Mengonfigurasi Kontrol Layanan VPC

Kontrol Layanan VPC adalah fitur yang memungkinkan Anda menyiapkan perimeter yang membantu mencegah pemindahan data yang tidak sah. Google Cloud Panduan ini menunjukkan cara menggunakan Kontrol Layanan VPC dengan Dataform untuk membantu mengamankan layanan Anda.

Kontrol Layanan VPC memberikan lapisan pertahanan tambahan untuk layananGoogle Cloud yang tidak bergantung pada perlindungan yang diberikan oleh Identity and Access Management (IAM).

Untuk mempelajari lebih lanjut tentang Kontrol Layanan VPC, baca Ringkasan Kontrol Layanan VPC.

Batasan

Dataform mendukung Kontrol Layanan VPC dengan batasan berikut:

Pertimbangan keamanan

Saat menyiapkan perimeter Kontrol Layanan VPC untuk Dataform, Anda harus meninjau izin yang diberikan kepada agen dan akun layanan Dataform untuk memverifikasi bahwa izin tersebut sesuai dengan arsitektur keamanan Anda.

Bergantung pada izin yang Anda berikan kepada agen layanan Dataform atau akun layanan kustom, agen layanan atau akun layanan tersebut mungkin memiliki akses ke data BigQuery atau Secret Manager di project tempat agen layanan atau akun layanan tersebut berada, terlepas dari Kontrol Layanan VPC. Dalam kasus seperti itu, membatasi Dataform dengan perimeter Kontrol Layanan VPC tidak akan memblokir komunikasi dengan BigQuery atau Secret Manager.

Anda harus memblokir komunikasi dengan BigQuery jika tidak perlu menjalankan pemanggilan alur kerja yang berasal dari repositori Dataform Anda. Untuk mengetahui informasi selengkapnya tentang memblokir komunikasi dengan BigQuery, lihat Memblokir komunikasi dengan BigQuery.

Anda harus memblokir komunikasi dengan Secret Manager jika tidak ada repositori Dataform yang terhubung ke repositori Git pihak ketiga. Untuk mengetahui informasi selengkapnya tentang memblokir komunikasi dengan Secret Manager, lihat Memblokir komunikasi dengan Secret Manager.

Sebelum memulai

Sebelum mengonfigurasi perimeter layanan Kontrol Layanan VPC untuk Dataform, ikuti panduan Membatasi repositori jarak jauh untuk menetapkan kebijakan organisasi dataform.restrictGitRemotes.

Kebijakan organisasi dataform.restrictGitRemotes diperlukan untuk memastikan bahwa pemeriksaan Kontrol Layanan VPC diterapkan saat menggunakan Dataform dan akses pihak ketiga ke repositori Git Dataform dibatasi.

Peran yang diperlukan

Untuk mendapatkan izin yang diperlukan guna mengonfigurasi perimeter layanan Kontrol Layanan VPC, minta administrator Anda untuk memberi Anda peran IAM Access Context Manager Editor (roles/accesscontextmanager.policyEditor) di project. Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

Anda mungkin juga bisa mendapatkan izin yang diperlukan melalui peran khusus atau peran bawaan lainnya.

Untuk mengetahui informasi selengkapnya tentang izin Kontrol Layanan VPC, lihat Kontrol akses dengan IAM.

Mengonfigurasi Kontrol Layanan VPC

Anda dapat membatasi Dataform dengan perimeter layanan Kontrol Layanan VPC dengan cara berikut:

  • Tambahkan Dataform ke perimeter layanan yang ada yang membatasi BigQuery.
  • Buat perimeter layanan yang membatasi Dataform dan BigQuery.

Untuk menambahkan Dataform ke perimeter layanan yang membatasi BigQuery, ikuti panduan Memperbarui perimeter layanan dalam dokumentasi Kontrol Layanan VPC.

Untuk membuat perimeter layanan baru yang membatasi Dataform dan BigQuery, ikuti panduan Membuat perimeter layanan dalam dokumentasi Kontrol Layanan VPC.

Opsional: Memblokir komunikasi dengan BigQuery

Cara Dataform berkomunikasi dengan BigQuery bergantung pada jenis akun layanan yang digunakan di Dataform.

Menggunakan akun layanan kustom

Akun layanan kustom menggunakan izin dan peran berikut untuk berkomunikasi dengan BigQuery:

  • Izinbigquery.jobs.create, yang diberikan ke akun layanan kustom.
  • Peran Pembuat Token Akun Layanan (roles/iam.serviceAccountTokenCreator), yang diberikan kepada agen layanan Dataform default di akun layanan kustom.

Anda dapat memblokir komunikasi antara akun layanan kustom dan BigQuery dengan salah satu cara berikut:

Menggunakan agen layanan Dataform default

Agen layanan Dataform default menggunakan izin bigquery.jobs.create untuk berkomunikasi dengan BigQuery. Anda memberikan peran agen layanan Dataform default yang berisi izin ini saat Anda memberikan peran yang diperlukan agar Dataform dapat menjalankan alur kerja di BigQuery.

Untuk memblokir komunikasi antara agen layanan Dataform default dan BigQuery, Anda harus mencabut semua peran bawaan dan kustom yang berisi izin bigquery.jobs.create, yang telah diberikan kepada agen layanan Dataform default. Untuk mengetahui daftar peran ini, lihat Peran dengan izin bigquery.jobs.create. Untuk mencabut peran, ikuti panduan Mengelola akses ke project, folder, dan organisasi.

Peran dengan izin bigquery.jobs.create

Izin bigquery.jobs.create disertakan dalam peran IAM BigQuery bawaan berikut yang harus dicabut:

Opsional: Memblokir komunikasi dengan Secret Manager

Dataform menggunakan izin secretmanager.versions.access untuk mengakses setiap secret Secret Manager. Anda memberikan izin ini kepada agen layanan Dataform default pada secret Secret Manager yang dipilih saat Anda menghubungkan repositori Dataform ke repositori pihak ketiga.

Untuk memblokir komunikasi antara Dataform dan Secret Manager, Anda harus mencabut akses ke semua secret dari agen layanan Dataform default.

Untuk mencabut akses ke secret Secret Manager dari agen layanan Dataform default, ikuti panduan Mengelola akses ke secret dalam dokumentasi Secret Manager. Anda harus mencabut semua peran bawaan dan kustom yang berisi izin secretmanager.versions.access, yang diberikan kepada agen layanan Dataform default pada secret yang dipilih.

Izin secretmanager.versions.access disertakan dalam peran IAM Secret Manager bawaan berikut:

Langkah berikutnya