VPC Service Controls für den Data Engineering Agent konfigurieren

In diesem Dokument wird beschrieben, wie Sie VPC Service Controls konfigurieren, um den Data Engineering Agent zu unterstützen. Sie können VPC Service Controls mit dem Data Engineering-Agent verwenden, um das Risiko einer Daten-Exfiltration zu verringern.

Weitere Informationen zu VPC Service Controls finden Sie im Überblick über VPC Service Controls.

Beschränkungen

  • Gemini Data Analytics (geminidataanalytics.googleapis.com), Dataform (dataform.googleapis.com), BigQuery (bigquery.googleapis.com), Knowledge Catalog (dataplex.googleapis.com) und Cloud Storage (storage.googleapis.com) müssen alle innerhalb desselben VPC Service Controls-Dienstperimeters eingeschränkt werden.
  • Die gleichen Einschränkungen, die für Dataform innerhalb eines VPC Service Controls-Perimeters gelten, gelten auch für Gemini Data Analytics. Dazu gehört auch die Anforderung, die Organisationsrichtlinie dataform.restrictGitRemotes festzulegen. Weitere Informationen finden Sie unter Einschränkungen.

Sicherheitsaspekte

Wenn Sie einen VPC Service Controls-Perimeter für Gemini Data Analytics einrichten, sollten Sie die Berechtigungen prüfen, die Ihren Dienst-Agents und -Konten gewährt werden, einschließlich Dataform-Dienst-Agents und benutzerdefinierter Dienstkonten, um sicherzustellen, dass sie mit Ihrer Sicherheitsarchitektur übereinstimmen. Die Berechtigungen, die diesen Konten gewährt werden, bestimmen ihren Zugriff auf Ressourcen innerhalb des Perimeters.

Hinweis

  • Achten Sie darauf, dass die Nutzer oder Dienstkonten, die Gemini Data Analytics verwenden, die erforderlichen IAM-Berechtigungen haben. Sie können die Rolle roles/geminidataanalytics.dataAgentStatelessUser zuweisen, die die erforderliche Berechtigung geminidataanalytics.locations.useDataEngineeringAgent enthält. Diese IAM-Rollen sind für die Interaktion mit der Gemini Data Analytics API erforderlich, auch wenn Aufrufe innerhalb eines VPC Service Controls-Perimeters erfolgen.
  • Bevor Sie einen VPC Service Controls-Dienstperimeter konfigurieren, müssen Sie die Organisationsrichtlinie dataform.restrictGitRemotes festlegen. Diese Richtlinie sorgt dafür, dass VPC Service Controls Prüfungen erzwingt, wenn Sie Dataform-Funktionen über Gemini Data Analytics verwenden. Weitere Informationen finden Sie unter Remote-Repositorys einschränken.

APIs aktivieren

Aktivieren Sie die Gemini Data Analytics-, Dataform- und BigQuery-APIs, falls sie noch nicht aktiviert sind.

Rollen, die zum Aktivieren von APIs erforderlich sind

Zum Aktivieren von APIs benötigen Sie die Berechtigung serviceusage.services.enable. Wenn Sie das Projekt erstellt haben, haben Sie diese Berechtigung wahrscheinlich bereits über die Rolle „Inhaber“ (roles/owner). Andernfalls können Sie diese Berechtigung über die Rolle „Service Usage-Administrator“ (roles/serviceusage.serviceUsageAdmin) erhalten. Informationen zum Zuweisen von Rollen

APIs aktivieren

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle Access Context Manager Editor (roles/accesscontextmanager.policyEditor) für das Projekt zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Konfigurieren von VPC Service Controls-Dienstperimetern benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Weitere Informationen zu VPC Service Controls-Berechtigungen finden Sie unter Zugriffssteuerung mit IAM.

VPC Service Controls konfigurieren

Wenn Sie einen neuen Dienstperimeter erstellen, müssen Sie die folgenden APIs in denselben Dienstperimeter aufnehmen:

  • geminidataanalytics.googleapis.com
  • dataform.googleapis.com
  • bigquery.googleapis.com
  • dataplex.googleapis.com
  • storage.googleapis.com

Wenn Sie bereits einen Dienst haben, können Sie den Dienstperimeter aktualisieren, um die drei erforderlichen APIs in denselben Dienstperimeter aufzunehmen.

Nächste Schritte