使用 VPC Service Controls 和服务账号保护数据洞察中的 BigQuery 数据。您可以强制执行基于 IP 的访问权限级别，并配置支持自动生成报告的专用凭据。
支持 VPC Service Controls
数据洞察可以安全地连接到受 VPC Service Controls (VPC-SC) 边界保护的 BigQuery 项目。连接器会将报告查看者的最终用户 IP 地址传递给 BigQuery，从而允许 Google Cloud 强制执行任何已配置的基于查看者 IP 的访问权限级别。
VPC Service Controls 的限制
默认情况下，自动后台传送（例如定时发送的邮件快照、阈值提醒和预定数据提取）不适用于仅受基于 IP 的访问权限保护的数据集。由于后台任务不是从最终用户 IP 地址运行的，因此 VPC Service Controls 会阻止该请求。
如需在 VPC Service Controls 边界后使用自动化报告功能，请将数据源连接配置为使用服务账号凭据，或创建允许后台请求的访问权限级别。
由于数据洞察在具有动态 IP 地址和项目分配的 Google 管理的基础设施上运行，因此您无法使用静态 IP 许可清单或项目规则来配置 VPC Service Controls 边界。如需允许数据洞察通过 VPC Service Controls 边界进行访问，您必须在访问权限级别或入站流量和出站流量规则中添加服务账号作为主体。
设置 Google Cloud 服务账号
如果员工离职，服务账号可防止报告中断，并允许在 VPC-SC 边界内进行安全的网络访问。管理员可以配置专用的 Google Cloud 服务账号来查询数据，而无需使用所有者凭据来委托访问权限，也无需使用查看者凭据来要求各个报告查看者拥有数据访问权限。
如需查看 Google Cloud 控制台中所需的角色分配（roles/bigquery.dataViewer、roles/bigquery.jobUser）和设置步骤，请参阅为数据洞察设置 Google Cloud 服务账号。