透過 Dataplex 通用目錄使用 VPC Service Controls

本文說明如何使用 VPC Service Controls (VPC-SC) 保護 Dataplex Universal Catalog 服務。

VPC Service Controls 為您的 Dataplex Universal Catalog 服務提供額外的安全性，以降低資料遭到竊取的風險。您可以透過 VPC Service Controls 將專案加入服務範圍內，如此一來，跨越範圍的要求就無法存取相關資源及服務。詳情請參閱「VPC Service Controls 總覽」。

Dataplex Universal Catalog 資源會顯示在 dataplex.googleapis.com API 上，方便您執行服務層級的作業，例如建立及刪除服務。如要透過 Dataplex Universal Catalog 設定 VPC Service Controls，請限制與這個 API 介面的連線。

支援功能

使用服務範圍保護 Dataplex Universal Catalog 時，系統會支援下列功能：

  • 湖泊：您可以在周邊建立及管理 Dataplex Universal Catalog 湖泊。

  • 資產：您可以在範圍內管理資產。

  • 目錄中的中繼資料資源：您可以在安全防護範圍內管理中繼資料資源。

  • 匯出中繼資料：您可以將中繼資料匯出至 Dataproc Metastore，但這需要額外的 VPC-SC 設定。詳情請參閱將中繼資料匯出至 Dataproc Metastore。

  • 資料洞察：您可以執行資料剖析、資料品質和中繼資料洞察掃描。

  • 資料歷程：您可以使用受限的虛擬 IP (VIP) 追蹤資料歷程。

  • Dataplex 搜尋：您可以使用 SearchEntries API。 在受服務安全防護範圍保護的專案中使用 Dataplex Universal Catalog 搜尋功能時，搜尋結果只會顯示位於同一安全防護範圍內的資源。詳情請參閱「搜尋範圍」和「使用 VPC Service Controls 依環境隔離搜尋結果」。

限制

您可以在設定 VPC Service Controls 安全範圍前建立 Dataplex Universal Catalog 資源，但這些資源不會受到範圍保護。

根據設計，VPC Service Controls 會禁止服務範圍內的資源存取該範圍外的資料和服務。舉例來說，Dataplex Universal Catalog 資料剖析和資料品質掃描作業無法存取服務安全防護範圍外的資料來源，例如 BigQuery 資料表或 Cloud Storage 檔案。同樣地，匯出資料掃描結果時，目的地 BigQuery 資料表必須位於受邊界保護的專案中。如要瞭解如何從服務範圍外授予受保護資源的存取權，請參閱「建立存取層級」。

設定 VPC Service Controls

如要使用 VPC Service Controls 保護 Dataplex Universal Catalog 資源，請按照下列步驟操作：

  1. 設定虛擬私有雲網路。
  2. 建立服務範圍。
  3. 將專案新增至範圍。
  4. 將 Dataplex API 新增至服務範圍。
  5. 選用：建立存取層級。

設定虛擬私有雲 (VPC) 網路

您可以設定虛擬私有雲端網路，根據服務範圍限制私人 Google 存取權。這可確保虛擬私有雲或內部部署網路上的主機，只能以符合相關聯範圍政策的方式，與 VPC Service Controls 支援的 Google API 和服務通訊。

詳情請參閱「設定連至 Google API 與服務的私人連線」。

建立服務範圍

建立服務範圍時，請選取要由 VPC Service Controls 服務範圍保護的 Dataplex Universal Catalog 專案。

如要建立服務範圍，請按照「建立服務範圍」一文中的操作說明進行。

將更多專案新增至服務範圍

如要將現有的 Dataplex Universal Catalog 專案新增至範圍，請按照「更新服務範圍」一節的說明操作。

將 Dataplex API 新增至服務範圍

為降低資料從 Dataplex Universal Catalog 外洩的風險 (例如使用 Dataplex API 方法)，您必須限制 Dataplex API。

如要將 Dataplex API 新增為受限制的服務，請按照下列步驟操作：

控制台

  1. 在 Google Cloud 控制台中，前往「VPC Service Controls」頁面。

    前往 VPC Service Controls

  2. 在「VPC Service Controls」頁面的資料表中，按一下您要修改的服務範圍名稱。

  3. 按一下「編輯範圍」。

  4. 在「Edit Service Perimeter」(編輯服務範圍) 頁面中，按一下「Add Services」(新增服務)。

  5. 新增 Dataplex API。

  6. 按一下 [儲存]。

gcloud

  • 使用 gcloud access-context-manager perimeters update 指令：

    gcloud access-context-manager perimeters update PERIMETER_ID \
--policy=POLICY_ID \
--add-restricted-services=dataplex.googleapis.com

    更改下列內容：

    • PERIMETER_ID：perimeter 的 ID 或 perimeter 的完整 ID
    • POLICY_ID：存取權政策的 ID

選用步驟：建立存取層級

如要允許外部存取範圍內的受保護資源，可以使用存取層級。存取層級僅適用於來自服務範圍外的受保護資源存取要求。您無法使用存取層級，授予受保護資源存取範圍外資料和服務的權限。

詳情請參閱「允許服務範圍外的受保護資源存取要求」。

後續步驟