Protege tus datos de BigQuery en Data Studio con los Controles del servicio de VPC, las cuentas de servicio y las claves de encriptación administradas por el cliente (CMEK). Puedes aplicar niveles de acceso basados en IP, configurar credenciales dedicadas que admitan informes automatizados y consultar proyectos protegidos por CMEK.
Compatibilidad con los Controles del servicio de VPC
Data Studio puede conectarse de forma segura a proyectos de BigQuery que están protegidos por perímetros de Controles del servicio de VPC (VPC-SC). El conector pasa la dirección IP del usuario final del visualizador del informe a BigQuery, lo que permite que Google Cloud aplique los niveles de acceso basados en la IP del visualizador configurados.
Límites de los Controles del servicio de VPC
De forma predeterminada, las entregas en segundo plano automatizadas, como las instantáneas de correo electrónico programadas, las alertas de umbral y las extracciones de datos programadas, no funcionan con conjuntos de datos que están protegidos solo por niveles de acceso basados en IP. Debido a que las tareas en segundo plano no se ejecutan desde una dirección IP de usuario final, los Controles del servicio de VPC bloquean la solicitud.
Para usar las funciones de informes automatizados detrás de los perímetros de los Controles del servicio de VPC, configura la conexión de tu fuente de datos para que use credenciales de cuenta de servicio o crea un nivel de acceso que permita solicitudes en segundo plano.
Como Data Studio se ejecuta en una infraestructura administrada por Google con direcciones IP dinámicas y asignaciones de proyectos, no puedes configurar perímetros de Controles del servicio de VPC con listas de entidades permitidas de IP estáticas ni reglas de proyectos. Para permitir el acceso de Data Studio a través de un perímetro de Controles del servicio de VPC, debes agregar una cuenta de servicio como principal en tus niveles de acceso o reglas de entrada y salida.
Configura una cuenta de servicio de Google Cloud
Las cuentas de servicio evitan que los informes se dañen si un empleado abandona la empresa y permiten el acceso seguro a la red dentro de los perímetros de VPC-SC. En lugar de delegar el acceso con las credenciales del propietario o de exigir que los visualizadores de informes individuales tengan acceso a los datos con las credenciales del visualizador, los administradores pueden configurar una cuenta de servicio de Google Cloud dedicada para consultar datos.
Para revisar las asignaciones de roles requeridas (roles/bigquery.dataViewer, roles/bigquery.jobUser) y los pasos de configuración en la consola de Google Cloud , consulta Configura una cuenta de servicio de Google Cloud para Data Studio.
Consulta proyectos de BigQuery con políticas de la organización de CMEK
Data Studio puede consultar tablas de BigQuery que están protegidas por claves de encriptación administradas por el cliente (CMEK) sin configuración adicional en Data Studio. Sin embargo, cuando Data Studio ejecuta un trabajo de consulta, BigQuery escribe los resultados de la consulta en una tabla temporal en el proyecto de facturación. El conector no pasa una clave de Cloud Key Management Service en las solicitudes de trabajos de consulta.
Si tu proyecto de facturación aplica la restricción de la política de la organización constraints/gcp.restrictNonCmekServices para BigQuery, debes establecer una clave de Cloud KMS predeterminada del proyecto (region-LOCATION.default_kms_key_name) en BigQuery para la ubicación del conjunto de datos. Establecer una clave predeterminada del proyecto permite que BigQuery encripte automáticamente las tablas de resultados de consultas temporales y evita los errores CONDITION_NOT_MET.