安全中心概览

本文档介绍了 Google Cloud 控制台中的 BigQuery 安全中心。您可以使用安全中心分析组织的数据安全配置文件，配置和管理行级和列级安全政策，以及管理数据治理标记和政策标记。

准备工作

如需在安全中心内查看信息，您需要：

启用 Dataplex API（如果尚未启用）。

启用 API 所需的角色

如需启用 API，您需要拥有 serviceusage.services.enable 权限。如果您 创建了项目，则可能已通过 Owner 角色 (roles/owner) 拥有此权限。否则，您可以通过 Service Usage Admin 角色 (roles/serviceusage.serviceUsageAdmin) 获得此权限。 了解如何授予角色。

启用 API

所需的角色

如需获得在 BigQuery 安全中心 页面中管理和监控安全设置所需的权限，请让管理员向您授予以下 IAM 角色：

如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

您也可以通过自定义 角色或其他预定义 角色来获取所需的权限。

资源选择和安全配置文件分析

借助安全中心内的资源 标签页，您可以在 BigQuery 项目中搜索数据集和表，查看附加的安全政策，以及分析每个资源的安全配置文件。

使用 Gemini Cloud Assist 分析安全配置文件

借助安全中心内的 Gemini Cloud Assist，您可以查看安全设置、询问有关资源的问题，以及分析数据集或表的安全配置文件：

  1. 在 Google Cloud 控制台中，前往 BigQuery 页面。

    转到 BigQuery

  2. 在导航菜单中，依次点击治理 和安全 中心。

  3. 点击资源 标签页。

  4. 将指针悬停在数据集或表上，然后点击 astrophotography_mode 显示安全配置文件。

Gemini Cloud Assist 会生成资源安全配置文件的摘要，包括附加的行级访问权限政策、列级数据政策和分类标记。

如需询问有关安全发现、政策和访问权限控制的问题，您还可以使用 Gemini Cloud Assist 聊天面板。

如需了解详情，请参阅 使用 Gemini Cloud Assist。

搜索和过滤资源

借助资源 标签页，您可以执行以下操作来查找资源和检查访问权限控制：

  • 项目范围： 资源 标签页会显示 所选 Google Cloud 项目中的数据集和表。
  • 搜索和过滤： 点击过滤条件 ，按数据集名称、表名称或位置搜索资源。
  • 检查附加的政策： 政策 和政策标记 列会显示每个表是否附加了访问权限政策或标记。如需查看政策详情，请点击资源名称。如需为所选资源创建或修改政策，请前往政策管理 标签页。

政策管理

借助安全中心内的政策管理 标签页，您可以为表配置和管理行级访问权限政策和列级安全政策。

您可以通过以下三种方式配置列级安全政策：

  • 直接对列分配数据政策
  • 基于数据治理标记的政策 (预览版)
  • 基于政策标记的政策

行访问权限政策

行访问权限 视图会显示为资源创建的所有行级访问权限政策。对于每项政策，您都可以查看政策名称、表名称、数据集名称和上次修改日期。您可以直接在此视图中修改、删除或创建政策。

创建行级访问权限政策时，您需要指定以下内容：

  • 政策名称： 政策的唯一名称。
  • 表搜索： 在搜索字段中输入表名称，以查找并选择目标表。
  • 架构视图： 查看表架构以验证可用的列名称。
  • 过滤条件谓词： 输入 SQL 过滤条件，以定义哪些行 可见（例如 region = 'us-east1'）。
  • 主账号： 指定政策适用的用户、群组或网域。

如需了解详情，请参阅 BigQuery 行级安全性简介。

列安全政策

借助列安全 视图，您可以管理资源的列级访问权限控制和数据遮盖。

如需查看列安全政策，您必须先从区域 列表中选择一个区域。

选择区域后，政策会根据创建方式显示在三个部分中：

  • 政策标记： 与 Data Catalog 分类标记关联的政策。
  • 数据治理标记： 与具有 purpose=DATA_GOVERNANCE 的 Resource Manager 标记关联的政策（预览版）。
  • 直接分配的数据政策： 直接附加到表列的数据政策，没有标记中介。

政策影响指标

对于每项政策，该表都会显示影响指标，以显示受该政策影响的表和列的数量。这些指标表明政策在数据集中的应用范围，有助于管理员在更新或重新分配政策之前评估政策的覆盖范围和敏感度。

将政策附加到多个列

如需将现有政策附加到不同表和数据集中的多个列，请在政策表中点击附加 。这样，您只需执行一个操作，即可在整个组织中应用一致的列级访问权限控制或数据遮盖规则。

当您为主账号分配数据政策时，BigQuery 会向其授予该政策的 Masked Reader 角色 (roles/bigquerydatapolicy.maskedReader)。 此角色是唯一授予 bigquery.dataPolicies.maskedGet 的预定义角色，该权限是读取受保护列中的遮盖值所必需的。如需了解详情，请参阅 查询遮盖数据的角色。

根据您的访问权限控制要求，请参阅以下指南之一，详细了解如何配置政策：

数据治理标记和政策标记

借助数据治理标记和政策标记，您可以对列进行分类，并在 BigQuery 资源中应用访问权限控制。

如需在安全中心内管理标记，请执行以下操作：

  1. 在 Google Cloud 控制台中，前往 BigQuery 页面。

    转到 BigQuery

  2. 在导航菜单中，依次点击治理 和安全 中心。

  3. 根据要管理的标记类型，选择以下标签页之一：

    • 数据治理标记： 点击数据治理标记 标签页， 创建 Resource Manager 标记键（具有 purpose=DATA_GOVERNANCE）， 并定义分层标记值 （预览版）。 如需配置访问权限，请点击管理访问权限 。
    • 政策标记： 点击政策标记 标签页，然后点击创建分类 ，以创建 Data Catalog 分类和分层政策标记。如需配置访问权限，请使用权限面板。

创建标记键或分类后，您可以将标记附加到表列，以强制执行列级访问权限控制和数据遮盖：

后续步骤