VPC Service Controls、サービス アカウント、顧客管理の暗号鍵（CMEK）を使用して、データポータルで BigQuery データを保護します。IP ベースのアクセスレベルを適用し、自動レポートをサポートする専用の認証情報を構成して、CMEK で保護されたプロジェクトに対してクエリを実行できます。
VPC Service Controls のサポート
データポータルは、VPC Service Controls（VPC-SC）境界で保護された BigQuery プロジェクトに安全に接続できます。コネクタはレポート閲覧者のエンドユーザー IP アドレスを BigQuery に渡します。これにより、 Google Cloud は構成済みの閲覧者の IP ベースのアクセスレベルを適用できます。
VPC Service Controls の上限
デフォルトでは、送信日時を設定したメール スナップショット、しきい値アラート、スケジュール設定されたデータ抽出などの自動バックグラウンド配信は、IP ベースのアクセスレベルのみで保護されているデータセットでは機能しません。バックグラウンド タスクはエンドユーザーの IP アドレスから実行されないため、VPC Service Controls はリクエストをブロックします。
VPC Service Controls の境界の背後で自動レポート機能を使用するには、サービス アカウントの認証情報を使用するようにデータソース接続を構成するか、バックグラウンド リクエストを許可するアクセスレベルを作成します。
データポータルは、動的 IP アドレスとプロジェクト割り当てを使用して Google が管理するインフラストラクチャ上で実行されるため、静的 IP 許可リストやプロジェクト ルールを使用して VPC Service Controls 境界を構成することはできません。VPC Service Controls の境界を介したデータポータルのアクセスを許可するには、アクセスレベルまたは上り（内向き）ルールと下り（外向き）ルールのプリンシパルとしてサービス アカウントを追加する必要があります。
Google Cloud サービス アカウントを設定する
サービス アカウントを使用すると、従業員が退職した場合でもレポートが破損するのを防ぐことができ、VPC-SC 境界内で安全なネットワーク アクセスが可能になります。管理者は、オーナーの認証情報を使用してアクセス権を委任したり、閲覧者の認証情報を使用して個々のレポート閲覧者にデータへのアクセス権を要求したりする代わりに、専用の Google Cloud サービス アカウントを構成してデータをクエリできます。
必要なロールの割り当て（roles/bigquery.dataViewer、roles/bigquery.jobUser）と Google Cloud コンソールでの設定手順を確認するには、データポータル用に Google Cloud サービス アカウントを設定するをご覧ください。
CMEK 組織のポリシーを使用して BigQuery プロジェクトをクエリする
データポータルでは、データポータルで追加の構成を行わなくても、顧客管理の暗号鍵（CMEK）で保護されている BigQuery テーブルに対してクエリを実行できます。ただし、データポータルがクエリジョブを実行すると、BigQuery はクエリ結果を課金プロジェクトの一時テーブルに書き込みます。コネクタは、クエリジョブ リクエストで Cloud Key Management Service 鍵を渡しません。
課金プロジェクトで BigQuery の constraints/gcp.restrictNonCmekServices 組織ポリシー制約が適用されている場合は、データセットのロケーションの BigQuery でプロジェクトのデフォルトの Cloud KMS 鍵を設定（region-LOCATION.default_kms_key_name）する必要があります。プロジェクトのデフォルト鍵を設定すると、BigQuery で一時的なクエリ結果テーブルが自動的に暗号化され、CONDITION_NOT_MET エラーを回避できます。