Sie können Ihre BigQuery-Daten in Data Studio mit VPC Service Controls, Dienstkonten und kundenverwalteten Verschlüsselungsschlüsseln (CMEK) schützen. Sie können IP-basierte Zugriffsebenen erzwingen, dedizierte Anmeldedaten konfigurieren, die automatisierte Berichte unterstützen, und CMEK-geschützte Projekte abfragen.
Unterstützung von VPC Service Controls
Data Studio kann eine sichere Verbindung zu BigQuery-Projekten herstellen, die durch VPC Service Controls (VPC-SC)-Perimeter geschützt sind. Der Connector übergibt die IP-Adresse des Betrachters an BigQuery, sodass Google Cloud alle konfigurierten IP-basierten Zugriffsebenen für Betrachter erzwingen kann.
Limits für VPC Service Controls
Standardmäßig funktionieren automatisierte Hintergrundlieferungen wie geplante E‑Mail-Snapshots, Schwellenwertbenachrichtigungen und geplante Datenextraktionen nicht mit Datasets, die nur durch IP-basierte Zugriffsebenen geschützt sind. Da Hintergrundaufgaben nicht von der IP-Adresse eines Endnutzers ausgeführt werden, blockiert VPC Service Controls die Anfrage.
Wenn Sie automatisierte Berichtsfunktionen hinter VPC Service Controls-Perimetern verwenden möchten, konfigurieren Sie Ihre Datenquellenverbindung so, dass Dienstkonto-Anmeldedaten verwendet werden, oder erstellen Sie eine Zugriffsebene, die Hintergrundanfragen zulässt.
Da Data Studio auf einer von Google verwalteten Infrastruktur mit dynamischen IP-Adressen und Projektzuweisungen ausgeführt wird, können Sie VPC Service Controls-Perimeter nicht mithilfe von Zulassungslisten für statische IP-Adressen oder Projektregeln konfigurieren. Damit Data Studio über einen VPC Service Controls-Perimeter auf Daten zugreifen kann, müssen Sie ein Dienstkonto als Hauptkonto in Ihren Zugriffsebenen oder Regeln für ein- und ausgehenden Traffic hinzufügen.
Google Cloud -Dienstkonto einrichten
Dienstkonten verhindern, dass Berichte nicht mehr funktionieren, wenn ein Mitarbeiter das Unternehmen verlässt, und ermöglichen einen sicheren Netzwerkzugriff innerhalb von VPC-SC-Perimetern. Statt den Zugriff über die Inhaber-Anmeldedaten zu delegieren oder für einzelne Nutzer über die Betrachter-Anmeldedaten zu gewähren, können Administratoren ein dediziertes Google Cloud Dienstkonto für die Datenabfrage konfigurieren.
Informationen zu den erforderlichen Rollenzuweisungen (roles/bigquery.dataViewer, roles/bigquery.jobUser) und den Einrichtungsschritten in der Google Cloud Console finden Sie unter Google Cloud -Dienstkonto für Data Studio einrichten.
BigQuery-Projekte mit CMEK-Organisationsrichtlinien abfragen
Data Studio kann BigQuery-Tabellen, die durch kundenverwaltete Verschlüsselungsschlüssel (CMEK) geschützt sind, ohne zusätzliche Konfiguration in Data Studio abfragen. Wenn Data Studio jedoch einen Abfragejob ausführt, schreibt BigQuery die Abfrageergebnisse in eine temporäre Tabelle im Abrechnungsprojekt. Der Connector übergibt in Abfragejobanfragen keinen Cloud Key Management Service-Schlüssel.
Wenn in Ihrem Abrechnungsprojekt die Organisationsrichtlinien-Einschränkung constraints/gcp.restrictNonCmekServices für BigQuery erzwungen wird, müssen Sie in BigQuery einen Cloud KMS-Standardschlüssel für das Projekt (region-LOCATION.default_kms_key_name) für den Standort des Datasets festlegen. Wenn Sie einen Standardschlüssel für das Projekt festlegen, kann BigQuery temporäre Tabellen mit Abfrageergebnissen automatisch verschlüsseln. Außerdem werden dadurch CONDITION_NOT_MET-Fehler verhindert.