使用 VPC Service Controls 增强安全性

您可以通过 VPC Service Controls 为 Google Cloud 资源定义服务边界，从而增强数据的安全性。此服务边界可限制跨边界的数据移动，从而降低数据渗漏风险。

详细了解 VPC Service Controls

前提条件

本文档假定您之前已执行以下操作：

  • 在广告数据中心账号中指定了管理项目。
  • 确认您的广告数据中心服务账号以 gcp-sa-adsdatahub.iam.gserviceaccount.com 结尾。您可以在设置 > 详细信息 > 服务账号下找到该 ID。如果未启用，或者您不确定是否已启用，请在启用 VPC Service Controls 之前与广告数据中心支持团队联系，以更新您的账号。

启用 VPC Service Controls

如果您之前没有设置过 VPC Service Controls，请参阅 VPC Service Controls 快速入门。该快速入门将引导您完成 VPC Service Controls 的初始设置。 完成快速入门后，请按照本页面上的说明操作。

广告数据中心专用设置

  1. 进入 VPC Service Controls 控制台，然后选择一个现有服务边界。
  2. 添加您要在边界内保护的项目：您必须添加管理项目，以及任何在广告数据中心内用于输入或输出数据的项目。
  3. 将广告数据中心和 BigQuery 添加为边界内的受限服务。
    1. VPC Service Controls 建议限制边界内的所有服务。

限制

某些广告数据中心功能（例如自定义受众群体启用、自定义出价和 LiveRamp 匹配表）需要将某些用户数据导出到 VPC Service Controls 边界之外。如果将广告数据中心添加为受限服务，它将绕过 VPC Service Controls 有关这些功能的策略，从而保留其功能。

对于用户提供的数据匹配，请使用私有云匹配，它会在您的边界内作为标准广告数据中心分析查询运行。您的第一方数据必须位于边界内的 BigQuery 项目中。启用 VPC Service Controls 后，不支持通过连接标签页进行匹配。

所有依赖服务都必须作为允许的服务包含在同一 VPC Service Controls 边界内。例如，由于广告数据中心依赖于 BigQuery，因此还必须添加 BigQuery。通常，VPC Service Controls 最佳实践建议包含边界内的所有服务，即“限制所有服务”。

对于采用双层级广告数据中心账号结构的客户（例如拥有子公司的代理机构），其所有的管理项目都应位于同一边界内。为简单起见，广告数据中心建议采用双层级账号结构的客户将其管理项目限制到同一 Google Cloud 组织中。