Kontrol Layanan VPC dengan Katalog Universal Dataplex

Dokumen ini menjelaskan cara mengamankan layanan Dataplex Universal Catalog menggunakan Kontrol Layanan VPC (VPC-SC).

Kontrol Layanan VPC memberikan keamanan tambahan untuk layanan Katalog Universal Dataplex Anda guna membantu mengurangi risiko pemindahan data yang tidak sah. Dengan Kontrol Layanan VPC, Anda dapat menambahkan project ke perimeter layanan yang melindungi resource dan layanan dari permintaan yang melintasi perimeter. Untuk mengetahui informasi selengkapnya, lihat Ringkasan Kontrol Layanan VPC.

Resource Dataplex Universal Catalog diekspos di dataplex.googleapis.com API, yang memungkinkan Anda melakukan operasi tingkat layanan, seperti pembuatan dan penghapusan layanan. Anda menyiapkan Kontrol Layanan VPC dengan Katalog Universal Dataplex dengan membatasi konektivitas ke permukaan API ini.

Fitur yang didukung

Saat Anda mengamankan Katalog Universal Dataplex dengan perimeter layanan, fitur berikut didukung:

  • Data lake: Anda dapat membuat dan mengelola data lake Dataplex Universal Catalog dalam perimeter.

  • Aset: Anda dapat mengelola aset dalam perimeter.

  • Resource metadata di Katalog: Anda dapat mengelola resource metadata dalam perimeter.

  • Ekspor metadata: Anda dapat mengekspor metadata ke Dataproc Metastore, yang memerlukan konfigurasi VPC-SC tambahan. Untuk mengetahui informasi selengkapnya, lihat Mengekspor metadata ke Dataproc Metastore.

  • Insight Data: Anda dapat menjalankan pemindaian insight metadata, kualitas data, dan pembuatan profil data.

  • Silsilah Data: Anda dapat melacak silsilah data menggunakan Virtual IP (VIP) yang dibatasi.

  • Penelusuran Dataplex: Anda dapat menggunakan SearchEntries API. Saat Anda menggunakan penelusuran Dataplex Universal Catalog di project yang dilindungi oleh perimeter layanan, hasil penelusuran hanya mencakup resource yang berada dalam perimeter yang sama. Untuk mengetahui informasi selengkapnya, lihat Cakupan penelusuran dan Mengisolasi hasil penelusuran berdasarkan lingkungan menggunakan Kontrol Layanan VPC.

Batasan

Anda dapat membuat resource Dataplex Universal Catalog sebelum menyiapkan perimeter keamanan Kontrol Layanan VPC, tetapi resource tersebut tidak akan memiliki perlindungan perimeter.

Secara desain, Kontrol Layanan VPC mencegah resource dalam perimeter layanan mengakses data dan layanan di luar perimeter tersebut. Misalnya, pemindaian kualitas data dan pembuatan profil data Dataplex Universal Catalog tidak dapat mengakses sumber data, seperti tabel BigQuery atau file Cloud Storage, yang berada di luar perimeter layanan. Demikian pula, saat mengekspor hasil pemindaian data, tabel BigQuery tujuan harus berada dalam project yang dilindungi oleh perimeter. Untuk mengetahui informasi tentang cara memberikan akses ke resource terlindungi Anda dari luar perimeter, lihat Membuat tingkat akses.

Menyiapkan Kontrol Layanan VPC

Untuk melindungi resource Dataplex Universal Catalog dengan Kontrol Layanan VPC, lakukan langkah-langkah berikut:

  1. Konfigurasi jaringan VPC.
  2. Buat perimeter layanan.
  3. Tambahkan project ke perimeter.
  4. Tambahkan Dataplex API ke perimeter layanan.
  5. Opsional: Buat tingkat akses.

Mengonfigurasi jaringan Virtual Private Cloud (VPC)

Anda dapat mengonfigurasi jaringan VPC untuk membatasi Akses Google Pribadi sehubungan dengan perimeter layanan. Hal ini memastikan bahwa host di VPC atau jaringan lokal Anda hanya dapat berkomunikasi dengan Google API dan layanan yang didukung oleh Kontrol Layanan VPC dengan cara yang sesuai dengan kebijakan perimeter terkait.

Untuk mengetahui informasi selengkapnya, lihat Menyiapkan konektivitas pribadi ke Google API dan layanan Google.

Membuat perimeter layanan

Saat membuat perimeter layanan, Anda memilih project Dataplex Universal Catalog yang ingin dilindungi oleh perimeter layanan Kontrol Layanan VPC.

Untuk membuat perimeter layanan, ikuti petunjuk di Membuat perimeter layanan.

Menambahkan lebih banyak project ke perimeter layanan

Untuk menambahkan project Dataplex Universal Catalog yang ada ke perimeter, ikuti petunjuk di Memperbarui perimeter layanan.

Menambahkan Dataplex API ke perimeter layanan

Untuk memitigasi risiko data Anda dieksfiltrasi dari Dataplex Universal Catalog, misalnya, menggunakan metode Dataplex API, Anda harus membatasi Dataplex API.

Untuk menambahkan Dataplex API sebagai layanan terbatas, ikuti langkah-langkah berikut:

Konsol

  1. Di konsol Google Cloud , buka halaman VPC Service Controls.

    Buka Kontrol Layanan VPC

  2. Di halaman VPC Service Controls, di tabel, klik nama perimeter layanan yang ingin Anda ubah.

  3. Klik Edit Perimeter.

  4. Di halaman Edit Perimeter Layanan, klik Tambahkan Layanan.

  5. Tambahkan Dataplex API.

  6. Klik Simpan.

gcloud

  • Gunakan perintah gcloud access-context-manager perimeters update:

    gcloud access-context-manager perimeters update PERIMETER_ID \
--policy=POLICY_ID \
--add-restricted-services=dataplex.googleapis.com

    Ganti kode berikut:

    • PERIMETER_ID: ID perimeter atau ID yang memenuhi syarat sepenuhnya untuk perimeter
    • POLICY_ID: ID kebijakan akses

Opsional: Buat tingkat akses

Untuk mengizinkan akses eksternal ke resource terlindungi di dalam perimeter, Anda dapat menggunakan level akses. Tingkat akses hanya berlaku untuk permintaan resource terlindungi yang berasal dari luar perimeter layanan. Anda tidak dapat menggunakan tingkat akses untuk memberikan izin kepada resource yang dilindungi agar dapat mengakses data dan layanan di luar perimeter.

Untuk mengetahui informasi selengkapnya, lihat Mengizinkan akses ke resource yang dilindungi dari luar perimeter.

Langkah berikutnya