי חומת אש מחמירים כדי לשלוט בתנועה אל אשכולות Managed Service for Apache Spark וממנה. מאפשרים רק את היציאות והפרוטוקולים הנחוצים.
שימוש בקישור רשתות שכנות (peering). כדי לשפר את הבידוד, הגדירו קישור בין רשתות VPC שכנות (peering) בין ה-VPC של Managed Service for Apache Spark לבין רשתות VPC רגישות אחרות, כדי לשלוט בתקשורת.
מפעילים את Component Gateway. כשיוצרים אשכולות, מפעילים את Managed Service for Apache Spark Component Gateway כדי לגשת בצורה מאובטחת לממשקי המשתמש של סביבת Hadoop, כמו ממשק המשתמש של שרת YARN, HDFS או Spark, במקום לפתוח את היציאות של חומת האש.
IAM
בידוד הרשאות. להשתמש בחשבונות שירות שונים במישור הנתונים באשכולות שונים. מקצים לחשבונות השירות רק את ההרשאות שנדרשות לאשכולות כדי להריץ את עומסי העבודה שלהם.
לא להסתמך על חשבון השירות שמוגדר כברירת מחדל ב-Google Compute Engine (GCE). אל תשתמשו בחשבון השירות שמוגדר כברירת מחדל באשכולות שלכם.
הקפידו על העיקרון של הרשאות מינימליות. לתת רק את ההרשאות המינימליות הנדרשות לחשבונות השירות ולמשתמשים של Managed Service for Apache Spark.
אכיפת בקרת גישה מבוססת-תפקידים (RBAC). כדאי להגדיר הרשאות IAM לכל אשכול.
שימוש בתפקידים בהתאמה אישית. ליצור תפקידי IAM מותאמים אישית ומפורטים שמתאימים לפונקציות ספציפיות של משימות בסביבת Managed Service for Apache Spark.
לבדוק את ההגדרות באופן קבוע. כדאי לבדוק באופן קבוע את ההרשאות והתפקידים ב-IAM כדי לזהות ולהסיר הרשאות מיותרות או כאלה שלא בשימוש.
הצפנה
הצפנה של נתונים במנוחה. כדי להצפין נתונים במנוחה, השתמשו ב-Cloud Key Management Service (KMS) או במפתחות הצפנה בניהול הלקוח (CMEK). בנוסף, כדאי להשתמש במדיניות הארגון כדי לאכוף הצפנת נתונים במנוחה כשיוצרים אשכולות.
הצפנה של נתונים במעבר. מפעילים SSL/TLS לתקשורת בין רכיבי Managed Service for Apache Spark (על ידי הפעלת Hadoop Secure Mode) לבין שירותים חיצוניים. כך אפשר להגן על נתונים בתנועה.
היזהרו עם מידע אישי רגיש. היזהרו כשאתם שומרים ומעבירים מידע רגיש כמו פרטים אישיים מזהים (PII) או סיסמאות. במקומות שבהם נדרש, השתמשו בפתרונות הצפנה וניהול סודות.
הגדרת אשכול מאובטח
אימות באמצעות Kerberos כדי למנוע גישה לא מורשית למשאבי האשכול, צריך להטמיע את Hadoop Secure Mode באמצעות אימות Kerberos. למידע נוסף, קראו את המאמר אבטחת ריבוי דיירים באמצעות Kerberos.
שימוש בסיסמה חזקה של חשבון ה-root ובאחסון מאובטח שמבוסס על KMS. באשכולות שמשתמשים ב-Kerberos, השירות Managed Service for Apache Spark מגדיר באופן אוטומטי תכונות של הקשחת אבטחה לכל רכיבי הקוד הפתוח שפועלים באשכול.
הפעלת OS Login. כדי להגביר את האבטחה כשמנהלים צומתי אשכולות באמצעות SSH, מפעילים את OS Login.
הפרדה בין קטגוריות זמניות וקטגוריות של שלב ביניים ב-Google Cloud Storage (GCS). כדי לוודא שההרשאות מבודדות, הפרידו בין קטגוריות זמניות וקטגוריות של שלבי ביניים לכל אשכול של Managed Service for Apache Spark.
שימוש ב-Secret Manager לאחסון פרטי כניסה. Secret Manager יכול להגן על מידע רגיש, כמו מפתחות API, סיסמאות ואישורים. אפשר להשתמש בו כדי לנהל את הסודות, לגשת אליהם ולבצע בהם ביקורת ב- Google Cloud.
שימוש באילוצים ארגוניים בהתאמה אישית. אתם יכולים להשתמש במדיניות ארגונית בהתאמה אישית כדי לאשר או לדחות פעולות ספציפיות באשכולות של Managed Service for Apache Spark. לדוגמה, אם בקשה ליצור או לעדכן אשכול לא עומדת באימות של אילוץ בהתאמה אישית שהוגדר במדיניות הארגון, הבקשה נכשלת ומוחזרת שגיאה למבצע הקריאה החוזרת.
המאמרים הבאים
מידע נוסף על אמצעי אבטחה אחרים של Managed Service for Apache Spark: