‫VPC Service Controls עם Knowledge Catalog

המאמר הזה מיועד למנהלי אבטחה ולמהנדסי מערכות מידע שצריכים לאבטח את השירותים של Knowledge Catalog (לשעבר Dataplex Universal Catalog). במאמר מוסבר איך משתמשים ב-VPC Service Controls כדי ליצור גבולות גזרה לשירות שמגינים על המשאבים של Knowledge Catalog ומצמצמים את הסיכונים לזליגת נתונים. מידע נוסף מופיע במאמר סקירה כללית על VPC Service Controls.

התכונות הנתמכות

כשמאבטחים את Knowledge Catalog באמצעות גבולות גזרה לשירות, אפשר להשתמש בתכונות הבאות:

  • ‫Lakes: אפשר ליצור ולנהל אגמי Knowledge Catalog בתוך גבולות האבטחה.

  • נכסים: אתם יכולים לנהל נכסים בתוך גבולות האבטחה.

  • משאבי מטא-נתונים ב-Catalog: אתם יכולים לנהל משאבי מטא-נתונים בתוך גבולות האבטחה.

  • ייצוא מטא-נתונים: אתם יכולים לייצא מטא-נתונים ל-Dataproc Metastore, אבל בשביל זה צריך להגדיר עוד הגדרות ב-VPC Service Controls. מידע נוסף זמין במאמר VPC Service Controls.

  • תובנות מנתונים: אתם יכולים להריץ סריקות של פרופיל נתונים, איכות נתונים ותובנות ממטא-נתונים.

  • שושלת נתונים: אתם יכולים לעקוב אחרי שושלת הנתונים באמצעות כתובת ה-IP הווירטואלית (VIP) המוגבלת.

  • חיפוש ב-Knowledge Catalog: אתם יכולים להשתמש ב-SearchEntries API. כשמשתמשים בחיפוש ב-Knowledge Catalog בפרויקט שמוגן על ידי גבולות גזרה לשירות, תוצאות החיפוש כוללות רק משאבים שנמצאים באותם גבולות גזרה. מידע נוסף זמין במאמרים היקף החיפוש ובידוד תוצאות החיפוש לפי סביבה באמצעות VPC Service Controls.

  • מוצרי נתונים: אתם יכולים להשתמש ב-VPC Service Controls כדי לאבטח מוצרי נתונים, ולוודא שהתקשורת בין מוצר הנתונים, נכסי הנתונים שמרכיבים אותו (כמו טבלאות BigQuery) והמשתמשים נשארת בתוך ההיקפים המורשים. מידע נוסף זמין במאמר שימוש ב-VPC Service Controls עם מוצרי נתונים.

חיפוש ב-Knowledge Catalog ו-VPC Service Controls

כשמשתמשים בחיפוש של Knowledge Catalog בפרויקט שמוגן על ידי גבולות גזרה לשירות, תוצאות החיפוש כוללות רק משאבים ששייכים לאותו פרויקט שבו מתבצע החיפוש.

כדי לכלול משאבים מפרויקטים אחרים שנמצאים באותם גבולות גזרה לשירות, צריך להגדיר כללי תעבורת נתונים יוצאת (egress) של VPC Service Controls לפרויקט שממנו מתבצעת הקריאה ל-Knowledge Catalog. מידע נוסף מופיע במאמר הגדרת כללי מדיניות של תעבורת נתונים נכנסת ויוצאת. הכללים האלה מאפשרים לתוצאות החיפוש לחצות את גבולות הפרויקט בתוך ההיקף.

בדוגמה הבאה מוצגת הגדרה של מדיניות תעבורת נתונים יוצאת, שמאפשרת לכלול בתוצאות החיפוש משאבי BigQuery מ-project A כשהחיפוש מתבצע מ-project B:

egressPolicies:
-   egressFrom:
    identityType: ANY_USER_ACCOUNT
  egressTo:
    operations:
    -   serviceName: bigquery.googleapis.com
      methodSelectors:
      -   method: '*'
    resources:
    -   projects/projectA

כשמבצעים חיפוש ב-Knowledge Catalog ב-project B, ‏Knowledge Catalog קורא ל-BigQuery API כדי לאתר נכסים ב-project A. המדיניות הזו מאפשרת באופן מפורש לכל חשבון משתמש ב-project B לבצע קריאות ל-BigQuery API ב-project A, וכך נכסי BigQuery מ-project A יכולים להופיע בתוצאות החיפוש של Knowledge Catalog.

מגבלות

אתם יכולים ליצור משאבים של Knowledge Catalog לפני שאתם מגדירים את היקף האבטחה של VPC Service Controls, אבל המשאבים האלה לא יהיו מוגנים על ידי היקף האבטחה.

כחלק מהתכנון, VPC Service Controls מונע ממשאבים שנמצאים בתוך גבולות הגזרה לשירות לגשת לנתונים ולשירותים שמחוץ לגבולות הגזרה. לדוגמה, סריקות של פרופילי נתונים ואיכות נתונים ב-Knowledge Catalog לא יכולות לגשת למקורות נתונים, כמו טבלאות ב-BigQuery או קובצי Cloud Storage, שנמצאים מחוץ לגבולות הגזרה לשירות. באופן דומה, כשמייצאים תוצאות של סריקת נתונים, טבלת היעד ב-BigQuery צריכה להיות בפרויקט שמוגן על ידי ההיקף. במאמר יצירת רמת גישה מוסבר איך נותנים גישה למשאבים המוגנים מחוץ להיקף.

הגדרת VPC Service Controls

כדי להגן על המשאבים של Knowledge Catalog באמצעות VPC Service Controls:

  1. הגדרת רשת ה-VPC.
  2. יוצרים גבולות גזרה לשירות.
  3. הוספת פרויקטים להיקף.
  4. מוסיפים את Dataplex API לגבולות גזרה לשירות.
  5. אופציונלי: יוצרים רמת גישה.

הגדרת רשת הענן הווירטואלי הפרטי (VPC)

אתם יכולים להגדיר את רשת ה-VPC כך שתגביל את הגישה הפרטית ל-Google בהתאם לגבולות הגזרה לשירות. כך אפשר לוודא שהמארחים ברשת ה-VPC או ברשת המקומית יכולים לתקשר רק עם ממשקי ה-API והשירותים של Google שנתמכים על ידי VPC Service Controls, בדרכים שתואמות למדיניות של גבולות הגזרה המשויכים.

מידע נוסף זמין במאמר הגדרת קישוריות פרטית לממשקי API ולשירותים של Google.

יצירת גבולות גזרה לשירות

כשיוצרים גבולות גזרה לשירות, בוחרים את הפרויקטים של Knowledge Catalog שרוצים להגן עליהם באמצעות גבולות הגזרה לשירות של VPC Service Controls.

כדי ליצור גבולות גזרה לשירות, פועלים לפי ההוראות במאמר יצירת גבולות גזרה לשירות.

הוספת פרויקטים נוספים לגבולות גזרה לשירות

כדי להוסיף פרויקטים קיימים של Knowledge Catalog להיקף, פועלים לפי ההוראות במאמר עדכון של גבולות גזרה לשירות.

הוספת Dataplex API לגבולות גזרה לשירות

כדי לצמצם את הסיכון של זליגת נתונים מ-Knowledge Catalog, למשל באמצעות שיטות של Dataplex API, צריך להגביל את Dataplex API.

כדי להוסיף את Dataplex API כשירות מוגבל:

המסוף

  1. נכנסים לדף VPC Service Controls במסוף Google Cloud .

    כניסה ל-VPC Service Controls

  2. בדף VPC Service Controls, בטבלה, לוחצים על השם של גבולות גזרה לשירות שרוצים לשנות.

  3. לוחצים על Edit Perimeter.

  4. בדף Edit Service Perimeter, לוחצים על Add Services.

  5. מוסיפים את Dataplex API.

  6. לוחצים על Save.

gcloud

  • משתמשים בפקודה gcloud access-context-manager perimeters update:

    gcloud access-context-manager perimeters update PERIMETER_ID \
--policy=POLICY_ID \
--add-restricted-services=dataplex.googleapis.com

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫PERIMETER_ID: המזהה של ההיקף או המזהה המלא של ההיקף
    • ‫POLICY_ID: מזהה מדיניות בקרת הגישה

אופציונלי: יצירת רמת גישה

כדי לאפשר גישה חיצונית למשאבים מוגנים בתוך היקף ההרשאות, אתם יכולים להשתמש ברמות גישה. רמות הגישה חלות רק על בקשות למשאבים מוגנים שמגיעות מחוץ לגבולות הגזרה לשירות. אי אפשר להשתמש ברמות גישה כדי לתת למשאבים מוגנים הרשאה לגשת לנתונים ולשירותים מחוץ להיקף.

למידע נוסף, קראו את המאמר מתן גישה למשאבים מוגנים מחוץ להיקף.

המאמרים הבאים