Proteja seus dados do BigQuery no Data Studio usando o VPC Service Controls, contas de serviço e chaves de criptografia gerenciadas pelo cliente (CMEK). É possível aplicar níveis de acesso baseados em IP, configurar credenciais dedicadas que oferecem suporte a relatórios automatizados e consultar projetos protegidos por CMEK.
Suporte para VPC Service Controls
O Data Studio pode se conectar com segurança a projetos do BigQuery protegidos por perímetros do VPC Service Controls (VPC-SC). O conector transmite o endereço IP do usuário final do leitor de relatórios para o BigQuery, permitindo que o Google Cloud aplique os níveis de acesso com base em IP do leitor configurados.
Limites do VPC Service Controls
Por padrão, as entregas automáticas em segundo plano, como capturas de tela de e-mails programados, alertas de limite e extrações de dados programadas, não funcionam com conjuntos de dados protegidos apenas por níveis de acesso baseados em IP. Como as tarefas em segundo plano não são executadas em um endereço IP de usuário final, o VPC Service Controls bloqueia a solicitação.
Para usar os recursos de relatórios automatizados protegidos por perímetros do VPC Service Controls, configure a conexão da fonte de dados para usar credenciais da conta de serviço ou crie um nível de acesso que permita solicitações em segundo plano.
Como o Data Studio é executado em uma infraestrutura gerenciada pelo Google com endereços IP dinâmicos e alocações de projetos, não é possível configurar perímetros do VPC Service Controls usando listas de permissões de IP estático ou regras de projeto. Para permitir o acesso do Data Studio por um perímetro do VPC Service Controls, adicione uma conta de serviço como principal nos seus níveis de acesso ou regras de entrada e saída.
Configurar uma conta de serviço do Google Cloud
As contas de serviço evitam que os relatórios sejam corrompidos se um funcionário sair da empresa e permitem o acesso seguro à rede dentro dos perímetros do VPC-SC. Em vez de delegar o acesso usando as credenciais do proprietário ou exigir que os leitores de relatórios individuais tenham acesso aos dados usando as credenciais de leitor, os administradores podem configurar uma conta de serviço dedicada do Google Cloud para consultar dados.
Para analisar as atribuições de papéis necessárias (roles/bigquery.dataViewer, roles/bigquery.jobUser) e as etapas de configuração no console do Google Cloud , consulte Configurar uma conta de serviço do Google Cloud para o Data Studio.
Consultar projetos do BigQuery com políticas da organização de CMEK
O Data Studio pode consultar tabelas do BigQuery protegidas por chaves de criptografia gerenciadas pelo cliente (CMEK) sem configuração adicional no Data Studio. No entanto, quando o Data Studio executa um job de consulta, o BigQuery grava os resultados em uma tabela temporária no projeto de faturamento. O conector não transmite uma chave do Cloud Key Management Service em solicitações de job de consulta.
Se o projeto de faturamento aplicar a restrição da política da organização constraints/gcp.restrictNonCmekServices para o BigQuery, será necessário definir uma chave padrão do Cloud KMS para o projeto (region-LOCATION.default_kms_key_name) no BigQuery para o local do conjunto de dados. Definir uma chave padrão do projeto permite que o BigQuery criptografe automaticamente as tabelas de resultados de consultas temporárias e evita erros CONDITION_NOT_MET.