레이크 보호

이 문서에서는 Dataplex Universal Catalog 레이크에 대한 액세스를 보호하고 관리하는 방법을 설명합니다.

Dataplex Universal Catalog 보안 모델을 사용하면 다음 태스크에 대한 사용자 권한을 관리할 수 있습니다.

• 레이크 관리(애셋, 영역, 추가 레이크 만들기 및 연결)
• 매핑 애셋을 통해 레이크에 연결된 데이터에 액세스(Cloud Storage 버킷 및 BigQuery 데이터 세트와 같은Google Cloud 리소스)
• 레이크에 연결된 데이터에 관한 메타데이터에 액세스

레이크 관리자는 기본 역할과 사전 정의된 역할을 부여하여 레이크, 영역, 애셋과 같은 Dataplex Universal Catalog 리소스에 대한 액세스를 제어합니다.

기본 역할

사전 정의된 역할

Google Cloud 는 Dataplex Universal Catalog에 대한 세분화된 액세스 권한을 제공하는 사전 정의된 역할을 관리합니다.

메타데이터 역할

메타데이터 역할에는 테이블 스키마와 같은 메타데이터를 볼 수 있는 기능이 있습니다.

데이터 역할

주 구성원에게 데이터 역할을 부여하면 레이크의 애셋이 가리키는 기본 리소스에서 데이터를 읽거나 쓸 수 있습니다.

Dataplex Universal Catalog는 Cloud Storage, BigQuery와 같은 각 기본 스토리지 리소스의 데이터 역할에 역할을 매핑합니다.

Dataplex Universal Catalog는 Dataplex Universal Catalog 데이터 역할을 기본 스토리지 리소스로 변환하고 전파하여 각 스토리지 리소스에 올바른 역할을 설정합니다. 레이크 계층 구조(예: 레이크)에서 단일 Dataplex Universal Catalog 데이터 역할을 부여할 수 있고 Dataplex Universal Catalog는 해당 레이크에 연결된 모든 리소스의 데이터에 대한 지정된 액세스 권한을 유지할 수 있습니다. 예를 들어 Cloud Storage 버킷과 BigQuery 데이터 세트는 기본 영역에 있는 애셋에서 참조됩니다.

예를 들어 주 구성원에게 레이크에 대한 dataplex.dataWriter 역할을 부여하면 레이크 내의 모든 데이터, 기본 영역, 애셋에 대한 쓰기 액세스 권한을 주 구성원에게 제공하게 됩니다. 하위 수준(영역)에서 부여된 데이터 액세스 역할은 레이크 계층 구조에서 기본 애셋에 상속됩니다.

레이크 보호

레이크 및 레이크에 연결된 데이터에 대한 액세스를 보호하고 관리할 수 있습니다. Google Cloud 콘솔에서 다음 뷰 중 하나를 사용합니다.

• 권한 탭의 Dataplex Universal Catalog 관리 뷰
• Dataplex Universal Catalog 보안 뷰

관리 뷰 사용

권한 탭을 사용하면 레이크 리소스의 모든 권한을 관리하고 상속된 권한을 포함한 모든 권한을 필터링되지 않은 뷰로 볼 수 있습니다.

레이크를 보호하려면 다음 단계를 따르세요.

1. Google Cloud 콘솔에서 Dataplex Universal Catalog로 이동합니다.

   Dataplex Universal Catalog로 이동

2. 관리 뷰로 이동합니다.

3. 만든 레이크의 이름을 클릭합니다.

4. 권한 탭을 클릭합니다.

5. 역할별 뷰 탭을 클릭합니다.

6. 추가를 클릭하여 새로운 역할을 추가합니다. Dataplex 데이터 리더, 데이터 작성자, 데이터 소유자 역할을 추가합니다.

7. Dataplex 데이터 리더, 데이터 작성자, 데이터 소유자 역할이 표시되는지 확인합니다.

보안 뷰 사용

Google Cloud 콘솔의 Dataplex Universal Catalog 보안 뷰는 다음을 제공합니다.

• 특정 리소스 중심의 Dataplex Universal Catalog 역할만 필터링할 수 있는 뷰
• 데이터 역할과 레이크 리소스 역할 분리

정책 관리

보안 정책을 지정하면 Dataplex Universal Catalog는 관리형 리소스의 IAM 정책에 권한을 전파합니다.

레이크 수준에서 구성된 보안 정책은 해당 레이크 내에서 관리되는 모든 리소스에 전파됩니다. Dataplex Universal Catalog는 Dataplex Universal Catalog의 관리 > 권한 탭에서 이러한 대규모 전파의 전파 상태와 가시성을 제공합니다. Dataplex Universal Catalog 외부의 IAM 정책 변경사항이 있는지 관리형 리소스를 지속적으로 모니터링합니다.

리소스에 대한 권한이 이미 있는 사용자는 리소스가 Dataplex Universal Catalog 레이크에 연결된 후에도 권한을 계속 보유합니다. 마찬가지로 Dataplex Universal Catalog에 리소스를 연결한 후 생성되거나 업데이트된 Dataplex Universal Catalog 이외의 역할 바인딩도 동일하게 유지됩니다.

열 수준, 행 수준, 테이블 수준 정책 설정

Cloud Storage 버킷 애셋에는 BigQuery 외부 테이블이 연결되어 있습니다.

Cloud Storage 버킷 애셋을 업그레이드할 수 있습니다. 즉, Dataplex Universal Catalog에서 연결된 외부 테이블을 삭제하고 대신 BigLake 테이블을 연결합니다.

외부 테이블 대신 BigLake 테이블을 사용하여 행 수준 제어, 열 수준 제어, 열 데이터 마스킹을 포함한 세분화된 액세스 제어를 할 수 있습니다.

메타데이터 보안

메타데이터는 주로 레이크에서 관리하는 리소스에 있는 사용자 데이터와 연결된 스키마 정보를 나타냅니다.

Dataplex Universal Catalog 검색은 관리형 리소스의 데이터를 검사하고 표 형식의 스키마 정보를 추출합니다. 이러한 테이블은 BigQuery, Dataproc Metastore, Data Catalog(지원 중단됨) 시스템에 게시됩니다.

BigQuery

발견된 각 테이블에는 BigQuery에 등록된 연결된 테이블이 있습니다. 각 영역에는 연결된 BigQuery 데이터 세트가 있으며, 이 데이터 세트에서 검색된 테이블과 연결된 모든 외부 테이블이 등록됩니다.

발견된 Cloud Storage 호스팅 테이블은 영역용으로 생성된 데이터 세트 아래에 등록됩니다.

Dataproc Metastore

데이터베이스와 테이블은 Dataplex Universal Catalog 레이크 인스턴스와 연결된 Dataproc Metastore에서 사용할 수 있습니다. 각 데이터 영역에는 연결된 데이터베이스가 있으며 각 애셋에는 연결된 테이블이 하나 이상 있을 수 있습니다.

Dataproc Metastore 서비스의 데이터는 VPC-SC 네트워크를 구성하여 보호됩니다. Dataproc Metastore 인스턴스는 레이크를 만드는 동안 Dataplex Universal Catalog에 제공되므로 이미 사용자 관리형 리소스입니다.

Data Catalog

발견된 각 테이블에는 검색 및 탐색을 사용 설정하기 위해 Data Catalog(지원 중단됨)에 연결된 항목이 있습니다.

Data Catalog는 항목 생성 중에 IAM 정책 이름이 필요합니다. 따라서 Dataplex Universal Catalog는 항목이 연결되어야 하는 Dataplex Universal Catalog 애셋 리소스의 IAM 정책 이름을 제공합니다. 따라서 Dataplex Universal Catalog 항목의 권한은 애셋 리소스의 권한에 따라 결정됩니다. 애셋 리소스에 Dataplex 메타데이터 리더 역할(roles/dataplex.metadataReader) 및 Dataplex 메타데이터 작성자 역할(roles/dataplex.metadataWriter)을 부여합니다.

다음 단계

• Dataplex Universal Catalog IAM 자세히 알아보기
• Dataplex Universal Catalog IAM 역할 자세히 알아보기
• Dataplex Universal Catalog IAM 권한 자세히 알아보기