Dataflow 针对生成式 AI 应用场景的控制措施

本文档包含在 Google Cloud上运行生成式 AI 工作负载时 Dataflow 的最佳实践和准则。将 Dataflow 与 Vertex AI 搭配使用来构建复杂的流水线，以从各种来源注入数据并根据需要汇总数据。

可选的 Dataflow 控制措施

我们建议您根据数据源实施以下安全控制措施。

为 Dataflow 作业关闭外部 IP 地址

Google 控制 ID DF-CO-6.1
类别 可选
说明

关闭外部 IP 地址，以执行与 Dataflow 作业相关的管理和监控任务。请改用 SSH 配置对 Dataflow 工作器虚拟机的访问权限。

启用专用 Google 访问通道，并在 Dataflow 作业中指定以下选项之一：

  • --usePublicIps=false和--network=NETWORK-NAME之间
  • --subnetwork=SUBNETWORK-NAME

其中：

  • NETWORK-NAME：您的 Compute Engine 网络的名称。
  • SUBNETWORK-NAME：您的 Compute Engine 子网的名称。
适用的产品
  • Compute Engine
  • Dataflow
相关 NIST-800-53 控制
  • SC-7
  • SC-8
相关 CRI 配置文件控制
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
相关信息

为防火墙规则使用网络标记

Google 控制 ID DF-CO-6.2
类别 可选
说明

网络标记是附加到 Compute Engine 虚拟机（例如 Dataflow 工作器虚拟机）的文本属性。借助网络标记，您可以将 VPC 网络防火墙规则和某些自定义静态路由应用于特定虚拟机实例。Dataflow 支持将网络标记添加到运行特定 Dataflow 作业的所有工作器虚拟机。
适用的产品
  • Compute Engine
  • Dataflow
相关 NIST-800-53 控制
  • SC-7
  • SC-8
相关 CRI 配置文件控制
  • PR.AC-5.1
  • PR.AC-5.2
  • PR.DS-2.1
  • PR.DS-2.2
  • PR.DS-5.1
  • PR.PT-4.1
  • DE.CM-1.1
  • DE.CM-1.2
  • DE.CM-1.3
  • DE.CM-1.4
相关信息

后续步骤