레이크 보호

이 문서에서는 Dataplex 호수에 대한 액세스를 보호하고 관리하는 방법을 설명합니다.

Dataplex 보안 모델을 사용하면 다음 작업에 대한 사용자 권한을 관리할 수 있습니다.

• 레이크 관리(애셋, 영역, 추가 레이크 만들기 및 연결)
• 매핑 애셋을 통해 레이크에 연결된 데이터에 액세스 (예: Cloud Storage 버킷 및 BigQuery 데이터 세트와 같은 Google Cloud 리소스)
• 레이크에 연결된 데이터에 대한 메타데이터에 액세스

레이크 관리자는 기본 및 사전 정의된 역할을 부여하여 레이크, 영역, 애셋과 같은 Dataplex 리소스에 대한 액세스를 제어합니다.

기본 역할

역할	설명
Dataplex 뷰어 (roles/dataplex.viewer)	레이크와 구성된 영역 및 애셋을 보고 수정할 수는 없습니다.
Dataplex 편집자 (roles/dataplex.editor)	레이크를 수정할 수 있습니다. 레이크, 영역, 애셋, 태스크를 만들고 구성할 수 있습니다.
Dataplex 관리자 (roles/dataplex.administrator)	레이크를 완전히 관리할 수 있습니다.
Dataplex 개발자 (roles/dataplex.developer)	레이크에서 데이터 분석 워크로드를 실행할 수 있습니다. ^*

^* BigQuery 테이블을 쿼리하려면 BigQuery 작업을 실행할 권한이 필요합니다. 작업의 컴퓨팅 비용에 대한 기여도를 부여하거나 비용을 청구하려는 프로젝트에서 이 권한을 설정합니다. 자세한 내용은 BigQuery 사전 정의된 역할 및 권한을 참고하세요.
Spark 작업을 실행하려면 Dataproc 클러스터를 만들고 컴퓨팅에 대해 기여 분석할 프로젝트에서 Dataproc 작업을 제출합니다.

사전 정의된 역할

Google Cloud는 Dataplex에 대한 세분화된 액세스 권한을 제공하는 사전 정의된 역할을 관리합니다.

메타데이터 역할

메타데이터 역할에는 테이블 스키마와 같은 메타데이터를 볼 수 있는 기능이 있습니다.

역할	설명
Dataplex 메타데이터 작성자 (roles/dataplex.metadataWriter)	특정 리소스의 메타데이터를 업데이트할 수 있습니다.
Dataplex 메타데이터 리더 (roles/dataplex.metadataReader)	메타데이터를 읽을 수 있습니다(예: 테이블 쿼리).

데이터 역할

참고: 레이크 수준 이하(영역 또는 애셋)에서 데이터 역할을 지정합니다. 프로젝트 수준에서 설정된 데이터 역할은 프로젝트의 레이크에 더 이상 상속되지 않습니다.

주 구성원에게 데이터 역할을 부여하면 레이크의 애셋이 가리키는 기본 리소스의 데이터를 읽거나 쓸 수 있습니다.

Dataplex는 각 기본 스토리지 리소스(예: Cloud Storage, BigQuery)의 데이터 역할에 역할을 매핑합니다.

Dataplex는 Dataplex 데이터 역할을 기본 스토리지 리소스로 변환하고 전파하여 각 스토리지 리소스에 올바른 역할을 설정합니다. 레이크 계층 구조 (예: 레이크)에서 단일 Dataplex 데이터 역할을 부여할 수 있으며 Dataplex는 해당 레이크에 연결된 모든 리소스의 데이터에 대한 지정된 액세스 권한을 유지합니다 (예: Cloud Storage 버킷 및 BigQuery 데이터 세트는 기본 영역의 애셋에서 참조됨).

예를 들어 주 구성원에게 레이크에 대한 dataplex.dataWriter 역할을 부여하면 레이크 내의 모든 데이터, 기본 영역, 애셋에 대한 쓰기 액세스 권한을 주 구성원에게 제공하게 됩니다. 하위 수준(영역)에서 부여된 데이터 액세스 역할은 레이크 계층 구조에서 기본 애셋에 상속됩니다.

참고: Dataplex는 IAM 권한을 기본 리소스에 전파합니다. 데이터 역할에서 기본 리소스 역할로의 전파는 최대 30분 정도 걸릴 수 있습니다. Dataplex에서 기본 Cloud Storage 관리자가 전파한 정책의 변경사항을 감지하는 정책 조정은 최대 3시간이 걸릴 수 있습니다.

정책 전파 상태를 확인하려면 다음 API 필드를 사용하세요.

• 레이크 또는 영역의 경우 AssetStatus를 사용합니다.
• 애셋의 경우 SecurityStatus를 사용하세요.

역할	설명
Dataplex 데이터 리더 (roles/dataplex.dataReader)	스토리지 버킷 및 BigQuery 데이터 세트(및 해당 콘텐츠)를 포함하여 애셋에 연결된 스토리지에서 데이터를 읽을 수 있습니다. *
Dataplex 데이터 작성자 (roles/dataplex.dataWriter)	확장 소재가 가리키는 기본 리소스에 쓸 수 있는 기능입니다. *
Dataplex 데이터 소유자 (roles/dataplex.dataOwner)	하위 리소스를 관리하는 기능을 비롯하여 기본 리소스에 소유자 역할을 부여합니다. 예를 들어 BigQuery 데이터 세트의 데이터 소유자는 기본 테이블을 관리할 수 있습니다.

레이크 보호

레이크 및 레이크에 연결된 데이터에 대한 액세스를 보호하고 관리할 수 있습니다. Google Cloud 콘솔에서 다음 뷰 중 하나를 사용합니다.

• 권한 탭의 Dataplex 관리 뷰
• Dataplex 보안 보기

관리 뷰 사용

권한 탭을 사용하면 호수 리소스의 모든 권한을 관리하고 상속된 권한을 포함한 모든 권한을 필터링되지 않은 뷰로 볼 수 있습니다.

레이크를 보호하려면 다음 단계를 따르세요.

1. Google Cloud 콘솔에서 Dataplex로 이동합니다.

   Dataplex로 이동

2. 관리 뷰로 이동합니다.

3. 내가 만든 레이크의 이름을 클릭합니다.

4. 권한 탭을 클릭합니다.

5. 역할별 보기 탭을 클릭합니다.

6. 추가를 클릭하여 새로운 역할을 추가합니다. Dataplex 데이터 리더, 데이터 작성자, 데이터 소유자 역할을 추가합니다.

7. Dataplex 데이터 리더, 데이터 작성자, 데이터 소유자 역할이 표시되는지 확인합니다.

안전 뷰 사용

참고: 레이크가 포함된 프로젝트 또는 상위 프로젝트에 cloudasset.assets.analyzeIamPolicy 권한을 부여하여 Dataplex 보안 뷰가 누락된 권한을 보고하도록 허용할 수 있습니다.

Google Cloud 콘솔의 Dataplex 보안 보기는 다음을 제공합니다.

• 특정 리소스 중심의 Dataplex 역할만 필터링할 수 있는 뷰
• 데이터 역할과 레이크 리소스 역할 분리

그림 1: 레이크의 이 예시에는 두 주 구성원 모두에 . Cloud Storage 데이터(GCS 데이터)라는 애셋에 대한 데이터 권한이 있습니다. 이러한 권한은 상위 레이크 리소스에서 상속되지 않습니다.

그림 2: 이 예에서는 다음을 보여줍니다.

1. 프로젝트에서 Dataplex 관리자 역할을 상속하는 서비스 계정입니다.
2. 프로젝트에서 Dataplex 편집자 및 뷰어 역할을 상속하는 주 구성원(이메일 주소) 다음은 모든 리소스에 적용되는 역할입니다.
3. 프로젝트에서 Dataplex 관리자 역할을 상속하는 주 구성원(이메일 주소)입니다.

정책 관리

보안 정책을 지정하면 Dataplex는 관리 리소스의 IAM 정책에 권한을 전파합니다.

레이크 수준에서 구성된 보안 정책은 해당 레이크 내에서 관리되는 모든 리소스에 적용됩니다. Dataplex는 Dataplex 관리 > 권한 탭에서 이러한 대규모 전파의 전파 상태와 가시성을 제공합니다. Dataplex 외부의 IAM 정책 변경사항이 있는지 관리 리소스를 지속적으로 모니터링합니다.

리소스에 대한 권한이 이미 있는 사용자는 리소스가 Dataplex 레이크에 연결된 후에도 권한을 계속 보유합니다. 마찬가지로 Dataplex에 리소스를 연결한 후 생성되거나 업데이트된 Dataplex 이외의 역할 바인딩도 동일하게 유지됩니다.

열 수준, 행 수준, 테이블 수준 정책 설정

Cloud Storage 버킷 애셋에는 연결된 BigQuery 외부 테이블이 연결되어 있습니다.

Cloud Storage 버킷 애셋을 업그레이드할 수 있습니다. 즉, Dataplex에서 연결된 외부 테이블을 삭제하고 대신 BigLake 테이블을 연결합니다.

외부 테이블 대신 BigLake 테이블을 사용하여 행 수준 제어, 열 수준 제어, 열 데이터 마스킹을 포함한 세분화된 액세스 제어를 할 수 있습니다.

메타데이터 보안

메타데이터는 주로 레이크에서 관리하는 리소스에 있는 사용자 데이터와 연결된 스키마 정보를 나타냅니다.

Dataplex Discovery는 관리 리소스의 데이터를 검사하고 표 형식의 스키마 정보를 추출합니다. 이러한 테이블은 BigQuery, Dataproc Metastore, Data Catalog 시스템에 게시됩니다.

참고: 실제 기본 데이터는 애셋에서 관리하는 리소스에 상주하며 Dataplex 데이터 리더 역할(roles/dataplex.dataReader) 및 Dataplex 데이터 작성자 역할(roles/dataplex.dataWriter)을 통해 데이터 권한으로 보호됩니다. 사용자는 각 메타데이터 시스템 내에서 메타데이터 권한을 관리하는 책임을 집니다.

BigQuery

발견된 각 테이블에는 BigQuery에 등록된 연결된 테이블이 있습니다. 각 영역에는 연결된 BigQuery 데이터 세트가 있으며, 이 데이터 세트에서 검색된 테이블과 연결된 모든 외부 테이블이 등록됩니다.

검색된 Cloud Storage 호스팅 테이블은 영역용으로 생성된 데이터 세트 아래에 등록됩니다.

참고: Dataplex는 외부 테이블을 BigLake 테이블로 업그레이드하는 기능을 지원합니다. 자세한 내용은 메타데이터 보안을 참고하세요.

Dataproc Metastore

데이터베이스 및 테이블은 Dataplex 레이크 인스턴스와 연결된 Dataproc Metastore에서 사용할 수 있습니다. 각 데이터 영역에는 연결된 데이터베이스가 있으며 각 애셋에는 하나 이상의 연결된 테이블이 있을 수 있습니다.

Dataproc Metastore 서비스의 데이터는 VPC-SC 네트워크를 구성하여 보호됩니다. Dataproc Metastore 인스턴스는 레이크를 만드는 동안 Dataplex에 제공되므로 이미 사용자 관리형 리소스입니다.

Data Catalog

검색된 각 테이블에는 검색 및 탐색을 사용 설정하기 위해 Data Catalog에 연결된 항목이 있습니다.

Data Catalog에서는 항목을 만들 때 IAM 정책 이름이 필요합니다. 따라서 Dataplex는 항목이 연결되어야 하는 Dataplex 애셋 리소스의 IAM 정책 이름을 제공합니다. 따라서 Dataplex 항목의 권한은 애셋 리소스의 권한에 따라 결정됩니다. 애셋 리소스에 Dataplex 메타데이터 리더 역할 (roles/dataplex.metadataReader) 및 Dataplex 메타데이터 작성자 역할 (roles/dataplex.metadataWriter)을 부여합니다.

다음 단계

• Dataplex IAM 자세히 알아보기
• Dataplex IAM 역할 자세히 알아보기
• Dataplex IAM 권한에 대해 자세히 알아보세요.