데이터 엔지니어링 에이전트의 VPC 서비스 제어 구성

이 문서에서는 데이터 엔지니어링 에이전트를 지원하도록 VPC 서비스 제어를 구성하는 방법을 설명합니다. 데이터 엔지니어링 에이전트와 함께 VPC 서비스 제어를 사용하여 데이터 무단 반출 위험을 줄일 수 있습니다.

VPC 서비스 제어에 대한 자세한 내용은 VPC 서비스 제어 개요를 참조하세요.

제한사항

  • Gemini 데이터 분석 (geminidataanalytics.googleapis.com), Dataform (dataform.googleapis.com), BigQuery(bigquery.googleapis.com), Knowledge Catalog (dataplex.googleapis.com), Cloud Storage (storage.googleapis.com)는 모두 동일한 VPC 서비스 제어 서비스 경계 내로 제한되어야 합니다.
  • VPC 서비스 제어 경계 내의 Dataform에 적용되는 동일한 제한사항은 Gemini 데이터 분석을 사용할 때도 적용됩니다. 여기에는 dataform.restrictGitRemotes 조직 정책을 설정해야 한다는 요구사항이 포함됩니다. 자세한 내용은 제한사항을 참조하세요.

보안 고려사항

Gemini Data Analytics에 VPC 서비스 제어 경계를 설정할 때 Dataform 서비스 에이전트 및 모든 커스텀 서비스 계정을 비롯한 서비스 에이전트 및 계정에 부여된 권한을 검토하여 보안 아키텍처와 일치하는지 확인합니다. 이러한 계정에 부여된 권한에 따라 경계 내 리소스에 대한 액세스 권한이 결정됩니다.

시작하기 전에

  • Gemini 데이터 분석을 사용하는 사용자 또는 서비스 계정에 필요한 IAM 권한이 있는지 확인합니다. 필수 권한 geminidataanalytics.locations.useDataEngineeringAgent이 포함된 역할 roles/geminidataanalytics.dataAgentStatelessUser을 부여할 수 있습니다. 이러한 IAM 역할은 VPC 서비스 제어 경계 내에서 호출이 시작되는 경우에도 Gemini 데이터 분석 API와 상호작용하는 데 필요합니다.
  • VPC 서비스 제어 서비스 경계를 구성하기 전에 dataform.restrictGitRemotes 조직 정책을 설정해야 합니다. 이 정책을 사용하면 Gemini 데이터 분석을 통해 Dataform 기능을 사용할 때 VPC 서비스 제어가 검사를 시행합니다. 자세한 내용은 원격 저장소 제한을 참고하세요.

API 사용 설정

Gemini 데이터 분석, Dataform, BigQuery API를 사용 설정합니다.

API 사용 설정에 필요한 역할

API를 사용 설정하려면 serviceusage.services.enable 권한이 포함된 서비스 사용량 관리자 IAM 역할(roles/serviceusage.serviceUsageAdmin)이 필요합니다. 역할 부여 방법 알아보기

API 사용 설정

필요한 역할

VPC 서비스 제어 서비스 경계를 구성하는 데 필요한 권한을 얻으려면 관리자에게 프로젝트에 대한 Access Context Manager 편집자 (roles/accesscontextmanager.policyEditor) IAM 역할을 부여해 달라고 요청하세요. 역할 부여에 대한 자세한 내용은 프로젝트, 폴더, 조직에 대한 액세스 관리를 참조하세요.

커스텀 역할이나 다른 사전 정의된 역할을 통해 필요한 권한을 얻을 수도 있습니다.

VPC 서비스 제어 권한에 대한 자세한 내용은 IAM으로 액세스 제어를 참고하세요.

VPC 서비스 제어를 구성합니다.

새 서비스 경계를 만들 때 다음 API를 동일한 서비스 경계에 포함해야 합니다.

  • geminidataanalytics.googleapis.com
  • dataform.googleapis.com
  • bigquery.googleapis.com
  • dataplex.googleapis.com
  • storage.googleapis.com

기존 서비스가 있는 경우 동일한 서비스 경계 내에 필요한 세 개의 API를 포함하도록 서비스 경계를 업데이트할 수 있습니다.

다음 단계