使用 VPC Service Controls、服务账号和客户管理的加密密钥 (CMEK) 保护数据洞察中的 BigQuery 数据。您可以强制执行基于 IP 的访问权限级别、配置支持自动报告的专用凭据，以及查询受 CMEK 保护的项目。
支持 VPC Service Controls
数据洞察可以安全地连接到受 VPC Service Controls (VPC-SC) 边界保护的 BigQuery 项目。连接器会将报告查看者的最终用户 IP 地址传递给 BigQuery，以便 Google Cloud 强制执行任何已配置的基于查看者 IP 的访问权限级别。
VPC Service Controls 的限制
默认情况下，自动后台传送（例如定时发送的电子邮件快照、阈值提醒和定时数据提取）不适用于仅受基于 IP 的访问权限级别保护的数据集。由于后台任务不是从最终用户 IP 地址运行，因此 VPC Service Controls 会阻止该请求。
如需在 VPC Service Controls 边界内使用自动化报告功能，请将数据源连接配置为使用服务账号凭据，或创建允许后台请求的访问权限级别。
由于数据洞察在具有动态 IP 地址和项目分配的 Google 托管式基础架构上运行，因此您无法使用静态 IP 许可清单或项目规则来配置 VPC Service Controls 边界。如需允许通过 VPC Service Controls 边界访问数据洞察，您必须在访问权限级别或入站和出站规则中将服务账号添加为主账号。
设置 Google Cloud 服务账号
服务账号可防止报告因员工离职而中断，并允许在 VPC-SC 边界内进行安全的网络访问。管理员可以配置专用 Google Cloud 服务账号来查询数据，而无需使用所有者的凭据委托访问权限，也无需使用查看者的凭据要求各个报告查看者拥有数据访问权限。
如需查看所需的角色分配（roles/bigquery.dataViewer、roles/bigquery.jobUser）以及 Google Cloud 控制台中的设置步骤，请参阅为数据洞察设置 Google Cloud 服务账号。
查询具有 CMEK 组织政策的 BigQuery 项目
数据洞察可以查询受客户管理的加密密钥 (CMEK) 保护的 BigQuery 表，而无需在数据洞察中进行额外配置。不过，当数据洞察运行查询作业时，BigQuery 会将查询结果写入结算项目中的临时表。连接器不会在查询作业请求中传递 Cloud Key Management Service 密钥。
如果您的结算项目对 BigQuery 强制执行 constraints/gcp.restrictNonCmekServices 组织政策限制条件，则您必须在 BigQuery 中为数据集的位置设置项目默认 Cloud KMS 密钥 (region-LOCATION.default_kms_key_name)。设置项目默认密钥后，BigQuery 就可以自动加密临时查询结果表，并防止出现 CONDITION_NOT_MET 错误。