Protégez vos données BigQuery dans Data Studio à l'aide de VPC Service Controls, de comptes de service et de clés de chiffrement gérées par le client (CMEK). Vous pouvez appliquer des niveaux d'accès basés sur l'adresse IP, configurer des identifiants dédiés compatibles avec les rapports automatisés et interroger des projets protégés par CMEK.
Prise en charge de VPC Service Controls
Data Studio peut se connecter de manière sécurisée à des projets BigQuery protégés par des périmètres VPC Service Controls (VPC-SC). Le connecteur transmet l'adresse IP de l'utilisateur final du lecteur de rapports à BigQuery, ce qui permet à Google Cloud d'appliquer tous les niveaux d'accès basés sur l'adresse IP du lecteur configurés.
Limites de VPC Service Controls
Par défaut, les envois automatisés en arrière-plan (comme les instantanés d'e-mails programmés, les alertes de seuil et les extractions de données programmées) ne fonctionnent pas avec les ensembles de données protégés uniquement par des niveaux d'accès basés sur l'adresse IP. Comme les tâches en arrière-plan ne sont pas exécutées à partir de l'adresse IP d'un utilisateur final, VPC Service Controls bloque la requête.
Pour utiliser les fonctionnalités de reporting automatisé derrière des périmètres VPC Service Controls, configurez la connexion de votre source de données de sorte qu'elle utilise des identifiants de compte de service ou créez un niveau d'accès qui autorise les requêtes en arrière-plan.
Étant donné que Data Studio s'exécute sur une infrastructure gérée par Google avec des adresses IP dynamiques et des allocations de projets, vous ne pouvez pas configurer de périmètres VPC Service Controls à l'aide de listes d'autorisation d'adresses IP statiques ou de règles de projet. Pour autoriser l'accès à Data Studio via un périmètre VPC Service Controls, vous devez ajouter un compte de service en tant que compte principal dans vos niveaux d'accès ou vos règles d'entrée et de sortie.
Configurer un compte de service Google Cloud
Les comptes de service empêchent les rapports de se casser si un employé quitte l'entreprise, et ils permettent un accès réseau sécurisé dans les périmètres VPC-SC. Au lieu de déléguer l'accès à l'aide des identifiants du propriétaire ou de demander à chaque lecteur de rapports d'avoir accès aux données à l'aide des identifiants du lecteur, les administrateurs peuvent configurer un compte de service Google Cloud dédié pour interroger les données.
Pour examiner les attributions de rôles requises (roles/bigquery.dataViewer, roles/bigquery.jobUser) et les étapes de configuration dans la console Google Cloud , consultez Configurer un compte de service Google Cloud pour Data Studio.
Interroger des projets BigQuery avec des règles d'administration CMEK
Data Studio peut interroger des tables BigQuery protégées par des clés de chiffrement gérées par le client (CMEK) sans configuration supplémentaire dans Data Studio. Toutefois, lorsque Data Studio exécute un job de requête, BigQuery écrit les résultats de la requête dans une table temporaire du projet de facturation. Le connecteur ne transmet pas de clé Cloud Key Management Service dans les requêtes de job de requête.
Si votre projet de facturation applique la contrainte de règle d'administration constraints/gcp.restrictNonCmekServices pour BigQuery, vous devez définir une clé Cloud KMS par défaut pour le projet (region-LOCATION.default_kms_key_name) dans BigQuery pour l'emplacement de l'ensemble de données. Définir une clé par défaut pour le projet permet à BigQuery de chiffrer automatiquement les tables de résultats de requêtes temporaires et d'éviter les erreurs CONDITION_NOT_MET.