このドキュメントでは、Data Engineering エージェントをサポートするように VPC Service Controls を構成する方法について説明します。VPC Service Controls を Data Engineering エージェントとともに使用すると、データ漏洩のリスクを軽減できます。
VPC Service Controls の詳細については、VPC Service Controls の概要をご覧ください。
制限事項
- Gemini データ分析（
geminidataanalytics.googleapis.com）、Dataform（dataform.googleapis.com）、BigQuery（bigquery.googleapis.com）、Knowledge Catalog（dataplex.googleapis.com）、Cloud Storage（storage.googleapis.com）はすべて、同じ VPC Service Controls サービス境界内で制限する必要があります。 - VPC Service Controls の境界内の Dataform に適用される制限は、Gemini Data Analytics を使用する場合にも適用されます。これには、
dataform.restrictGitRemotes組織のポリシーを設定するための要件が含まれます。詳細については、制限事項をご覧ください。
セキュリティ上の考慮事項
Gemini Data Analytics の VPC Service Controls 境界を設定する場合は、Dataform サービス エージェントやカスタム サービス アカウントなど、サービス エージェントとアカウントに付与された権限を確認して、セキュリティ アーキテクチャとの整合性を確保します。これらのアカウントに付与された権限によって、境界内のリソースへのアクセス権が決まります。
始める前に
- Gemini データ分析を使用するユーザーまたはサービス アカウントに必要な IAM 権限があることを確認します。必要な権限
geminidataanalytics.locations.useDataEngineeringAgentを含むロールroles/geminidataanalytics.dataAgentStatelessUserを付与できます。これらの IAM ロールは、呼び出しが VPC Service Controls 境界内で発生する場合でも、Gemini Data Analytics API とのやり取りに必要です。 - VPC Service Controls サービス境界を構成する前に、
dataform.restrictGitRemotes組織のポリシーを設定する必要があります。このポリシーにより、Gemini データ分析で Dataform 機能を使用する際に、VPC Service Controls がチェックを適用します。詳細については、リモート リポジトリを制限するをご覧ください。
API を有効にする
Gemini Data Analytics、Dataform、BigQuery API がまだ有効になっていない場合は、有効にします。
API を有効にするために必要なロール
API を有効にするには、serviceusage.services.enable 権限が必要です。プロジェクトを作成した場合は、オーナーロール（roles/owner）を通じてこの権限がすでに付与されている可能性があります。それ以外の場合は、Service Usage 管理者ロール（roles/serviceusage.serviceUsageAdmin）を通じてこの権限を取得できます。ロールを付与する方法を確認する。
必要なロール
VPC Service Controls サービス境界の構成に必要な権限を取得するには、プロジェクトに対する Access Context Manager 編集者 （roles/accesscontextmanager.policyEditor）IAM ロールを付与するよう管理者に依頼してください。ロールの付与については、プロジェクト、フォルダ、組織に対するアクセス権の管理をご覧ください。
必要な権限は、カスタムロールや他の事前定義ロールから取得することもできます。
VPC Service Controls の権限の詳細については、IAM によるアクセス制御をご覧ください。
VPC Service Controls を構成する
新しいサービス境界を作成する場合は、次の API を同じサービス境界に含める必要があります。
geminidataanalytics.googleapis.comdataform.googleapis.combigquery.googleapis.comdataplex.googleapis.comstorage.googleapis.com
既存のサービスがある場合は、サービス境界を更新して、同じサービス境界内に必要な 3 つの API を含めることができます。
次のステップ
- VPC Service Controls の詳細については、VPC Service Controls の概要をご覧ください。
- Dataform での VPC Service Controls の統合の詳細については、Dataform 用に VPC Service Controls を構成するをご覧ください。
- BigQuery での VPC Service Controls の統合の詳細については、BigQuery の VPC Service Controls をご覧ください。
- 組織ポリシー サービスの詳細については、組織ポリシー サービスの概要をご覧ください。