Controles del servicio de VPC con el Catálogo universal de Dataplex

En este documento, se describe cómo proteger tus servicios de Dataplex Universal Catalog con los Controles del servicio de VPC (VPC-SC).

Los Controles del servicio de VPC brindan seguridad adicional para tus servicios de Dataplex Universal Catalog a fin de mitigar el riesgo de robo de datos. Con los Controles del servicio de VPC, puedes agregar proyectos a perímetros de servicio que protejan los recursos y servicios de las solicitudes que cruzan el perímetro. Para obtener más información, consulta la descripción general de los Controles del servicio de VPC.

Los recursos de Dataplex Universal Catalog se exponen en la API de dataplex.googleapis.com, que te permite realizar operaciones a nivel del servicio, como la creación y eliminación de servicios.

Para configurar los Controles del servicio de VPC con Dataplex Universal Catalog, restringe la conectividad a esta superficie de la API.

Limitaciones

Antes de crear recursos de Dataplex Universal Catalog, configura el perímetro de seguridad de los Controles del servicio de VPC. De lo contrario, tus recursos no tendrán protección perimetral. Dataplex Universal Catalog admite los siguientes tipos de recursos:

  • Lake
  • Recursos
  • Análisis del perfil de datos
  • Análisis de la calidad de los datos

Configura la red de nube privada virtual (VPC)

Puedes configurar la red de VPC para restringir el Acceso privado a Google con respecto a un perímetro de servicio. Esto garantiza que los hosts en tu VPC o en la red local solo puedan comunicarse con las APIs y los servicios de Google que son compatibles con los Controles del servicio de VPC de manera que se ajusten a la política del perímetro asociado.

Para obtener más información, consulta Cómo configurar una conectividad privada en los servicios y las API de Google.

Crea un perímetro de servicio

Cuando creas un perímetro de servicio, seleccionas los proyectos del catálogo universal de Dataplex que deseas que proteja el perímetro de servicio de los Controles del servicio de VPC.

Para crear un perímetro de servicio, sigue las instrucciones en Crea un perímetro de servicio.

Agrega más proyectos al perímetro de servicio

Para agregar proyectos existentes de Dataplex Universal Catalog al perímetro, sigue las instrucciones en Actualiza un perímetro de servicio.

Agrega la API de Dataplex Universal Catalog al perímetro de servicio

Para mitigar el riesgo de que tus datos se filtren desde Dataplex Universal Catalog, por ejemplo, si usas las APIs de Dataplex Universal Catalog, debes restringir la API de Dataplex Universal Catalog.

Para agregar la API de Dataplex Universal Catalog como un servicio restringido, sigue estos pasos:

Console

  1. En la Google Cloud consola, ve a la página Controles del servicio de VPC.

    Ir a los Controles del servicio de VPC

  2. En la página Controles del servicio de VPC, en la tabla, haz clic en el nombre del perímetro de servicio que deseas modificar.

  3. Haz clic en Editar perímetro.

  4. En la página Editar perímetro de servicio de VPC, haz clic en Agregar servicios.

  5. Agrega la API de Dataplex Universal Catalog.

  6. Haz clic en Guardar.

gcloud

  • Usa el comando gcloud access-context-manager perimeters update:

    gcloud access-context-manager perimeters update PERIMETER_ID \
--policy=POLICY_ID \
--add-restricted-services=dataplex.googleapis.com

    Reemplaza lo siguiente:

    • PERIMETER_ID: ID del perímetro o el identificador completamente calificado del perímetro
    • POLICY_ID: El ID de la política de acceso

Opcional: Crea un nivel de acceso

Para permitir el acceso externo a los recursos protegidos dentro de un perímetro, puedes usar niveles de acceso. Los niveles de acceso solo se aplican a las solicitudes de recursos protegidos provenientes de fuera del perímetro de servicio. No puedes usar los niveles de acceso a fin de otorgar permisos a los recursos protegidos para acceder a los datos y servicios fuera del perímetro.

Para obtener más información, consulta Permite el acceso a recursos protegidos desde fuera del perímetro.

Compatibilidad con el linaje de datos

La IP virtual (VIP) restringida admite el linaje de datos. Para obtener más información, consulta Servicios compatibles con la VIP restringida.

¿Qué sigue?