הגנה על נתוני BigQuery ב-Data Studio באמצעות VPC Service Controls, חשבונות שירות ומפתחות הצפנה בניהול הלקוח (CMEK). אתם יכולים לאכוף רמות גישה שמבוססות על כתובות IP, להגדיר פרטי כניסה ייעודיים שתומכים בדיווח אוטומטי ולשלוח שאילתות לפרויקטים שמוגנים באמצעות CMEK.
תמיכה ב-VPC Service Controls
Data Studio יכול להתחבר באופן מאובטח לפרויקטים ב-BigQuery שמוגנים על ידי היקפי VPC Service Controls (VPC-SC). המחבר מעביר ל-BigQuery את כתובת ה-IP של משתמש הקצה עם הרשאת הצפייה בדוח, וכך מאפשר ל- Google Cloud לאכוף את רמות הגישה שהוגדרו על סמך כתובת ה-IP של הצופה.
המגבלות של VPC Service Controls
כברירת מחדל, העברות אוטומטיות ברקע – כמו תמונות מצב מתוזמנות של אימיילים, התראות על סף וחילוצי נתונים מתוזמנים – לא פועלות עם מערכי נתונים שמוגנים רק על ידי רמות גישה שמבוססות על כתובות IP. משימות ברקע לא פועלות מכתובת IP של משתמש קצה, ולכן VPC Service Controls חוסם את הבקשה.
כדי להשתמש בתכונות של דיווח אוטומטי מאחורי היקפי ההרשאות של VPC Service Controls, צריך להגדיר את החיבור למקור הנתונים כך שישתמש בפרטי כניסה של חשבון שירות או ליצור רמת גישה שמאפשרת בקשות ברקע.
מכיוון ש-Data Studio פועל בתשתית שמנוהלת על ידי Google עם כתובות IP דינמיות והקצאות פרויקטים, אי אפשר להגדיר את גבולות ה-VPC Service Controls באמצעות רשימות היתרים של כתובות IP סטטיות או כללי פרויקטים. כדי לאפשר ל-Data Studio גישה דרך גבולות גזרה של VPC Service Controls, צריך להוסיף חשבון שירות כישות מורשית ברמות הגישה או בכללי תעבורת הנתונים הנכנסת והיוצאת.
הגדרת Google Cloud חשבון שירות
חשבונות שירות מונעים שיבושים בדוחות אם עובד עוזב את החברה, ומאפשרים גישה מאובטחת לרשת בתוך גבולות VPC-SC. במקום להקצות גישה באמצעות פרטי הכניסה של הבעלים, או לדרוש שלמשתמשים עם הרשאת צפייה בדוח תהיה גישה לנתונים באמצעות פרטי הכניסה של הצופה, אדמינים יכולים להגדיר Google Cloud חשבון שירות ייעודי לשליחת שאילתות לגבי נתונים.
כדי לבדוק את הקצאות התפקידים הנדרשות (roles/bigquery.dataViewer, roles/bigquery.jobUser) ואת שלבי ההגדרה במסוף Google Cloud , קראו את המאמר הגדרת חשבון שירות של Google Cloud ל-Data Studio.
שליחת שאילתות לפרויקטים ב-BigQuery עם מדיניות ארגונית של CMEK
ב-Data Studio אפשר לשלוח שאילתות לטבלאות ב-BigQuery שמוגנות באמצעות מפתחות הצפנה בניהול הלקוח (CMEK) בלי הגדרות נוספות ב-Data Studio. עם זאת, כש-Data Studio מריץ משימת שאילתה, BigQuery כותב את תוצאות השאילתה בטבלה זמנית בפרויקט לחיוב. המחבר לא מעביר מפתח של Cloud Key Management Service בבקשות של משימות שאילתה.
אם בפרויקט לחיוב נאכף אילוץ מדיניות הארגון constraints/gcp.restrictNonCmekServices ל-BigQuery, צריך להגדיר מפתח Cloud KMS כברירת מחדל לפרויקט (region-LOCATION.default_kms_key_name) ב-BigQuery למיקום של מערך הנתונים. הגדרת מפתח ברירת מחדל לפרויקט מאפשרת ל-BigQuery להצפין באופן אוטומטי טבלאות זמניות של תוצאות שאילתות, ומונעת שגיאות CONDITION_NOT_MET.