שימוש ב-VPC Service Controls עם מוצרי נתונים

בעזרת VPC Service Controls אתם יכולים להגדיר גבולות גזרה לשירות, כדי למנוע זליגת נתונים ממוצרי הנתונים שלכם. אתם יכולים להגדיר כללי תעבורת נתונים נכנסת ויוצאת כדי שהתקשורת בין מוצרי הנתונים, נכסי הנתונים והמשתמשים תישאר בגבולות המורשים.

איך VPC Service Controls פועל עם מוצרי נתונים

מוצר נתונים הוא קיבוץ לוגי של משאבים, שנקראים נכסי נתונים, שיכולים להתפרס על פני כמה פרויקטים. אם הפרויקטים שלכם שייכים להיקפי שירות שונים של VPC Service Controls, אתם צריכים להגדיר כללים לתעבורת נתונים נכנסת (ingress) ויוצאת (egress) כדי ש-Dataplex API יוכל לנהל משאבים ומטא-נתונים בהיקפי שירות שונים.

לפני שמתחילים

• כדאי להכיר את VPC Service Controls.
• להבין את המושגים של מוצרי נתונים.
• מוודאים שיש לכם את ההרשאות הנדרשות כדי לנהל את גבולות הגזרה של VPC Service Controls ואת המשאבים של Knowledge Catalog.

כללים של גבולות גזרה לשירות ליצירת מוצרי נתונים

הפרויקטים הבאים מגדירים את גבולות התקשורת שנדרשים כדי ליצור מוצר נתונים בגבולות גזרה לשירות:

• פרויקט R (מבצע הקריאה החוזרת): הפרויקט שבו נמצאים המשתמש, חשבון השירות או האפליקציה שיוזמים את בקשת היצירה.

• ‫Project E (מוצר נתונים): הפרויקט שמארח את המשאב של מוצר הנתונים.

כדי ליצור מוצר נתונים בפרויקט שונה מהפרויקט של מבצע הקריאה, צריך להגדיר את הכללים הבאים לתעבורת נתונים נכנסת (ingress) ויוצאת (egress):

פרויקט	צריך להגדיר כלל
Project R	כלל לתעבורת נתונים יוצאת (egress) בפרויקט E
פרויקט ה'	כלל לתעבורת נתונים נכנסת (ingress) בפרויקט R

כללים של גבולות גזרה לשירות לניהול נכסי נתונים

כשמנהלים נכסי נתונים (למשל, הוספת טבלה ב-BigQuery למוצר נתונים), הארכיטקטורה כוללת שלושה תפקידים נפרדים בפרויקט:

• פרויקט R (הגורם המבקש): הפרויקט שממנו נשלחת הבקשה לניהול הנכסים.

• ‫פרויקט ד' (מוצר נתונים): הפרויקט שמארח את מוצר הנתונים שמקבץ את הנכסים. נכס במוצר נתונים הוא מצביע למשאב נתונים פיזי, כמו מערך נתונים, טבלה או תצוגה ב-BigQuery. מוצר נתונים יכול להכיל נכס אחד או יותר.

• ‫Project S (פרויקט המקור): הפרויקט שבו נמצא משאב הנתונים בפועל.

כשמוסיפים או מנהלים נכס נתונים שנמצא בפרויקט שונה ממוצר הנתונים, צריך לגשר על התקשורת בין שלושת הפרויקטים על ידי הגדרת הכללים הבאים לתעבורת נתונים נכנסת ויוצאת:

פרויקט	כללים נדרשים
Project R	כלל לתעבורת נתונים יוצאת (egress) בפרויקט D כלל לתעבורת נתונים יוצאת (egress) בפרויקט S
פרויקט ד'	כלל לתעבורת נתונים נכנסת (ingress) בפרויקט R כלל לתעבורת נתונים יוצאת (egress) בפרויקט S
Project S	כלל לתעבורת נתונים נכנסת (ingress) בפרויקט R כלל לתעבורת נתונים נכנסת (ingress) בפרויקט D

כללים של גבולות גזרה לשירות להוספת היבטים ומטא-נתונים למוצר נתונים

הפרויקטים הבאים מגדירים את גבולות התקשורת שנדרשים כדי לצרף מטא-נתונים והיבטים למוצר נתונים בגבולות גזרה לשירות:

• ‫Project R (Caller): הפרויקט שממנו נשלחת הבקשה לצרף היבט.

• ‫Project D (מוצר נתונים): הפרויקט שמארח את מוצר הנתונים שמקבל את ההיבט.

• ‫פרויקט א' (סוג ההיבט): הפרויקט שבו מוגדר ומאוחסן סוג ההיבט הספציפי (סכימת המטא-נתונים).

כדי לצרף היבטים כשהפרויקטים האלה נמצאים במתחמי אבטחה נפרדים, צריך להגדיר את כללי הכניסה והיציאה הבאים:

פרויקט	כללים נדרשים
Project R	כלל לתעבורת נתונים יוצאת (egress) בפרויקט ד' כלל לתעבורת נתונים יוצאת (egress) בפרויקט א'
פרויקט ד'	כלל לתעבורת נתונים נכנסת (ingress) בפרויקט R כלל לתעבורת נתונים יוצאת (egress) בפרויקט A
פרויקט א'	כלל לתעבורת נתונים נכנסת (ingress) בפרויקט R כלל לתעבורת נתונים נכנסת (ingress) בפרויקט D

כללים של גבולות גזרה לשירות לצריכת מוצרי נתונים

כדי שצרכני מוצרי נתונים יוכלו לגשת למוצרי נתונים שמוגנים על ידי VPC Service Controls, צריך להוסיף לרשימת ההיתרים את פרויקט הצרכן או את זהויות המשתמשים הספציפיות. כדי לתת את הגישה הזו לצרכנים של מוצר הנתונים, צריך להגדיר כללי תעבורת נתונים נכנסת בגבולות הגזרה לשירות של מוצר הנתונים.

מגבלות

• במוצרי נתונים אין תמיכה בכללים שמבוססים על שיטות. כדי להבטיח שהשירות יפעל, צריך לאפשר את כל השיטות (*) של השירות dataplex.googleapis.com בכללים לתעבורת נתונים נכנסת ויוצאת. לדוגמה:

  ingressTo:
  operations:
  - methodSelectors:
    - method: '*'
    serviceName: dataplex.googleapis.com
  resources:
  - projects/PROJECT_ID
  

• אם המשאבים הבסיסיים של BigQuery מוגנים על ידי גבולות גזרה לשירות, צריך להגדיר כללים לתעבורת נתונים נכנסת ויוצאת לשירות bigquery.googleapis.com. לדוגמה:

  ingressTo:
  operations:
  - methodSelectors:
    - method: '*'
    serviceName: bigquery.googleapis.com
  resources:
  - projects/PROJECT_ID
  

  הערה: לא צריך להגדיר כללים לתעבורת נתונים נכנסת (ingress) ויוצאת (egress) ב-BigQuery אם רק יוצרים מוצר נתונים.

המאמרים הבאים

• מידע נוסף על מוצרי נתונים
• הסבר על הכללים לתעבורת נתונים נכנסת (ingress) ויוצאת (egress)