Data Engineering エージェントの VPC Service Controls を構成する

プレビュー

このプロダクトまたは機能は、サービス固有規約の「一般サービス規約」セクションの「一般提供前のサービス規約」の対象となります。pre-GA のプロダクトと機能は「現状のまま」利用できますが、サポートが制限されることがあります。詳細については、リリース ステージの説明をご覧ください。

このドキュメントでは、Data Engineering エージェントをサポートするように VPC Service Controls を構成する方法について説明します。VPC Service Controls を Data Engineering エージェントとともに使用すると、データの引き出しのリスクを軽減できます。

VPC Service Controls の詳細については、VPC Service Controls の概要をご覧ください。

制限事項

• Gemini Data Analytics（geminidataanalytics.googleapis.com）、Dataform（dataform.googleapis.com）、BigQuery（bigquery.googleapis.com）、Knowledge Catalog（dataplex.googleapis.com）、Cloud Storage（storage.googleapis.com）はすべて、同じ VPC Service Controls サービス境界内で制限する必要があります。
• VPC Service Controls の境界内の Dataform に適用される制限は、Gemini Data Analytics を使用する場合にも適用されます。これには、dataform.restrictGitRemotes 組織のポリシーを設定する要件が含まれます。詳細については、制限事項をご覧ください。

セキュリティ上の考慮事項

Gemini データ分析用に VPC Service Controls の境界を設定する場合は、Dataform サービス エージェントやカスタム サービス アカウントなど、サービス エージェントとアカウントに付与された権限を確認して、セキュリティ アーキテクチャとの整合性を確保します。これらのアカウントに付与された権限によって、境界内のリソースへのアクセス権が決まります。

始める前に

• Gemini データ分析を使用するユーザーまたはサービス アカウントに必要な IAM 権限があることを確認します。必要な権限 geminidataanalytics.locations.useDataEngineeringAgent を含むロール roles/geminidataanalytics.dataAgentStatelessUser を付与できます。これらの IAM ロールは、呼び出しが VPC Service Controls 境界内で発生する場合でも、Gemini Data Analytics API とのやり取りに必要です。
• VPC Service Controls サービス境界を構成する前に、dataform.restrictGitRemotes 組織のポリシーを設定する必要があります。このポリシーにより、Gemini データ分析で Dataform 機能を使用するときに、VPC Service Controls がチェックを適用します。詳細については、リモート リポジトリを制限するをご覧ください。

API を有効にする

Gemini Data Analytics、Dataform、BigQuery の各 API を有効にします。

API を有効にするために必要なロール

API を有効にするには、serviceusage.services.enable 権限を含む Service Usage 管理者 IAM ロール（roles/serviceusage.serviceUsageAdmin）が必要です。詳しくは、ロールを付与する方法をご覧ください。

API を有効にする

必要なロール

VPC Service Controls サービス境界の構成に必要な権限を取得するには、プロジェクトに対する Access Context Manager 編集者 （roles/accesscontextmanager.policyEditor）IAM ロールを付与するよう管理者に依頼してください。ロールの付与については、プロジェクト、フォルダ、組織に対するアクセス権の管理をご覧ください。

必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。

VPC Service Controls の権限の詳細については、IAM によるアクセス制御をご覧ください。

VPC Service Controls を構成する

新しいサービス境界を作成する場合は、次の API を同じサービス境界に含める必要があります。

• geminidataanalytics.googleapis.com
• dataform.googleapis.com
• bigquery.googleapis.com
• dataplex.googleapis.com
• storage.googleapis.com

既存のサービスがある場合は、サービス境界を更新して、同じサービス境界内に必要な 3 つの API を含めることができます。

次のステップ

• VPC Service Controls の詳細については、VPC Service Controls の概要をご覧ください。
• Dataform での VPC Service Controls の統合の詳細については、Dataform 用に VPC Service Controls を構成するをご覧ください。
• BigQuery での VPC Service Controls の統合の詳細については、BigQuery の VPC Service Controls をご覧ください。
• 組織ポリシー サービスの詳細については、組織ポリシー サービスの概要をご覧ください。