비공개 IP 주소를 사용하여 Cloud Data Fusion 인스턴스를 만들려면 먼저 VPC 서비스 제어(VPC-SC)로 인스턴스에 보안 경계를 설정하여 보안을 강화하면 됩니다.
비공개 Cloud Data Fusion 인스턴스와 기타 Google Cloud 리소스 주위에 VPC-SC 보안 경계를 사용하면 데이터 무단 반출 위험을 완화할 수 있습니다. 예를 들어 VPC 서비스 제어를 사용하면 Cloud Data Fusion 파이프라인이 시야계 내에 위치한 BigQuery 데이터 세트와 같은 지원되는 리소스에서 데이터를 읽고 출력을 시야계 외부에 있는 리소스에 작성하려고 시도할 경우 파이프라인은 실패합니다.
Cloud Data Fusion 리소스는 두 가지 API 표면에 노출됩니다.
datafusion.googleapis.com 제어 영역 API 표면 - 인스턴스 생성 및 삭제와 같은 인스턴스 수준 작업을 수행할 수 있습니다.
datafusion.googleusercontent.com 데이터 영역 API 표면 ( Google Cloud 콘솔의 Cloud Data Fusion 웹 UI) - Cloud Data Fusion 인스턴스에서 실행되어 데이터 파이프라인을 만들고 실행합니다.
이러한 두 API 표면에 대한 연결을 제한하여 Cloud Data Fusion으로 VPC 서비스 제어를 설정합니다.
전략:
Cloud Data Fusion 파이프라인은 Dataproc 클러스터에서 실행됩니다.
서비스 경계로 Dataproc 클러스터를 보호하려면 클러스터가 경계 내에서 작동할 수 있도록 비공개 연결 설정의 지침을 따릅니다.
VPC 서비스 제어에서 지원되지 않는 Google Cloud API를 사용하는 플러그인을 사용하지 마세요.
지원되지 않는 플러그인을 사용하면 Cloud Data Fusion에서 API 호출을 차단하고 이로 인해 파이프라인 미리보기와 실행이 실패합니다.
VPC 서비스 제어 서비스 경계 내에서 Cloud Data Fusion을 사용하려면 다음 도메인이 제한된 VIP(가상 IP 주소)를 가리키도록 DNS 항목 여러 개를 추가 또는 구성해야 합니다.
datafusion.googleapis.com
*.datafusion.googleusercontent.com
*.datafusion.cloud.google.com
제한사항:
Cloud Data Fusion 비공개 인스턴스를 만들기 전에 VPC 서비스 제어 보안 경계를 설정합니다. VPC 서비스 제어를 설정하기 전에 만든 인스턴스의 경계 보호는 지원되지 않습니다.
현재 Cloud Data Fusion 데이터 영역 UI에서는 ID 기반 액세스를 사용하여 액세스 수준을 지정할 수 없습니다.
네트워크: Cloud Data Fusion 인스턴스를 만들 때 선택한 비공개 IP 네트워크를 선택합니다.
Cloud DNS 페이지에서 datafusiongoogleusercontent DNS 영역 이름을 클릭하여 영역 세부정보 페이지를 엽니다. NS 레코드와 SOA 레코드 등 레코드 두 개가 나열됩니다.
표준 추가를 사용하여 다음 레코드 세트 두 개를 datafusiongoogleusercontent DNS 영역에 추가합니다.
CNAME 레코드 추가: 레코드 세트 만들기 대화상자에서 다음 필드를 입력하여 DNS 이름 *.datafusion.googleusercontent.com.을 표준 이름 datafusion.googleusercontent.com에 매핑합니다.
DNS 이름: '*.datafusion.googleusercontent.com'
표준 이름: 'datafusion.googleusercontent.com'
A 레코드 추가: 새 레코드 세트 만들기 대화상자에서 다음 필드를 입력하여 DNS 이름 datafusion.googleusercontent.com.을 IP 주소 199.36.153.4-199.36.153.7에 매핑합니다.
DNS 이름: '.datafusion.googleusercontent.com'
IPv4 주소:
199.36.153.4
199.36.153.5
199.36.153.6
199.36.153.7
datafusiongoogleusercontent영역 세부정보 페이지에는 다음 레코드 세트가 표시됩니다.
위 단계를 따라 비공개 DNS 영역을 만들고 *.datafusion.cloud.google.com 도메인의 레코드 세트를 추가합니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-04(UTC)"],[[["\u003cp\u003eVPC Service Controls enhances security for private Cloud Data Fusion instances by creating a security perimeter to mitigate data exfiltration risks.\u003c/p\u003e\n"],["\u003cp\u003eTo utilize VPC Service Controls with Cloud Data Fusion, it is necessary to restrict connectivity to both the \u003ccode\u003edatafusion.googleapis.com\u003c/code\u003e control plane API surface and the \u003ccode\u003edatafusion.googleusercontent.com\u003c/code\u003e data plane API surface.\u003c/p\u003e\n"],["\u003cp\u003eCloud Data Fusion's service perimeter can be configured by setting up private connectivity for Dataproc clusters and avoiding unsupported plugins.\u003c/p\u003e\n"],["\u003cp\u003eSetting up VPC Service Controls for Cloud Data Fusion instances involves configuring DNS entries to point \u003ccode\u003edatafusion.googleapis.com\u003c/code\u003e, \u003ccode\u003e*.datafusion.googleusercontent.com\u003c/code\u003e, and \u003ccode\u003e*.datafusion.cloud.google.com\u003c/code\u003e domains to the restricted VIP.\u003c/p\u003e\n"],["\u003cp\u003eVPC Service Control perimeters should be established before creating a private Cloud Data Fusion instance, as protecting existing instances created before the perimeter is set up is unsupported.\u003c/p\u003e\n"]]],[],null,["# Use VPC Service Controls with Cloud Data Fusion\n\nIf you plan to create a [Cloud Data Fusion instance with a private IP address](/data-fusion/docs/how-to/create-private-ip),\nyou can provide additional security by first establishing a security perimeter\nfor the instance using [VPC Service Controls (VPC-SC)](/vpc-service-controls/docs/overview).\nThe VPC-SC security perimeter around the private\nCloud Data Fusion instance and other Google Cloud resources helps\nmitigate the risk of data exfiltration. For example, with\nVPC Service Controls, if a Cloud Data Fusion pipeline reads data\nfrom a [supported resource](/vpc-service-controls/docs/supported-products),\nsuch as a BigQuery dataset, located within the perimeter,\nthen tries to write the output to a resource outside the perimeter, the pipeline\nwill fail.\n\nCloud Data Fusion resources are exposed on two API surfaces:\n\n1. The `datafusion.googleapis.com` control plane API surface, which\n allows you to perform instance-level operations, such as the creation and\n deletion of instances.\n\n2. The `datafusion.googleusercontent.com` data plane API surface (the\n [Cloud Data Fusion Web UI](/data-fusion/docs/concepts/overview#using_the_code-free_web_ui)\n in the Google Cloud console), which executes on a Cloud Data Fusion\n instance to create and execute data pipelines.\n\nYou set up VPC Service Controls with Cloud Data Fusion by\nrestricting connectivity to both of these API surfaces.\n\nStrategies:\n\n- Cloud Data Fusion pipelines are executed on Dataproc clusters.\n To protect a Dataproc cluster with a service perimeter,\n follow the instructions for\n [setting up private connectivity](/vpc-service-controls/docs/set-up-private-connectivity)\n to allow the cluster to function inside the perimeter.\n\n- Don't use plugins that use Google Cloud APIs that are not [supported by\n VPC Service Controls](/vpc-service-controls/docs/supported-products).\n If you use unsupported plugins, Cloud Data Fusion will block the API calls,\n resulting in pipeline preview and execution failure.\n\n- To use Cloud Data Fusion within a VPC Service Controls service\n perimeter, add or configure several DNS entries to point the\n following domains to the restricted VIP (Virtual IP address):\n\n - `datafusion.googleapis.com`\n - `*.datafusion.googleusercontent.com`\n - `*.datafusion.cloud.google.com`\n\nLimitations:\n\n- Establish the VPC Service Controls security perimeter before creating your\n Cloud Data Fusion private instance. Perimeter protection for\n instances created prior to setting up VPC Service Controls is not\n supported.\n\n- Currently, the Cloud Data Fusion data plane UI does not support\n specifying access levels using [identity based access](/access-context-manager/docs/create-basic-access-level#members-example).\n\nRestricting Cloud Data Fusion API surfaces\n------------------------------------------\n\n### Restricting the control plane surface\n\nSee [Setting up private connectivity to Google APIs and services](/vpc-service-controls/docs/set-up-private-connectivity)\nto restrict connectivity to the `datafusion.googleapis.com` API control plane\nsurface.\n\n### Restricting the data plane surface\n\nTo set up private connectivity to the API data plane,\nconfigure DNS by completing the following steps for both the `*.datafusion.googleusercontent.com` and `*.datafusion.cloud.google.com` domains.\n\n1. Create a new private [zone using Cloud DNS](https://console.cloud.google.com/net-services/dns/zones):\n\n 1. Zone type: Check **private**\n 2. Zone name: datafusiongoogleusercontentcom\n 3. DNS name: datafusion.googleusercontent.com\n 4. Network: Select the private IP network you chose when you created your\n Cloud Data Fusion instance.\n\n2. From the [Cloud DNS](https://console.cloud.google.com/net-services/dns/zones) page, click your\n `datafusiongoogleusercontent` DNS zone name to open the\n **Zone details** page. Two records are listed: an NS and an SOA record.\n Use **Add Standard** to add the following two record sets to your\n datafusiongoogleusercontent DNS zone.\n\n 1. Add a CNAME record: In the **Create record set** dialog, fill\n in the following fields to map DNS name `*.datafusion.googleusercontent.com.`\n to the canonical name `datafusion.googleusercontent.com`:\n\n - DNS name: \"\\*.datafusion.googleusercontent.com\"\n - Canonical name: \"datafusion.googleusercontent.com\"\n\n 2. Add an A record: In a new **Create record set** dialog, fill\n in the following fields to map DNS name `datafusion.googleusercontent.com.`\n to IP addresses `199.36.153.4` - `199.36.153.7`:\n\n - DNS name: \".datafusion.googleusercontent.com\"\n - IPv4 address:\n\n - 199.36.153.4\n - 199.36.153.5\n - 199.36.153.6\n - 199.36.153.7\n\n The `datafusiongoogleusercontent` **Zone details** page shows the\n following record sets:\n3. Follow the above steps to create a private DNS zone and add a record set\n for the `*.datafusion.cloud.google.com` domain.\n\nWhat's next\n-----------\n\n- Learn about [Creating a private instance](/data-fusion/docs/how-to/create-private-ip).\n- Learn more about [VPC Service Controls](/vpc-service-controls/docs)."]]
