Lindungi data BigQuery Anda di Data Studio menggunakan Kontrol Layanan VPC, akun layanan, dan kunci enkripsi yang dikelola pelanggan (CMEK). Anda dapat menerapkan tingkat akses berbasis IP, mengonfigurasi kredensial khusus yang mendukung pelaporan otomatis, dan mengkueri project yang dilindungi CMEK.
Dukungan untuk Kontrol Layanan VPC
Data Studio dapat terhubung dengan aman ke project BigQuery yang dilindungi oleh perimeter Kontrol Layanan VPC (VPC-SC). Konektor meneruskan alamat IP pengguna akhir pelihat laporan ke BigQuery, sehingga memungkinkan Google Cloud menerapkan tingkat akses berbasis IP pelihat yang dikonfigurasi.
Batasan Kontrol Layanan VPC
Secara default, pengiriman latar belakang otomatis—seperti snapshot email terjadwal, pemberitahuan nilai minimum, dan ekstrak data terjadwal—tidak berfungsi dengan set data yang hanya dilindungi oleh tingkat akses berbasis IP. Karena tugas latar belakang tidak berjalan dari alamat IP pengguna akhir, Kontrol Layanan VPC akan memblokir permintaan tersebut.
Untuk menggunakan fitur pelaporan otomatis di balik perimeter Kontrol Layanan VPC, konfigurasikan koneksi sumber data Anda agar menggunakan kredensial akun layanan atau buat tingkat akses yang mengizinkan permintaan latar belakang.
Karena Data Studio berjalan di infrastruktur yang dikelola Google dengan alamat IP dinamis dan alokasi project, Anda tidak dapat mengonfigurasi perimeter Kontrol Layanan VPC menggunakan daftar IP statis yang diizinkan atau aturan project. Untuk mengizinkan akses Data Studio melalui perimeter Kontrol Layanan VPC, Anda harus menambahkan akun layanan sebagai akun utama di tingkat akses atau aturan ingress dan egress.
Menyiapkan akun layanan Google Cloud
Akun layanan mencegah laporan rusak jika karyawan keluar dari perusahaan, dan akun ini memungkinkan akses jaringan yang aman di dalam perimeter VPC-SC. Alih-alih mendelegasikan akses menggunakan Kredensial pemilik, atau mewajibkan setiap pelihat laporan untuk memiliki akses ke data menggunakan Kredensial pelihat, administrator dapat mengonfigurasi akun layanan Google Cloud khusus untuk mengkueri data.
Untuk meninjau penetapan peran yang diperlukan (roles/bigquery.dataViewer, roles/bigquery.jobUser) dan langkah-langkah penyiapan di konsol Google Cloud , lihat Menyiapkan akun layanan Google Cloud untuk Data Studio.
Membuat kueri project BigQuery dengan kebijakan organisasi CMEK
Data Studio dapat mengkueri tabel BigQuery yang dilindungi oleh kunci enkripsi yang dikelola pelanggan (CMEK) tanpa konfigurasi tambahan di Data Studio. Namun, saat Data Studio menjalankan tugas kueri, BigQuery akan menulis hasil kueri ke tabel sementara di project penagihan. Konektor tidak meneruskan kunci Cloud Key Management Service dalam permintaan tugas kueri.
Jika project penagihan Anda menerapkan batasan kebijakan organisasi constraints/gcp.restrictNonCmekServices untuk BigQuery, Anda harus menetapkan kunci Cloud KMS default project (region-LOCATION.default_kms_key_name) di BigQuery untuk lokasi set data. Menetapkan kunci default project memungkinkan BigQuery mengenkripsi tabel hasil kueri sementara secara otomatis dan mencegah error CONDITION_NOT_MET.