기본적으로 모든 Google Cloud 프로젝트에는 원래 프로젝트 생성자인 단일 사용자가 존재합니다. 사용자가 프로젝트 구성원으로 추가되거나 특정 리소스에 바인딩될 때까지 다른 사용자는 프로젝트에 액세스할 수 없으므로 Dataplex Universal Catalog 리소스에 액세스할 수 없습니다. 이 페이지에서는 프로젝트에 새 사용자를 추가하는 다양한 방법과 Dataplex Universal Catalog 리소스에 대한 액세스 제어를 설정하는 방법을 설명합니다.
IAM 개요
Google Cloud 는 사용자가 특정Google Cloud 리소스에 대한 세부적인 액세스 권한을 부여하고 다른 리소스에 대한 무단 액세스를 방지할 수 있는 Identity and Access Management(IAM)를 제공합니다.
IAM은 최소 권한의 보안 원칙을 채택하여 리소스에 대해 필요한 액세스 권한만 부여할 수 있게 해줍니다.
또한 IAM을 사용하면 IAM 정책을 설정하여 누구(ID)에게 어떤 리소스에 대한 무슨(역할) 권한을 부여할지 제어할 수 있습니다.
IAM 정책은 프로젝트 구성원에게 특정 역할을 부여하고 ID 관련 권한을 제공합니다.
예를 들어 프로젝트와 같은 특정 리소스에 대해 roles/dataplex.admin 역할을 Google 계정에 할당하면 해당 계정이 프로젝트에 있는 Dataplex Universal Catalog 리소스는 제어할 수 있어도 다른 리소스는 관리할 수 없습니다. 또한 IAM을 사용하여 프로젝트 팀 구성원에게 부여된 기본 역할을 관리할 수 있습니다.
사용자 액세스 제어 옵션
Dataplex Universal Catalog 리소스를 만들고 관리할 수 있는 권한을 사용자에게 부여하려면 사용자를 프로젝트 또는 특정 리소스에 팀 구성원으로 추가하고 IAM 역할을 사용하여 권한을 부여합니다.
팀 구성원은 유효한 Google 계정이 있는 개별 사용자, Google 그룹, 서비스 계정 또는 Google Workspace 도메인일 수 있습니다. 팀 구성원을 프로젝트나 리소스에 추가할 때 구성원에게 부여할 역할을 지정합니다.
IAM은 세 가지 유형의 역할, 즉 사전 정의된 역할, 기본 역할, 커스텀 역할을 제공합니다.
Dataplex Universal Catalog는 레이크 내에서 관리되는 리소스에 액세스하는 데 필요한 권한이 부여된 서비스 계정을 사용합니다. 이 서비스 계정에는 레이크 인스턴스가 포함된 프로젝트의 권한이 자동으로 부여됩니다. 레이크 내에서 추가하고 관리하려는 다른 프로젝트 및 리소스에 대해 권한을 명시적으로 부여해야 합니다.
CUSTOMER_PROJECT_NUMBER는 Dataplex Universal Catalog API를 사용 설정한 프로젝트입니다.
레이크 또는 데이터 영역에 추가하는 기본 애셋에 대한 액세스 권한을 Dataplex Universal Catalog 서비스 에이전트(roles/dataplex.serviceAgent)에 부여해야 합니다.
리소스의 IAM 정책
Dataplex Universal Catalog는 Cloud Storage 버킷, BigQuery 데이터 세트와 같은 기본 스토리지 리소스 위에 가상 계층 구조를 추가합니다. Dataplex Universal Catalog는 레이크에 할당된 IAM 정책을 데이터 영역 애셋으로, 최종적으로 이러한 애셋이 가리키는 리소스로 전파합니다. 정책은 기본 스토리지 리소스(Cloud Storage 버킷 및 BigQuery 데이터 세트)에 이미 존재하는 정책에 추가됩니다.
IAM 정책을 사용하면 프로젝트 수준에서 역할을 관리하는 대신 이러한 리소스에 대한 IAM 역할을 관리할 수 있습니다.
이렇게 하면 공동작업자에게 작업에 필요한 특정 리소스에 대해서만 액세스 권한을 부여하는 최소 권한의 원칙을 유연하게 적용할 수 있습니다.
리소스는 상위 리소스의 정책도 상속합니다. 프로젝트 수준에서 정책을 설정하면 모든 하위 리소스로 정책이 상속됩니다. 리소스에 실제로 적용되는 정책은 해당 리소스에 설정된 정책과 계층 구조의 상위 리소스에서 상속된 정책의 합집합입니다. 자세한 내용은 IAM 정책 계층 구조를 참조하세요.
Google Cloud 콘솔, IAM API 또는 Google Cloud CLI를 사용하여 IAM 정책을 가져오고 설정할 수 있습니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-08-19(UTC)"],[[["\u003cp\u003eBy default, only the project creator has access to a new Google Cloud project and its Dataplex resources until other users are explicitly added as project members or granted access to specific resources.\u003c/p\u003e\n"],["\u003cp\u003eGoogle Cloud's Identity and Access Management (IAM) allows for granular access control to resources, enforcing the principle of least privilege by enabling administrators to grant only necessary permissions.\u003c/p\u003e\n"],["\u003cp\u003eUsers can be granted access to Dataplex resources by adding them as team members to a project or specific resources, assigning them IAM roles, which can be predefined, basic, or custom.\u003c/p\u003e\n"],["\u003cp\u003eDataplex uses a service account with necessary permissions to access managed resources, and this service account requires explicit permissions to access other projects and resources.\u003c/p\u003e\n"],["\u003cp\u003eDataplex propagates IAM policies from the lake level down to data zones and their underlying storage resources, allowing for management of roles at the resource level in addition to or instead of the project level, while resources inherit policies from parent resources.\u003c/p\u003e\n"]]],[],null,["# Access control with IAM\n\nBy default, all Google Cloud projects come with a single user, the\noriginal project creator. No other users have access to the project, and\ntherefore, access to Dataplex Universal Catalog resources, until a user\nis added as a project member or is bound to a specific resource. This page\ndescribes the ways you can add new users to your project and how to set access\ncontrol for your Dataplex Universal Catalog resources.\n\nIAM overview\n------------\n\nGoogle Cloud offers [Identity and Access Management (IAM)](/iam),\nwhich lets you give more granular access to specific\nGoogle Cloud resources and prevents unwanted access to other resources.\nIAM lets you adopt the\n[security principle of least privilege](https://en.wikipedia.org/wiki/Principle_of_least_privilege),\nso you grant only the necessary access to your resources.\n\nIAM also lets you control who (identity) has what (roles)\npermission to which resources by setting IAM policies.\nIAM policies grant\nspecific role(s) to a project member, giving the identity certain permissions.\nFor example, for a given resource, such as a project, you can assign the\n`roles/dataplex.admin` role to a Google Account and that account can\ncontrol Dataplex Universal Catalog resources in the project, but cannot\nmanage other resources. You can also use IAM to\nmanage the basic roles granted to project team members.\n\nAccess control options for users\n--------------------------------\n\nTo give users the ability to create and manage your Dataplex Universal Catalog\nresources, you can add users as *team members* to your project or to\nspecific resources and grant them permissions using IAM *roles*.\n\nA team member can be an individual user with a valid Google Account, a Google\nGroup, a service account, or a Google Workspace domain. When you add a team\nmember to a project or to a resource, you specify which roles to grant them.\nIAM provides three types of roles: [predefined roles](/iam/docs/overview#roles),\n[basic roles](/iam/docs/overview#roles), and [custom roles](/iam/docs/understanding-custom-roles).\n\nFor more information about the capabilities of each Dataplex Universal Catalog role,\nand API methods that a specific role grants permission to, see\n[Dataplex Universal Catalog IAM roles](/dataplex/docs/iam-roles).\n\nFor other member types, such as service accounts and groups, refer to the [Policy\nbinding reference](/iam/docs/reference/rest/v1/Policy#binding).\n\nService accounts\n----------------\n\nDataplex Universal Catalog uses a service account that has been granted the\nnecessary permissions to access resources managed within a lake. This service\naccount is automatically granted permissions in the project containing a lake\ninstance. You must explicitly grant it permissions to other projects and\nresources that you want to add to and manage within a lake.\n\nThe service account in Dataplex Universal Catalog is of the following format:\n\n`service-`\u003cvar translate=\"no\"\u003eCUSTOMER_PROJECT_NUMBER\u003c/var\u003e`@gcp-sa-dataplex.iam.gserviceaccount.com`\n\n\u003cvar translate=\"no\"\u003eCUSTOMER_PROJECT_NUMBER\u003c/var\u003e is the project where you have\nenabled the Dataplex API.\n\nYou must grant the Dataplex Universal Catalog Service Agent\n(`roles/dataplex.serviceAgent`) access to the underlying assets that you add to\na lake or data zone.\n\nIAM policies for resources\n--------------------------\n\nDataplex Universal Catalog adds a virtual hierarchy on top of base storage\nresources such as Cloud Storage buckets and BigQuery\ndatasets. Dataplex Universal Catalog propagates IAM policies\nassigned to the lake down to data zone assets and finally to the resources pointed\nto by these assets. Policies are added to those already in existence on the\nbase storage resource (Cloud Storage bucket and BigQuery\ndataset).\n\nAn IAM policy lets you manage IAM roles on those\nresources instead of, or in addition to, managing roles at the project level.\nThis gives you flexibility to apply the principle of least privilege, which is\nto grant access only to the specific resources that collaborators need to do\ntheir work.\n\nResources also inherit the policies of their parent resources. If you set a\npolicy at the project level, it's inherited by all its child resources. The\neffective policy for a resource is the union of the policy set at that resource\nand the policy inherited from higher up in the hierarchy. For more information,\nread about the [IAM policy hierarchy](/iam/docs/overview#policy_hierarchy).\n\nYou can get and set IAM policies using the Google Cloud console, the\nIAM API, or the Google Cloud CLI.\n\n- For the Google Cloud console, see [Access control using the Google Cloud console](/iam/docs/grant-role-console).\n- For the API, see [Access control using the API](/iam/docs/reference/rest).\n- For the Google Cloud CLI, see [Access control using the Google Cloud CLI](/sdk/gcloud/reference/iam).\n\nWhat's next?\n------------\n\n- Learn more about [IAM roles](/dataplex/docs/iam-roles).\n- Learn more about [IAM permissions](/dataplex/docs/iam-permissions).\n- Learn more about [Dataplex Universal Catalog lake security](/dataplex/docs/lake-security)."]]
