Utilizzare i Controlli di servizio VPC con i prodotti di dati

I Controlli di servizio VPC ti consentono di definire perimetri di servizio che aiutano a impedire l'esfiltrazione di dati dai tuoi prodotti di dati. Puoi configurare regole per il traffico in entrata e in uscita per mantenere la comunicazione tra prodotti di dati, asset di dati e utenti entro i limiti autorizzati.

Come funzionano i Controlli di servizio VPC con i prodotti di dati

Un prodotto di dati è un gruppo logico di risorse, chiamate asset di dati, che può comprendere più progetti. Quando i tuoi progetti appartengono a perimetri dei Controlli di servizio VPC diversi, devi configurare regole in entrata e in uscita in modo che l'API Dataplex possa gestire risorse e metadati tra i perimetri.

Prima di iniziare

• Acquisisci familiarità con i Controlli di servizio VPC.
• Comprendi i concetti relativi ai prodotti di dati.
• Assicurati di disporre delle autorizzazioni necessarie per gestire i perimetri dei Controlli di servizio VPC e le risorse di Knowledge Catalog.

Regole del perimetro di servizio per la creazione di prodotti di dati

I seguenti progetti definiscono i confini di comunicazione necessari per creare un prodotto di dati tra i perimetri di servizio:

• Progetto R (chiamante): il progetto in cui si trova l'utente, account di servizio o l'applicazione che avvia la richiesta di creazione.

• Progetto E (prodotto di dati): il progetto che ospita la risorsa del prodotto di dati.

Per creare un prodotto di dati in un progetto diverso da quello del chiamante, configura le seguenti regole in entrata e in uscita:

Progetto	Regola obbligatoria
Project R	Regola in uscita per il Progetto E
Project E	Regola in entrata per il progetto R

Regole del perimetro di servizio per la gestione degli asset di dati

Quando gestisci gli asset di dati (ad esempio aggiungendo una tabella BigQuery a un prodotto di dati), l'architettura prevede tre ruoli di progetto distinti:

• Progetto R (chiamante): il progetto che avvia la richiesta di gestione degli asset.

• Progetto D (prodotto di dati): il progetto che ospita il prodotto di dati che raggruppa gli asset. Un asset in un prodotto di dati è un puntatore a una risorsa di dati fisica, come un set di dati, una tabella o una vista BigQuery. Un prodotto di dati può contenere uno o più asset.

• Progetto S (risorsa di origine): il progetto in cui si trova la risorsa di dati effettiva.

Quando aggiungi o gestisci un asset di dati che si trova in un progetto diverso da quello del prodotto di dati, devi collegare la comunicazione tra tutti e tre i progetti configurando le seguenti regole in entrata e in uscita:

Progetto	Regole obbligatorie
Project R	Regola in uscita per il progetto D Regola in uscita per il progetto S
Progetto D	Regola in entrata per il Progetto R Regola in uscita per il Progetto S
Project S	Regola in entrata per il progetto R Regola in entrata per il progetto D

Regole del perimetro di servizio per l'aggiunta di aspetti e metadati a un prodotto di dati

I seguenti progetti definiscono i confini di comunicazione richiesti per collegare metadati e aspetti a un prodotto di dati tra i perimetri di servizio:

• Progetto R (chiamante): il progetto che avvia la richiesta di collegamento di un aspetto.

• Progetto D (prodotto di dati): il progetto che ospita il prodotto di dati che riceve l'aspetto.

• Progetto A (tipo di aspetto): il progetto in cui viene definito e archiviato il tipo di aspetto specifico (lo schema dei metadati).

Per collegare gli aspetti quando questi progetti si trovano in perimetri separati, configura le seguenti regole in entrata e in uscita:

Progetto	Regole obbligatorie
Project R	Regola in uscita per il Progetto D Regola in uscita per il Progetto A
Progetto D	Regola in entrata per il Progetto R Regola in uscita per il Progetto A
Progetto A	Regola in entrata per il progetto R Regola in entrata per il progetto D

Regole del perimetro di servizio per l'utilizzo dei prodotti di dati

Affinché i consumer di prodotti di dati possano accedere ai prodotti di dati protetti dai Controlli di servizio VPC, devi inserire nella lista consentita il progetto consumer o le identità utente specifiche. Per concedere questo accesso ai consumer di prodotti di dati, configura le regole in entrata nel perimetro di servizio del prodotto di dati.

Limitazioni

• I prodotti di dati non supportano le regole basate sui metodi. Per garantire la funzionalità, devi consentire tutti i metodi (*) per il servizio dataplex.googleapis.com nelle regole in entrata e in uscita. Ad esempio:

  ingressTo:
  operations:
  - methodSelectors:
    - method: '*'
    serviceName: dataplex.googleapis.com
  resources:
  - projects/PROJECT_ID
  

• Se le risorse BigQuery sottostanti sono protette da perimetri di servizio, devi configurare regole in entrata e in uscita per il servizio bigquery.googleapis.com. Ad esempio:

  ingressTo:
  operations:
  - methodSelectors:
    - method: '*'
    serviceName: bigquery.googleapis.com
  resources:
  - projects/PROJECT_ID
  

  Nota: le regole in entrata e in uscita per BigQuery non sono obbligatorie quando crei solo un prodotto di dati.

Passaggi successivi

• Scopri di più sui prodotti di dati.
• Comprendi le regole in entrata e in uscita.