データ プロダクトで VPC Service Controls を使用する

VPC Service Controls を使用すると、データ プロダクトからのデータ漏洩を防ぐサービス境界を定義できます。上り（内向き）ルールと下り（外向き）ルールを構成して、データ プロダクト、データアセット、ユーザー間の通信を承認された境界内に維持できます。

VPC Service Controls とデータ プロダクトの連携の仕組み

データ プロダクトは、複数のプロジェクトにまたがるデータアセットと呼ばれるリソースの論理グループです。プロジェクトが異なる VPC Service Controls 境界に属している場合は、Dataplex API が境界を越えてリソースとメタデータを管理できるように、上り（内向き）ルールと下り（外向き）ルールを構成する必要があります。

始める前に

• VPC Service Controls について理解する。
• データ プロダクトのコンセプトを理解する。
• VPC Service Controls の境界とKnowledge Catalog リソースを管理するために必要な権限があることを確認します。

データ プロダクトを作成するためのサービス境界ルール

次のプロジェクトは、サービス境界を越えてデータ プロダクトを作成するために必要な通信境界を定義します。

• プロジェクト R（呼び出し元）: 作成リクエストを開始するユーザー、サービス アカウント、またはアプリケーションが存在するプロジェクト。

• プロジェクト E（データ プロダクト）: データ プロダクト リソースをホストするプロジェクト。

呼び出し元プロジェクトとは異なるプロジェクトにデータ プロダクトを作成するには、次の上り（内向き）ルールと下り（外向き）ルールを構成します。

プロジェクト	ルールは必須です
プロジェクト R	プロジェクト E の下り（外向き）ルール
プロジェクト E	プロジェクト R の上り（内向き）ルール

データアセットを管理するためのサービス境界ルール

データアセットを管理する場合（BigQuery テーブルをデータ プロダクトに追加する場合など）、アーキテクチャには 3 つの異なるプロジェクト ロールが含まれます。

• プロジェクト R（呼び出し元）: アセット管理リクエストを開始するプロジェクト。

• プロジェクト D（データ プロダクト）: アセットをグループ化するデータ プロダクトをホストするプロジェクト。データ プロダクトのアセットは、BigQuery データセット、テーブル、ビューなどの物理データリソースへのポインタです。データ プロダクトには 1 つ以上のアセットを含めることができます。

• プロジェクト S（ソースリソース）: 実際のデータリソースが配置されているプロジェクト。

データ プロダクトとは異なるプロジェクトに存在するデータアセットを追加または管理する場合は、次の上り（内向き）ルールと下り（外向き）ルールを構成して、3 つのプロジェクト間の通信をブリッジする必要があります。

プロジェクト	ルールは必須です
プロジェクト R	プロジェクト D の下り（外向き）ルール プロジェクト S の下り（外向き）ルール
プロジェクト D	プロジェクト R の上り（内向き）ルール プロジェクト S の下り（外向き）ルール
プロジェクト S	プロジェクト R の上り（内向き）ルール プロジェクト D の上り（内向き）ルール

データ プロダクトにアスペクトとメタデータを追加するためのサービス境界ルール

次のプロジェクトでは、サービス境界を越えてデータ プロダクトにメタデータとアスペクトをアタッチするために必要な通信境界を定義します。

• プロジェクト R（呼び出し元）: アスペクトをアタッチするリクエストを開始するプロジェクト。

• プロジェクト D（データ プロダクト）: アスペクトを受け取るデータ プロダクトをホストするプロジェクト。

• プロジェクト A（アスペクト タイプ）: 特定のアスペクト タイプ（メタデータ スキーマ）が定義され、保存されているプロジェクト。

これらのプロジェクトが別々の境界に存在する場合にアスペクトを適用するには、次の上り（内向き）ルールと下り（外向き）ルールを構成します。

プロジェクト	ルールは必須です
プロジェクト R	プロジェクト D の下り（外向き）ルール プロジェクト A の下り（外向き）ルール
プロジェクト D	プロジェクト R の上り（内向き）ルール プロジェクト A の下り（外向き）ルール
プロジェクト A	プロジェクト R の上り（内向き）ルール プロジェクト D の上り（内向き）ルール

データ プロダクトを使用するためのサービス境界ルール

データ プロダクト コンシューマーが VPC Service Controls で保護されたデータ プロダクトにアクセスできるようにするには、コンシューマー プロジェクトまたは特定のユーザー ID を許可リストに登録する必要があります。データ プロダクト コンシューマーにこのアクセス権を付与するには、データ プロダクトのサービス境界に上り（内向き）ルールを構成します。

制限事項

• データ プロダクトはメソッドベースのルールをサポートしていません。機能を確保するには、上り（内向き）ルールと下り（外向き）ルールで dataplex.googleapis.com サービスのすべてのメソッド（*）を許可する必要があります。次に例を示します。

  ingressTo:
  operations:
  - methodSelectors:
    - method: '*'
    serviceName: dataplex.googleapis.com
  resources:
  - projects/PROJECT_ID
  

• 基盤となる BigQuery リソースがサービス境界で保護されている場合は、bigquery.googleapis.com サービスの上り（内向き）ルールと下り（外向き）ルールを構成する必要があります。次に例を示します。

  ingressTo:
  operations:
  - methodSelectors:
    - method: '*'
    serviceName: bigquery.googleapis.com
  resources:
  - projects/PROJECT_ID
  

  注: データ プロダクトのみを作成する場合は、BigQuery の上り（内向き）ルールと下り（外向き）ルールは必要ありません。

次のステップ

• データ プロダクトの詳細を確認する。
• 上り（内向き）ルールと下り（外向き）ルールについて理解する。