Menggunakan Kontrol Layanan VPC dengan Cloud Data Fusion

Jika berencana membuat instance Cloud Data Fusion dengan alamat IP pribadi, Anda dapat memberikan keamanan tambahan dengan terlebih dahulu menetapkan perimeter keamanan untuk instance menggunakan Kontrol Layanan VPC (VPC-SC). Perimeter keamanan VPC-SC di sekitar instance Cloud Data Fusion pribadi dan resource Google Cloud lainnya membantu memitigasi risiko pemindahan data yang tidak sah. Misalnya, dengan Kontrol Layanan VPC, jika pipeline Cloud Data Fusion membaca data dari resource yang didukung, seperti set data BigQuery, yang berada dalam perimeter, lalu mencoba menulis output ke resource di luar perimeter, pipeline akan gagal.

Resource Cloud Data Fusion ditampilkan di dua platform API:

1. Platform API bidang kontrol datafusion.googleapis.com, yang memungkinkan Anda menjalankan operasi tingkat instance, seperti pembuatan dan penghapusan instance.

2. Platform API bidang data datafusion.googleusercontent.com (UI Web Cloud Data Fusion di konsol Google Cloud), yang dijalankan di instance Cloud Data Fusion untuk membuat dan menjalankan pipeline data.

Anda menyiapkan Kontrol Layanan VPC dengan Cloud Data Fusion dengan membatasi konektivitas ke kedua platform API ini.

Strategi:

• Pipeline Cloud Data Fusion dijalankan di cluster Dataproc. Untuk melindungi cluster Dataproc dengan perimeter layanan, ikuti petunjuk untuk menyiapkan konektivitas pribadi agar cluster dapat berfungsi di dalam perimeter.

• Jangan gunakan plugin yang menggunakan Google Cloud API yang tidak didukung oleh Kontrol Layanan VPC. Jika Anda menggunakan plugin yang tidak didukung, Cloud Data Fusion akan memblokir panggilan API, sehingga menyebabkan kegagalan pratinjau dan eksekusi pipeline.

• Untuk menggunakan Cloud Data Fusion dalam perimeter layanan Kontrol Layanan VPC, tambahkan atau konfigurasikan beberapa entri DNS untuk mengarahkan domain berikut ke VIP (alamat IP Virtual) yang dibatasi:

  • datafusion.googleapis.com
  • *.datafusion.googleusercontent.com
  • *.datafusion.cloud.google.com

Batasan:

• Buat perimeter keamanan Kontrol Layanan VPC sebelum membuat instance pribadi Cloud Data Fusion. Perlindungan perimeter untuk instance yang dibuat sebelum menyiapkan Kontrol Layanan VPC tidak didukung.

• Saat ini, UI bidang data Cloud Data Fusion tidak mendukung menentukan tingkat akses menggunakan akses berbasis identitas.

Membatasi platform Cloud Data Fusion API

Membatasi platform bidang kontrol

Lihat Menyiapkan konektivitas pribadi ke Google API dan layanan Google untuk membatasi konektivitas ke platform platform kontrol datafusion.googleapis.com API.

Membatasi platform data

Untuk menyiapkan konektivitas pribadi ke platform data API, konfigurasi DNS dengan menyelesaikan langkah-langkah berikut untuk domain *.datafusion.googleusercontent.com dan *.datafusion.cloud.google.com.

1. Buat zona pribadi baru menggunakan Cloud DNS:

   1. Jenis zona: Centang pribadi
   2. Nama zona: datafusiongoogleusercontentcom
   3. Nama DNS: datafusion.googleusercontent.com

   4. Jaringan: Pilih jaringan IP pribadi yang Anda pilih saat membuat instance Cloud Data Fusion.

      

2. Dari halaman Cloud DNS, klik nama zona DNS datafusiongoogleusercontent untuk membuka halaman Detail zona. Dua kumpulan data tercantum: kumpulan data NS dan SOA. Gunakan Tambahkan Standar untuk menambahkan dua kumpulan data berikut ke zona DNS datafusiongoogleusercontent Anda.

   1. Tambahkan data CNAME: Pada dialog Create record set, isi kolom berikut untuk memetakan nama DNS *.datafusion.googleusercontent.com. ke nama kanonis datafusion.googleusercontent.com:

      • Nama DNS: "*.datafusion.googleusercontent.com"

      • Nama kanonis: "datafusion.googleusercontent.com"

        

   2. Tambahkan data A: Di dialog Create record set baru, isi kolom berikut untuk memetakan nama DNS datafusion.googleusercontent.com. ke alamat IP 199.36.153.4 - 199.36.153.7:

      • Nama DNS: ".datafusion.googleusercontent.com"

      • Alamat IPv4:

        • 199.36.153.4
        • 199.36.153.5
        • 199.36.153.6
        • 199.36.153.7

        

      Halaman Detail zona datafusiongoogleusercontent menampilkan kumpulan data berikut:

      

3. Ikuti langkah-langkah di atas untuk membuat zona DNS pribadi dan menambahkan kumpulan data untuk domain *.datafusion.cloud.google.com.

Langkah selanjutnya

• Pelajari cara Membuat instance pribadi.
• Pelajari lebih lanjut Kontrol Layanan VPC.