GSP1157

概览

Dataplex 是一种智能数据结构脉络，使组织能够跨数据湖、数据仓库和数据集市集中发现、管理、监控和治理其数据，从而实现大规模分析。

Dataplex 提供了一种灵活的安全模型，让您能够控制哪些人员可以访问 Dataplex 资源以及对这些资源执行各种操作。具体来说，Dataplex 安全性是使用不同的 Dataplex IAM 角色实现的。利用这些角色，用户可以管理 Dataplex 数据湖，也可以通过附加的资产（例如，Cloud Storage 存储桶或 BigQuery 数据集）访问数据湖中的数据，还可以访问连接到数据湖的数据的相关元数据。

在本实验中，您将学习如何在 Dataplex 中实现安全性。具体操作包括以 Dataplex Administrator 身份登录 Google Cloud 项目，新建 Dataplex 资源，然后将 Dataplex IAM 角色分配给其他用户并进行测试。在以用户身份（该用户已被授予适当的 IAM 角色来修改特定 Dataplex 资产）成功地将新文件上传到 Cloud Storage 存储桶后，您便完成了本实验。

您将执行的操作

• 在 Dataplex 中创建数据湖、区域和资产
• 将 Dataplex IAM 角色分配给其他用户
• 以拥有不同 Dataplex IAM 角色的不同用户身份测试对 Dataplex 资产的访问权限
• 将新文件上传到作为 Dataplex 资产管理的 Cloud Storage 存储桶

设置和要求

在您开始本实验之后，请以用户 1 () 身份登录 Google Cloud 控制台，开始执行第一项任务。

点击“开始实验”按钮前的注意事项

请阅读以下说明。实验是计时的，并且您无法暂停实验。计时器在您点击开始实验后即开始计时，显示 Google Cloud 资源可供您使用多长时间。

此实操实验可让您在真实的云环境中开展实验活动，免受模拟或演示环境的局限。我们会为您提供新的临时凭据，让您可以在实验规定的时间内用来登录和访问 Google Cloud。

为完成此实验，您需要：

• 能够使用标准的互联网浏览器（建议使用 Chrome 浏览器）。

注意：请使用无痕模式或无痕浏览器窗口运行此实验。这可以避免您的个人账号与学生账号之间发生冲突，这种冲突可能导致您的个人账号产生额外费用。

• 完成实验的时间 - 请注意，实验开始后无法暂停。

注意：如果您已有自己的个人 Google Cloud 账号或项目，请不要在此实验中使用，以避免您的账号产生额外的费用。

如何开始实验并登录 Google Cloud 控制台

1. 点击开始实验按钮。如果该实验需要付费，系统会打开一个弹出式窗口供您选择付款方式。左侧是实验详细信息面板，其中包含以下各项：

   • 打开 Google 控制台按钮
   • 剩余时间
   • 进行该实验时必须使用的临时凭据
   • 帮助您逐步完成本实验所需的其他信息（如果需要）

2. 点击打开 Google 控制台。 该实验会启动资源并打开另一个标签页，显示登录页面。

   提示：请将这些标签页安排在不同的窗口中，并将它们并排显示。

   注意：如果您看见选择帐号对话框，请点击使用其他帐号。

3. 如有必要，请从实验详细信息面板复制用户名，然后将其粘贴到登录对话框中。点击下一步。

4. 请从实验详细信息面板复制密码，然后将其粘贴到欢迎对话框中。点击下一步。

   重要提示：您必须使用左侧面板中的凭据。请勿使用您的 Google Cloud Skills Boost 凭据。 注意：在本次实验中使用您自己的 Google Cloud 帐号可能会产生额外费用。

5. 继续在后续页面中点击以完成相应操作：

   • 接受条款及条件。
   • 由于该帐号为临时帐号，请勿添加帐号恢复选项或双重验证。
   • 请勿注册免费试用。

片刻之后，系统会在此标签页中打开 Cloud 控制台。

注意：您可以点击左上角的导航菜单来查看列有 Google Cloud 产品和服务的菜单。

启用 Dataplex API

1. 在 Google Cloud 控制台顶部的搜索栏中，输入 Cloud Dataplex API。

2. 点击 Marketplace 下面的 Cloud Dataplex API 搜索结果。

3. 点击启用。

任务 1. 在 Dataplex 中创建数据湖、区域和资产

如需应用并测试对 Dataplex 资源的用户访问权限，您需要先创建一些 Dataplex 资源。

在本任务中，您需要使用 Google Cloud 控制台新建 Dataplex 数据湖来存储客户信息，向该数据湖中添加原始区域，然后将预先创建的 Cloud Storage 存储桶作为新资产附加到该区域中。

为了完成本任务，请确保以用户 1 () 身份登录，该用户是 Dataplex Administrator，可以在项目中新建 Dataplex 资源。

创建数据湖

1. 在 Google Cloud 控制台的导航菜单 () 中，点击分析 > Dataplex。

如果系统提示欢迎体验新版 Dataplex，请点击关闭。

2. 点击管理数据湖下的管理。

3. 点击创建数据湖。

4. 输入所需信息以新建数据湖：

属性	值
显示名称	Customer Info Lake
ID	保留默认值。
区域 (Region)

保留其他默认值。

5. 点击创建。

数据湖创建过程最长可能需要 3 分钟。

向数据湖中添加区域

1. 在管理标签页上，点击数据湖的名称。

2. 点击添加区域。

3. 输入所需信息以新建区域：

属性	值
显示名称	Customer Raw Zone
ID	保留默认值。
类型	原始区域
数据位置	区域级 (Regional)

保留其他默认值。

例如，默认情况下，发现设置下的启用元数据发现选项处于选中状态，允许获得授权的用户发现区域中的数据。

4. 点击创建。

区域创建过程最长可能需要 2 分钟。

在区域的状态变为有效后，您可以执行下一项任务。

将资产附加到区域

1. 在区域标签页上，点击区域的名称。

2. 在资产标签页上，点击添加资产。

3. 点击添加资产。

4. 输入所需信息以附加新资产：

属性	值
类型	存储桶
显示名称	Customer Online Sessions
ID	保留默认值。
存储桶名称	-bucket

保留其他默认值。

虽然此 Cloud Storage 存储桶不包含任何文件，但您现在可以将其附加到该区域，并且新添加的文件将自动合并到该区域。

5. 点击完成。

6. 点击继续。

7. 在发现设置中，选择继承以继承区域级别的发现设置，然后点击继续。

8. 点击提交。

点击“检查我的进度”以验证是否完成了以下目标： 在 Dataplex 中创建数据湖、区域和资产

任务 2. 将 Dataplex Data Reader 角色分配给另一个用户

Dataplex Administrator 可以按照 Google 的最小权限建议，在项目、数据湖、区域和具体资产（例如，Cloud Storage 存储桶）级别向用户授予 Dataplex IAM 角色。

在本任务中，您需要使用 Google Cloud 控制台将 Dataplex Data Reader 角色分配给另一个用户，以便其可以读取作为 Dataplex 资源管理的 Cloud Storage 存储桶。

为了完成本任务，您仍然需要以用户 1 () 身份登录，该用户拥有向其他用户授予适当的 Dataplex IAM 角色的权限。

1. 在 Google Cloud 控制台的导航菜单 () 中，点击分析下的 Dataplex > 安全。

2. 在 Dataplex 资源菜单中，展开项目 ID () 旁边的箭头。

3. 展开您的数据湖名称旁边的箭头。

4. 展开您的区域名称旁边的箭头。

5. 点击资产名称 (Customer Online Sessions)。

6. 点击授予访问权限。

7. 在新的主账号中，输入用户 2 的电子邮件地址：

8. 在选择角色中，选择 Cloud Dataplex 下的 Dataplex Data Reader。

9. 点击保存。

如需查看更新后的数据权限，请刷新页面。相关权限可能需要几分钟才能生效。

点击“检查我的进度”以验证是否完成了以下目标： 将 Dataplex Data Reader 角色分配给另一个用户

退出以用户 1 身份登录的项目

退出以用户 1 身份登录的项目。在下一项任务中，您将以用户 2 身份登录项目。

1. 点击 Google Cloud 控制台右上方的个人资料图标。

2. 点击退出。

如果系统要求您确认，请点击退出。

任务 3. 以 Dataplex Data Reader 角色测试对 Dataplex 资源的访问权限

如果用户仅被授予对某项资产的 Dataplex Data Reader 角色，则他们拥有查看该 Dataplex 资产的权限，但无法对其进行修改。例如，如果用户对 Cloud Storage 存储桶仅拥有 Dataplex Data Reader 角色，则无法向作为 Dataplex 资产管理的该存储桶中添加新文件。

在本任务中，您需要尝试使用 Google Cloud 控制台向预先创建的 Cloud Storage 存储桶中添加新文件，以测试用户 2 对 Dataplex 资源的访问权限。

为了完成本任务，请以用户 2 () 身份登录项目。

1. 在 Google Cloud 控制台的导航菜单 () 中，点击 Cloud Storage > 存储桶。

2. 点击已预先为您创建的存储桶：-bucket

3. 点击上传文件。

4. 您可以选择任何文件。

如果需要示例文件，您可以下载测试 CSV 文件，然后将其用作上传文件。

5. 点击打开。

请注意，您会收到错误消息，并且任何文件都不会上传到该存储桶。

系统已拒绝用户 2 将新文件上传到 Cloud Storage 存储桶，因为该用户仅被授予了对 Dataplex 资产的读取权限。

退出以用户 2 身份登录的项目

退出以用户 2 身份登录的项目。在下一项任务中，您将以用户 1 身份登录项目。

1. 点击 Google Cloud 控制台右上方的个人资料图标。

2. 点击退出。

如果系统要求您确认，请点击退出。

任务 4. 将 Dataplex Writer 角色分配给另一个用户

在本任务中，您需要使用 Google Cloud 控制台将对存储桶的 Dataplex Writer 角色分配给用户 2，以便其可以通过添加新文件来修改存储桶。

为了完成本任务，请以用户 1 () 身份登录项目，该用户拥有向其他用户授予适当的 Dataplex IAM 角色的权限。

1. 在 Google Cloud 控制台的导航菜单 () 中，点击分析下的 Dataplex > 安全。

2. 在 Dataplex 资源菜单中，展开项目 ID () 旁边的箭头。

3. 展开您的数据湖名称旁边的箭头。

4. 展开您的区域名称旁边的箭头。

5. 点击资产名称 (Customer Online Sessions)。

6. 点击用户 2 的电子邮件地址旁边的修改主账号（铅笔图标）：

7. 在角色中，选择 Cloud Dataplex 下的 Dataplex Data Writer。

8. 点击保存。

如需查看更新后的数据权限，请刷新页面。相关权限可能需要几分钟才能生效。

点击“检查我的进度”以验证是否完成了以下目标： 将 Dataplex Data Writer 角色分配给另一个用户

退出以用户 1 身份登录的项目

退出以用户 1 身份登录的项目。在下一项任务中，您将以用户 2 身份登录项目。

1. 点击 Google Cloud 控制台右上方的个人资料图标。

2. 点击退出。

如果系统要求您确认，请点击退出。

任务 5. 以 Dataplex Data Writer 角色将新文件上传到 Cloud Storage 存储桶

如果用户被授予对某项资产的 Dataplex Data Writer 角色，则他们拥有修改该资产的权限，包括能够向作为 Dataplex 资产管理的 Cloud Storage 存储桶中添加新文件。

在本任务中，您需要确定是否能够使用 Google Cloud 控制台成功地向预先创建的 Cloud Storage 存储桶中添加新文件，从而再次测试用户 2 对 Dataplex 资源的访问权限。

为了完成本任务，请以用户 2 () 身份登录项目。

1. 在 Google Cloud 控制台的导航菜单 () 中，点击 Cloud Storage > 存储桶。

2. 点击已预先为您创建的存储桶：-bucket

3. 点击上传文件。

4. 您可以选择任何文件。

如果需要示例文件，您可以下载测试 CSV 文件，然后将其用作上传文件。

5. 点击打开。

用户 2 能够成功地以 Dataplex Data Writer 角色将新文件上传到 Cloud Storage 存储桶。

点击“检查我的进度”以验证是否完成了以下目标： 以 Dataplex Data Writer 角色将文件上传到 Cloud Storage 存储桶

恭喜！

您将适当的 Dataplex IAM 角色分配给另一个用户并进行了测试，让其能够成功地修改作为 Dataplex 资产管理的 Cloud Storage 存储桶中的文件。您已通过上述操作在 Dataplex 中实现了安全性。

Google Cloud 培训和认证

…可帮助您充分利用 Google Cloud 技术。我们的课程会讲解各项技能与最佳实践，可帮助您迅速上手使用并继续学习更深入的知识。我们提供从基础到高级的全方位培训，并有点播、直播和虚拟三种方式选择，让您可以按照自己的日程安排学习时间。各项认证可以帮助您核实并证明您在 Google Cloud 技术方面的技能与专业知识。

上次更新手册的时间：2023 年 6 月 27 日

上次测试实验的时间：2023 年 6 月 27 日

版权所有 2024 Google LLC 保留所有权利。Google 和 Google 徽标是 Google LLC 的商标。其他所有公司名和产品名可能是其各自相关公司的商标。