Lakes schützen

Mit dem Dataplex-Sicherheitsmodell können Sie festlegen, wer Zugriff zum Ausführen der folgenden Aufgaben hat:

  • Lakes verwalten (Assets, Zonen und zusätzliche Lakes erstellen und anhängen)
  • Zugriff auf Daten, die über das Zuordnungs-Asset mit einem Lake verbunden sind (Google Cloud-Ressourcen wie Cloud Storage-Buckets und BigQuery-Datasets)
  • Auf Metadaten zu den mit einem Lake verbundenen Daten zugreifen

Ein Administrator für einen Lake steuert den Zugriff auf Dataplex-Ressourcen (Lake, Zone und Assets), indem er die folgenden einfachen und vordefinierten Rollen zuweist.

Einfache Rollen

Rolle Beschreibung
Dataplex-Betrachter
(roles/dataplex.viewer)		 Kann den Lake und seine konfigurierten Zonen und Assets aufrufen, aber nicht bearbeiten.
Dataplex-Bearbeiter
(roles/dataplex.editor)		 Kann den Lake bearbeiten. Kann Lakes, Zonen, Assets und Aufgaben erstellen und konfigurieren.
Dataplex-Administrator
(roles/dataplex.administrator)		 Kann einen Lake vollständig verwalten.
Dataplex-Entwickler
(roles/dataplex.developer)		 Möglichkeit zum Ausführen von Datenanalysearbeitslasten auf einem Lake. *
* Zum Abfragen einer BigQuery-Tabelle benötigen Sie die Berechtigung zum Ausführen eines BigQuery-Jobs. Legen Sie diese Berechtigung in dem Projekt fest, dem die Computing-Ausgaben des Jobs zugeordnet oder in Rechnung gestellt werden sollen. Weitere Informationen finden Sie unter Vordefinierte Rollen und Berechtigungen für BigQuery.
Zum Ausführen eines Spark-Jobs erstellen Sie Dataproc-Cluster und senden Dataproc-Jobs in dem Projekt, dem die Compute zugeordnet werden soll.

Vordefinierte Rollen

Google Cloud verwaltet die folgenden Rollen, die einen detaillierten Zugriff auf Dataplex ermöglichen.

Metadatenrollen

Metadatenrollen können Metadaten wie Tabellenschemas aufrufen.

Rolle Beschreibung
Dataplex-Metadaten-Autor
(roles/dataplex.metadataWriter)		 Kann die Metadaten einer bestimmten Ressource aktualisieren.
Dataplex-Metadaten-Leser
(roles/dataplex.metadataReader)		 Kann die Metadaten lesen (z. B. zum Abfragen einer Tabelle).

Datenrollen

Wenn Sie einem Hauptkonto Datenrollen zuweisen, kann es Daten in den zugrunde liegenden Ressourcen lesen oder schreiben, auf die die Assets des Lakes verweisen.

Dataplex ordnet seine Rollen den Datenrollen für jede zugrunde liegende Speicherressource (Cloud Storage, BigQuery) zu.

Dataplex übersetzt und leitet Dataplex-Datenrollen an die zugrunde liegende Speicherressource weiter. Dabei werden für jede Speicherressource die richtigen Rollen festgelegt. Der Vorteil besteht darin, dass Sie eine einzelne Dataplex-Datenrolle in der Lake-Hierarchie (z. B. einem Lake) zuweisen können. Dataplex behält den angegebenen Zugriff auf Daten auf allen mit diesem Lake verbundenen Ressourcen bei (z. B. werden Cloud Storage-Buckets und BigQuery-Datasets von Assets in den zugrunde liegenden Zonen bezeichnet).

Wenn Sie einem Hauptkonto beispielsweise die Rolle dataplex.dataWriter für einen Lake zuweisen, erhält das Hauptkonto Schreibzugriff auf alle Daten im Lake, den zugrunde liegenden Zonen und Assets. Datenzugriffsrollen, die auf einer niedrigeren Ebene (Zone) gewährt wurden, werden in der Lake-Hierarchie auf die zugrunde liegenden Assets übernommen.

Rolle Beschreibung
Dataplex-Datenleser
(roles/dataplex.dataReader)		 Kann Daten aus dem Speicher lesen, der mit Assets verknüpft ist, einschließlich Storage-Buckets und BigQuery-Datasets (sowie deren Inhalte). *
Dataplex-Datenautor
(roles/dataplex.dataWriter)		 Schreibzugriff auf die zugrunde liegenden Ressourcen, auf die das Asset verweist. *
Dataplex-Dateninhaber
(roles/dataplex.dataOwner)		 Gewährt den zugrunde liegenden Ressourcen die Rolle „Owner“, einschließlich der Berechtigung, untergeordnete Ressourcen zu verwalten. Als Dateninhaber eines BigQuery-Datasets können Sie beispielsweise die zugrunde liegenden Tabellen verwalten.

Lakes schützen

Sie können den Zugriff auf Ihren Lake und die damit verknüpften Daten sichern und verwalten. Verwenden Sie in der Google Cloud Console eine der folgenden Ansichten:

  • In der Dataplex-Ansicht Manage (Verwalten) auf dem Tab Permissions (Berechtigungen) oder
  • Die Dataplex-Ansicht Secure

Ansicht Verwalten verwenden

Auf dem Tab Berechtigungen können Sie alle Berechtigungen für eine Lake-Ressource verwalten. Er enthält eine ungefilterte Ansicht aller Berechtigungen, einschließlich der übernommenen.

So sichern Sie Ihren Lake:

  1. Rufen Sie Dataplex in der Google Cloud Console auf.

    Zu Dataplex

  2. Rufen Sie die Ansicht Verwalten auf.

  3. Klicken Sie auf den Namen des von Ihnen erstellten Lakes.

  4. Klicken Sie auf den Tab Berechtigungen.

  5. Klicken Sie auf den Tab Ansicht nach Rollen.

  6. Klicken Sie auf Hinzufügen, um eine neue Rolle hinzuzufügen. Fügen Sie die Rollen Dataplex-Datenleser, Datenautor und Dateninhaber hinzu.

  7. Prüfen Sie, ob die Rollen Dataplex-Datenleser, Datenautor und Dateninhaber angezeigt werden.

Ansicht Sicher verwenden

Die Dataplex-Ansicht Secure in der Google Cloud Console bietet Folgendes:

  • Eine einfache, filterbare Ansicht nur der Dataplex-Rollen, die auf einer bestimmten Ressource ausgerichtet sind.
  • Trennen Sie Datenrollen von Lake-Ressourcenrollen.
Beispiel für Datenberechtigungen, die nicht von höheren Lake-Ressourcen übernommen werden
Abbildung 1: In diesem Beispiel für einen Lake haben beide Hauptkonten Datenberechtigungen für das Asset namens Cloud Storage-Daten (GCS-Daten). Diese Berechtigungen werden nicht von höheren Lake-Ressourcen übernommen.


Beispiel für Berechtigungen, die nicht von höheren Lake-Ressourcen übernommen werden
Abbildung 2: Dieses Beispiel zeigt:
  1. Ein Dienstkonto, das die Rolle „Dataplex-Administrator“ vom Projekt übernimmt.
  2. Hauptkonten (E-Mail-Adresse), die die Rollen „Dataplex-Bearbeiter“ und „Dataplex-Betrachter“ vom Projekt übernehmen. Dies sind die Rollen, die für alle Ressourcen gelten.
  3. Ein Hauptkonto (E-Mail-Adresse), das die Rolle „Dataplex-Administrator“ vom Projekt übernimmt.

Richtlinienverwaltung

Nachdem Sie Ihre Sicherheitsrichtlinie festgelegt haben, leitet Dataplex die Berechtigungen an die IAM-Richtlinien der verwalteten Ressourcen weiter.

Die auf Lake-Ebene konfigurierte Sicherheitsrichtlinie wird an alle in diesem Lake verwalteten Ressourcen weitergegeben. Dataplex bietet auf dem Dataplex-Tab Verwalten > Berechtigungen einen Status und einen Überblick über diese groß angelegten Verteilungen. Die verwalteten Ressourcen werden kontinuierlich auf Änderungen an der IAM-Richtlinie außerhalb von Dataplex überwacht.

Nutzer, die bereits Berechtigungen für eine Ressource haben, behalten diese auch nach dem Anhängen einer Ressource an einen Dataplex-Lake. Ebenso bleiben Nicht-Dataplex-Rollenbindungen, die nach dem Anhängen der Ressource an Dataplex erstellt oder aktualisiert wurden, unverändert.

Richtlinien auf Spalten-, Zeilen- und Tabellenebene festlegen

Cloud Storage-Bucket-Assets sind mit externen BigQuery-Tabellen verknüpft.

Sie können ein Cloud Storage-Bucket-Asset upgraden. Das bedeutet, dass Dataplex die angehängten externen Tabellen entfernt und stattdessen BigLake-Tabellen anhängt.

Sie können BigLake-Tabellen anstelle von externen Tabellen verwenden, um eine detaillierte Zugriffssteuerung zu erhalten, einschließlich Steuerelemente auf Zeilenebene, Steuerelemente auf Spaltenebene und Maskierung von Spaltendaten.

Metadatensicherheit

Metadaten beziehen sich in erster Linie auf Schemainformationen im Zusammenhang mit Nutzerdaten, die in von einem Lake verwalteten Ressourcen vorhanden sind.

Dataplex Discovery prüft die Daten in verwalteten Ressourcen und extrahiert tabellarische Schemainformationen. Diese Tabellen werden in BigQuery, Dataproc Metastore und Data Catalog-Systemen veröffentlicht.

BigQuery

Jede erkannte Tabelle ist mit einer in BigQuery registrierten Tabelle verknüpft. Für jede Zone gibt es ein zugehöriges BigQuery-Dataset, unter dem alle externen Tabellen registriert sind, die mit in dieser Datenzone erkannten Tabellen verknüpft sind.

Die erkannten von Cloud Storage gehosteten Tabellen werden unter dem für die Zone erstellten Dataset registriert.

Dataproc Metastore

Datenbanken und Tabellen werden in dem Dataproc Metastore zur Verfügung gestellt, der der Dataplex-Lake-Instanz zugeordnet ist. Jeder Datenzone ist eine Datenbank zugeordnet und jedes Asset kann eine oder mehrere Tabellen haben.

Die Daten in einem Dataproc Metastore-Dienst werden durch die Konfiguration Ihres VPC-SC-Netzwerks gesichert. Die Dataproc Metastore-Instanz wird Dataplex während der Lake-Erstellung bereitgestellt. Dadurch wird sie bereits zu einer nutzerverwalteten Ressource.

Data Catalog

Jede erkannte Tabelle ist mit einem Eintrag in Data Catalog verknüpft, um die Suche und Auffindbarkeit zu ermöglichen.

Da Data Catalog beim Erstellen von Einträgen IAM-Richtliniennamen benötigt, stellt Dataplex den IAM-Richtliniennamen der Dataplex-Asset-Ressource bereit, mit der der Eintrag verknüpft werden soll. Daher werden die Berechtigungen für den Dataplex-Eintrag von den Berechtigungen für die Asset-Ressource gesteuert. Erteilen Sie die Rolle „Dataplex-Metadaten-Leser“ (roles/dataplex.metadataReader) und die Rolle „Dataplex-Metadaten-Autor“ (roles/dataplex.metadataWriter) für die Asset-Ressource.

Nächste Schritte