VPC Service Controls mit Knowledge Catalog

Dieses Dokument richtet sich an Sicherheitsadministratoren und Data Engineers, die Knowledge Catalog-Dienste (ehemals Dataplex Universal Catalog) schützen müssen. Es wird erläutert, wie Sie mit VPC Service Controls Dienstperimeter erstellen, die Ihre Knowledge Catalog-Ressourcen schützen und das Risiko einer Daten-Exfiltration minimieren. Weitere Informationen finden Sie unter VPC Service Controls.

Unterstützte Features

Wenn Sie Knowledge Catalog mit einem Dienstperimeter sichern, werden die folgenden Funktionen unterstützt:

  • Lakes: Sie können Knowledge Catalog-Lakes innerhalb des Perimeters erstellen und verwalten.

  • Assets: Sie können Assets innerhalb des Perimeters verwalten.

  • Metadatenressourcen in Catalog: Sie können Metadatenressourcen innerhalb des Perimeters verwalten.

  • Metadatenexport: Sie können Metadaten in Dataproc Metastore exportieren. Dazu ist eine zusätzliche VPC Service Controls-Konfiguration erforderlich. Weitere Informationen finden Sie unter VPC Service Controls.

  • Dateneinblicke: Sie können Scans für Datenprofilerstellung, Datenqualität und Metadatenstatistiken ausführen.

  • Data Lineage: Sie können die Data Lineage mithilfe der eingeschränkten virtuellen IP-Adresse (VIP) verfolgen.

  • Knowledge Catalog-Suche: Sie können die SearchEntries API verwenden. Wenn Sie die Knowledge Catalog-Suche in einem Projekt verwenden, das durch einen Dienstperimeter geschützt ist, enthalten die Suchergebnisse nur Ressourcen, die sich innerhalb desselben Perimeters befinden. Weitere Informationen finden Sie unter Suchbereich und Suchergebnisse mithilfe von VPC Service Controls nach Umgebung isolieren.

  • Datenprodukte: Sie können VPC Service Controls verwenden, um Datenprodukte zu sichern. So wird sichergestellt, dass die Kommunikation zwischen dem Datenprodukt, den zugehörigen Daten-Assets (z. B. BigQuery-Tabellen) und den Nutzern innerhalb autorisierter Perimeter bleibt. Weitere Informationen finden Sie unter VPC Service Controls mit Datenprodukten verwenden.

Knowledge Catalog-Suche und VPC Service Controls

Wenn Sie die Knowledge Catalog-Suche in einem Projekt verwenden, das durch einen Dienstperimeter geschützt ist, enthalten die Suchergebnisse nur Ressourcen, die zu dem Projekt gehören, in dem die Suche ausgeführt wird.

Wenn Sie Ressourcen aus anderen Projekten einbeziehen möchten, die sich im selben Dienstperimeter befinden, müssen Sie VPC Service Controls-Regeln für ausgehenden Traffic für das Aufruferprojekt von Knowledge Catalog konfigurieren. Weitere Informationen finden Sie unter Richtlinien für eingehenden und ausgehenden Traffic konfigurieren. Diese Regeln ermöglichen es, dass die Suchergebnisse Projektgrenzen innerhalb des Perimeters überschreiten.

Das folgende Beispiel zeigt eine Konfiguration der Richtlinie für ausgehenden Traffic, die es ermöglicht, dass Suchergebnisse BigQuery-Ressourcen aus project A enthalten, wenn die Suche von project B aus durchgeführt wird:

egressPolicies:
-   egressFrom:
    identityType: ANY_USER_ACCOUNT
  egressTo:
    operations:
    -   serviceName: bigquery.googleapis.com
      methodSelectors:
      -   method: '*'
    resources:
    -   projects/projectA

Wenn Sie eine Knowledge Catalog-Suche in project B durchführen, ruft Knowledge Catalog die BigQuery API auf, um Assets in project A zu finden. Diese Richtlinie erlaubt jedem Nutzerkonto in project B explizit, BigQuery API-Aufrufe für project A auszuführen, sodass BigQuery-Assets aus project A in den Suchergebnissen von Knowledge Catalog angezeigt werden können.

Beschränkungen

Sie können Knowledge Catalog-Ressourcen erstellen, bevor Sie den VPC Service Controls-Sicherheitsperimeter einrichten. Diese Ressourcen haben dann jedoch keinen Perimeterschutz.

VPC Service Controls verhindert standardmäßig, dass Ressourcen innerhalb eines Dienstperimeters auf Daten und Dienste außerhalb dieses Perimeters zugreifen. Beispielsweise können Datenprofilerstellung und Datenqualitätsscans von Knowledge Catalog nicht auf Datenquellen wie BigQuery-Tabellen oder Cloud Storage-Dateien zugreifen, die sich außerhalb des Dienstperimeters befinden. Beim Exportieren von Datenscanergebnissen muss sich die BigQuery-Zieltabelle ebenfalls in einem Projekt befinden, das durch den Perimeter geschützt ist. Informationen zum Gewähren des Zugriffs auf Ihre geschützten Ressourcen von außerhalb des Perimeters finden Sie unter Zugriffsebene erstellen.

VPC Service Controls einrichten

So schützen Sie Knowledge Catalog-Ressourcen mit VPC Service Controls:

  1. VPC-Netzwerk konfigurieren
  2. Dienstperimeter erstellen
  3. Projekte dem Perimeter hinzufügen
  4. Fügen Sie die Dataplex API dem Dienstperimeter hinzu.
  5. Optional: Zugriffsebene erstellen

VPC-Netzwerk (Virtual Private Cloud) konfigurieren

Sie können das VPC-Netzwerk so konfigurieren, dass der privater Google-Zugriff in Bezug auf einen Dienstperimeter eingeschränkt wird. So wird sichergestellt, dass Hosts in Ihrem VPC- oder lokalen Netzwerk nur mit Google APIs und Google-Diensten kommunizieren können, die von VPC Service Controls unterstützt werden, und zwar auf eine Weise, die der Richtlinie des zugehörigen Perimeters entspricht.

Weitere Informationen finden Sie unter Private Konnektivität zu Google APIs und Google-Diensten einrichten.

Dienstperimeter erstellen

Wenn Sie einen Dienstperimeter erstellen, wählen Sie die Knowledge Catalog-Projekte aus, die durch den VPC Service Controls-Dienstperimeter geschützt werden sollen.

Folgen Sie der Anleitung unter Dienstperimeter erstellen, um einen Dienstperimeter zu erstellen.

Dem Dienstperimeter weitere Projekte hinzufügen

Wenn Sie dem Perimeter vorhandene Knowledge Catalog-Projekte hinzufügen möchten, folgen Sie der Anleitung unter Dienstperimeter aktualisieren.

Dataplex API zum Dienstperimeter hinzufügen

Wenn Sie das Risiko einer Daten-Exfiltration aus Knowledge Catalog minimieren möchten, z. B. über Dataplex API-Methoden, müssen Sie die Dataplex API einschränken.

So fügen Sie die Dataplex API als eingeschränkten Dienst hinzu:

Console

  1. Wechseln Sie in der Google Cloud Console zur Seite VPC Service Controls.

    Zu VPC Service Controls

  2. Klicken Sie in der Tabelle auf der Seite VPC Service Controls auf den Namen des Dienstperimeters, den Sie ändern möchten.

  3. Klicken Sie auf Perimeter bearbeiten.

  4. Klicken Sie auf der Seite Dienstperimeter bearbeiten auf Dienste hinzufügen.

  5. Fügen Sie die Dataplex API hinzu.

  6. Klicken Sie auf Speichern.

gcloud

  • Führen Sie den Befehl gcloud access-context-manager perimeters update aus:

    gcloud access-context-manager perimeters update PERIMETER_ID \
--policy=POLICY_ID \
--add-restricted-services=dataplex.googleapis.com

    Ersetzen Sie Folgendes:

    • PERIMETER_ID: die ID des Perimeters oder die voll qualifizierte Kennzeichnung für den Perimeter
    • POLICY_ID: die ID der Zugriffsrichtlinie

Optional: Zugriffsebene erstellen

Sie können Zugriffsebenen verwenden, um externen Zugriff auf geschützte Ressourcen innerhalb eines Perimeters zuzulassen. Zugriffsebenen gelten nur für Anfragen für geschützte Ressourcen, die von außerhalb des Dienstperimeters stammen. Sie können keine Zugriffsebenen verwenden, um geschützten Ressourcen die Berechtigung zu erteilen, auf Daten und Dienste außerhalb des Perimeters zuzugreifen.

Weitere Informationen finden Sie unter Zugriff auf geschützte Ressourcen von außerhalb eines Perimeters zulassen.

Nächste Schritte