為 Data Engineering Agent 設定 VPC Service Controls

本文說明如何設定 VPC Service Controls，以支援 Data Engineering Agent。您可以搭配使用 VPC Service Controls 和 Data Engineering Agent，降低資料遭竊取的風險。

如要進一步瞭解 VPC Service Controls，請參閱「VPC Service Controls 總覽」。

限制

  • Gemini Data Analytics (geminidataanalytics.googleapis.com)、Dataform (dataform.googleapis.com)、BigQuery (bigquery.googleapis.com)、Knowledge Catalog (dataplex.googleapis.com) 和 Cloud Storage (storage.googleapis.com) 都必須限制在同一個 VPC Service Controls service perimeter 內。
  • 在 VPC Service Controls 範圍內使用 Dataform 時的限制，同樣適用於 Gemini Data Analytics。包括設定 dataform.restrictGitRemotes 機構政策的規定。詳情請參閱「限制」一節。

安全性考量

為 Gemini Data Analytics 設定 VPC Service Controls perimeter 時，請檢查授予服務代理程式和帳戶的權限，包括 Dataform 服務代理程式和任何自訂服務帳戶，確保符合您的安全架構。授予這些帳戶的權限會決定他們對 perimeter 內資源的存取權。

事前準備

  • 請確認使用 Gemini Data Analytics 的使用者或服務帳戶具備必要的 IAM 權限。您可以授予 roles/geminidataanalytics.dataAgentStatelessUser 角色，其中包含必要權限 geminidataanalytics.locations.useDataEngineeringAgent。即使呼叫來自 VPC Service Controls 範圍內，也必須具備這些 IAM 角色，才能與 Gemini Data Analytics API 互動。
  • 設定 VPC Service Controls 服務範圍前，請務必設定dataform.restrictGitRemotes組織政策。這項政策可確保您透過 Gemini Data Analytics 使用 Dataform 功能時，VPC Service Controls 會強制執行檢查。詳情請參閱「限制遠端存放區」。

啟用 API

啟用 Gemini Data Analytics、Dataform 和 BigQuery API。

啟用 API 時所需的角色

您必須具備 serviceusage.services.enable 權限，才能啟用 API。如果您建立了專案，可能已透過「擁有者」角色 (roles/owner) 取得這項權限。否則，您可以透過「服務使用情形管理員」角色 (roles/serviceusage.serviceUsageAdmin) 取得這項權限。瞭解如何授予角色。

啟用 API

必要的角色

如要取得設定 VPC Service Controls 服務範圍所需的權限，請要求管理員授予您專案的存取權情境管理員編輯者 (roles/accesscontextmanager.policyEditor) IAM 角色。如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。

您或許也能透過自訂角色或其他預先定義的角色，取得必要權限。

如要進一步瞭解 VPC Service Controls 權限，請參閱「使用 IAM 控管存取權」。

設定 VPC Service Controls

建立新的服務範圍時，您必須在同一個服務範圍中加入下列 API：

  • geminidataanalytics.googleapis.com
  • dataform.googleapis.com
  • bigquery.googleapis.com
  • dataplex.googleapis.com
  • storage.googleapis.com

如果您已有服務，可以更新服務範圍，在同一個服務範圍內納入這三個必要 API。

後續步驟