为 Data Engineering Agent 配置 VPC Service Controls

本文档介绍了如何配置 VPC Service Controls 以支持 Data Engineering Agent。您可以将 VPC Service Controls 与 Data Engineering Agent 搭配使用，以降低数据渗漏的风险。

如需详细了解 VPC Service Controls，请参阅 VPC Service Controls 概览。

限制

  • Gemini Data Analytics (geminidataanalytics.googleapis.com)、Dataform (dataform.googleapis.com)、BigQuery (bigquery.googleapis.com)、Knowledge Catalog (dataplex.googleapis.com) 和 Cloud Storage (storage.googleapis.com) 必须全部限制在同一 VPC Service Controls 服务边界内。
  • 适用于 VPC Service Controls 边界内 Dataform 的限制也适用于使用 Gemini Data Analytics 的情况。 这包括设置 dataform.restrictGitRemotes 组织政策的要求。如需了解详情，请参阅限制。

安全注意事项

为 Gemini Data Analytics 设置 VPC Service Controls 边界时，请查看授予服务代理和服务账号（包括 Dataform 服务代理和任何自定义服务账号）的权限，以确保与您的安全架构保持一致。授予这些账号的权限决定了它们对边界内资源的访问权限。

准备工作

  • 确保使用 Gemini Data Analytics 的用户或服务账号拥有必要的 IAM 权限。您可以授予 roles/geminidataanalytics.dataAgentStatelessUser 角色，该角色包含所需的权限 geminidataanalytics.locations.useDataEngineeringAgent。 即使调用源自 VPC Service Controls 边界内，也需要这些 IAM 角色才能与 Gemini Data Analytics API 交互。
  • 在配置 VPC Service Controls 服务边界之前，您必须设置 dataform.restrictGitRemotes 组织政策。此政策可确保在使用 Gemini Data Analytics 通过 Dataform 功能时，VPC Service Controls 会强制执行检查。如需了解详情，请参阅限制远程 代码库。

启用 API

启用 Gemini Data Analytics、Dataform 和 BigQuery API。

启用 API 所需的角色

如需启用 API，您需要拥有 serviceusage.services.enable 权限。如果您 创建了项目，则可能已通过 所有者角色 (roles/owner) 拥有此权限。否则，您可以通过 Service Usage Admin 角色 (roles/serviceusage.serviceUsageAdmin) 获得此权限。 了解如何授予角色。

启用 API

所需的角色

如需获得配置 VPC Service Controls 服务边界所需的权限，请让管理员向您授予项目的Access Context Manager Editor (roles/accesscontextmanager.policyEditor) IAM 角色。如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

您也可以通过自定义 角色或其他预定义 角色来获取所需的权限。

如需详细了解 VPC Service Controls 权限，请参阅 使用 IAM 进行访问权限控制 。

配置 VPC Service Controls

创建新的服务边界时，您必须在同一服务边界中添加以下 API：

  • geminidataanalytics.googleapis.com
  • dataform.googleapis.com
  • bigquery.googleapis.com
  • dataplex.googleapis.com
  • storage.googleapis.com

如果您已有服务，则可以更新服务 边界，以 在同一服务边界中添加三个必需的 API。

后续步骤