데이터 제품과 함께 VPC 서비스 제어 사용

VPC 서비스 제어를 사용하면 데이터 제품에서 데이터 무단 반출을 방지하는 데 도움이 되는 서비스 경계를 정의할 수 있습니다. 인그레스 및 이그레스 규칙을 구성하여 데이터 제품, 데이터 애셋, 사용자 간의 통신을 승인된 경계 내로 유지할 수 있습니다.

VPC 서비스 제어가 데이터 제품과 작동하는 방식

데이터 제품은 여러 프로젝트에 걸쳐 있을 수 있는 데이터 애셋이라는 리소스의 논리적 그룹입니다. 프로젝트가 서로 다른 VPC 서비스 제어 경계에 속하는 경우 Dataplex API가 경계 간에 리소스와 메타데이터를 관리할 수 있도록 인그레스 및 이그레스 규칙을 구성해야 합니다.

시작하기 전에

데이터 제품 생성을 위한 서비스 경계 규칙

다음 프로젝트는 서비스 경계 전반에서 데이터 제품을 만드는 데 필요한 통신 경계를 정의합니다.

  • 프로젝트 R (호출자): 만들기 요청을 시작하는 사용자, 서비스 계정 또는 애플리케이션이 있는 프로젝트입니다.

  • 프로젝트 E (데이터 제품): 데이터 제품 리소스를 호스팅하는 프로젝트입니다.

서비스 경계 2개를 보여주는 그림 경계 1에는 프로젝트 R (호출자)이 포함되고 경계 2에는 프로젝트 E (데이터 제품)가 포함됩니다.

호출자 프로젝트와 다른 프로젝트에 데이터 제품을 만들려면 다음 인그레스 및 이그레스 규칙을 구성합니다.

프로젝트 규칙은 필수 항목입니다.
프로젝트 R 프로젝트 E의 이그레스 규칙
프로젝트 E 프로젝트 R의 인그레스 규칙

데이터 애셋 관리를 위한 서비스 경계 규칙

데이터 애셋을 관리할 때 (예: BigQuery 테이블을 데이터 제품에 추가) 아키텍처에는 세 가지 고유한 프로젝트 역할이 포함됩니다.

  • 프로젝트 R (호출자): 애셋 관리 요청을 시작하는 프로젝트입니다.

  • 프로젝트 D (데이터 제품): 애셋을 그룹화하는 데이터 제품을 호스팅하는 프로젝트입니다. 데이터 제품의 애셋은 BigQuery 데이터 세트, 테이블 또는 뷰와 같은 물리적 데이터 리소스에 대한 포인터입니다. 데이터 제품에는 하나 이상의 애셋이 포함될 수 있습니다.

  • 프로젝트 S (소스 리소스): 실제 데이터 리소스가 있는 프로젝트입니다.

서비스 경계 3개를 보여주는 그림 경계 1에는 프로젝트 R (호출자)이 포함되고, 경계 2에는 프로젝트 D (데이터 제품)가 포함되며, 경계 3에는 프로젝트 S (소스 리소스)가 포함됩니다.

데이터 제품과 다른 프로젝트에 있는 데이터 애셋을 추가하거나 관리할 때는 다음 인그레스 및 이그레스 규칙을 구성하여 세 프로젝트 간의 통신을 연결해야 합니다.

프로젝트 규칙 필요
프로젝트 R 프로젝트 D의 이그레스 규칙
프로젝트 S의 이그레스 규칙
프로젝트 D 프로젝트 R의 인그레스 규칙
프로젝트 S의 이그레스 규칙
프로젝트 S 프로젝트 R의 인그레스 규칙
프로젝트 D의 인그레스 규칙

데이터 제품에 관점 및 메타데이터를 추가하기 위한 서비스 경계 규칙

다음 프로젝트는 서비스 경계 전반에서 데이터 제품에 메타데이터와 관점을 연결하는 데 필요한 통신 경계를 정의합니다.

  • 프로젝트 R (호출자): 관점을 연결하는 요청을 시작하는 프로젝트입니다.

  • 프로젝트 D (데이터 제품): 관점을 수신하는 데이터 제품을 호스팅하는 프로젝트입니다.

  • 프로젝트 A (관점 유형): 특정 관점 유형(메타데이터 스키마)이 정의되고 저장되는 프로젝트입니다.

서비스 경계 3개를 보여주는 그림 경계 1에는 프로젝트 R (호출자)이 포함되고, 경계 2에는 프로젝트 D (데이터 제품)가 포함되며, 경계 3에는 프로젝트 A (관점 유형)가 포함됩니다.

이러한 프로젝트가 별도의 경계에 있을 때 관점을 연결하려면 다음 인그레스 및 이그레스 규칙을 구성합니다.

프로젝트 규칙 필요
프로젝트 R 프로젝트 D의 이그레스 규칙
프로젝트 A의 이그레스 규칙
프로젝트 D 프로젝트 R의 인그레스 규칙
프로젝트 A의 이그레스 규칙
프로젝트 A 프로젝트 R의 인그레스 규칙
프로젝트 D의 인그레스 규칙

데이터 제품 사용을 위한 서비스 경계 규칙

데이터 제품 소비자가 VPC 서비스 제어로 보호되는 데이터 제품에 액세스하려면 소비자 프로젝트 또는 특정 사용자 ID를 허용 목록에 추가해야 합니다. 데이터 제품 소비자에게 이 액세스 권한을 부여하려면 데이터 제품의 서비스 경계에서 인그레스 규칙을 구성하세요.

제한사항

  • 데이터 제품은 메서드 기반 규칙을 지원하지 않습니다. 기능을 보장하려면 인그레스 및 이그레스 규칙에서 dataplex.googleapis.com 서비스의 모든 메서드 (*)를 허용해야 합니다. 예를 들면 다음과 같습니다.

    ingressTo:
operations:
- methodSelectors:
  - method: '*'
  serviceName: dataplex.googleapis.com
resources:
- projects/PROJECT_ID

  • 기본 BigQuery 리소스가 서비스 경계로 보호되는 경우 bigquery.googleapis.com 서비스에 대한 인그레스 및 이그레스 규칙을 구성해야 합니다. 예를 들면 다음과 같습니다.

    ingressTo:
operations:
- methodSelectors:
  - method: '*'
  serviceName: bigquery.googleapis.com
resources:
- projects/PROJECT_ID

다음 단계