Proteggi i tuoi dati BigQuery in Data Studio utilizzando i Controlli di servizio VPC, i service account e le chiavi di crittografia gestite dal cliente (CMEK). Puoi applicare livelli di accesso basati su IP, configurare credenziali dedicate che supportano la generazione di report automatizzata ed eseguire query su progetti protetti da CMEK.
Supporto per i Controlli di servizio VPC
Data Studio può connettersi in modo sicuro ai progetti BigQuery protetti dai perimetri dei Controlli di servizio VPC (VPC-SC). Il connettore passa l'indirizzo IP dell'utente finale del visualizzatore del report a BigQuery, consentendo a Google Cloud di applicare in modo forzato tutti i livelli di accesso basati su IP del visualizzatore configurati.
Limiti dei Controlli di servizio VPC
Per impostazione predefinita, le distribuzioni in background automatizzate, come gli snapshot delle email programmate, gli avvisi di soglia e le estrazioni dati programmate, non funzionano con i set di dati protetti esclusivamente da livelli di accesso basati su IP. Poiché le attività in background non vengono eseguite da un indirizzo IP dell'utente finale, i Controlli di servizio VPC bloccano la richiesta.
Per utilizzare le funzionalità di generazione di report automatici dietro i perimetri dei Controlli di servizio VPC, configura la connessione all'origine dati in modo che utilizzi le credenziali del service account o crea un livello di accesso che consenta le richieste in background.
Poiché Data Studio viene eseguito su un'infrastruttura gestita da Google con indirizzi IP dinamici e allocazioni di progetti, non puoi configurare i perimetri Controlli di servizio VPC utilizzando liste consentite di IP statici o regole di progetto. Per consentire l'accesso a Data Studio tramite un perimetro dei Controlli di servizio VPC, devi aggiungere un account di servizio come entità nei livelli di accesso o nelle regole in entrata e in uscita.
Configura un account di servizio Google Cloud
I service account impediscono l'interruzione dei report se un dipendente lascia l'azienda e consentono l'accesso sicuro alla rete all'interno dei perimetri dei Controlli di servizio VPC. Anziché delegare l'accesso utilizzando le Credenziali del proprietario o richiedere a singoli visualizzatori del report di accedere ai dati utilizzando le Credenziali del visualizzatore, gli amministratori possono configurare un service account Google Cloud dedicato per eseguire query sui dati.
Per esaminare le assegnazioni dei ruoli richiesti (roles/bigquery.dataViewer, roles/bigquery.jobUser) e i passaggi di configurazione nella console Google Cloud , consulta Configura un service account Google Cloud per Data Studio.
Esegui query sui progetti BigQuery con policy dell'organizzazione CMEK
Data Studio può eseguire query sulle tabelle BigQuery protette da chiavi di crittografia gestite dal cliente (CMEK) senza ulteriori configurazioni in Data Studio. Tuttavia, quando Data Studio esegue un job di query, BigQuery scrive i risultati della query in una tabella temporanea nel progetto di fatturazione. Il connettore non passa una chiave Cloud Key Management Service nelle richieste di job di query.
Se il tuo progetto di fatturazione applica il vincolo della policy dell'organizzazione constraints/gcp.restrictNonCmekServices per BigQuery, devi impostare una chiave Cloud KMS predefinita per il progetto (region-LOCATION.default_kms_key_name) in BigQuery per la località del set di dati. L'impostazione di una chiave predefinita per il progetto consente a BigQuery di criptare automaticamente le tabelle temporanee dei risultati delle query e di evitare errori CONDITION_NOT_MET.