使用 VPC Service Controls、服務帳戶和客戶自行管理的加密金鑰 (CMEK)，保護數據分析中的 BigQuery 資料。您可以強制執行以 IP 為基礎的存取層級、設定支援自動回報功能的專用憑證，以及查詢受 CMEK 保護的專案。
支援 VPC Service Controls
數據分析可安全連線至受 VPC Service Controls (VPC-SC) 範圍保護的 BigQuery 專案。連接器會將報表檢視者的使用者 IP 位址傳遞至 BigQuery，讓 Google Cloud 強制執行任何已設定的檢視者 IP 存取層級。
VPC Service Controls 的限制
根據預設，如果資料集僅受 IP 存取層級保護，則自動背景傳送功能 (例如已排定傳送時間的電子郵件快照、門檻快訊和排定的資料擷取) 將無法運作。由於背景工作並非從使用者 IP 位址執行，因此 VPC Service Controls 會封鎖要求。
如要在 VPC Service Controls 範圍內使用自動報表功能，請將資料來源連線設為使用服務帳戶憑證，或建立允許背景要求的存取層級。
數據分析在 Google 代管的基礎架構上執行，採用動態 IP 位址和專案分配，因此您無法使用靜態 IP 許可清單或專案規則，設定 VPC Service Controls 範圍。如要允許數據分析透過 VPC Service Controls 範圍存取，您必須在存取層級或輸入和輸出規則中，將服務帳戶新增為主體。
設定 Google Cloud 服務帳戶
服務帳戶可防止員工離職時報表損毀，並允許在 VPC-SC 範圍內安全存取網路。管理員可以設定專屬的 Google Cloud 服務帳戶來查詢資料，而不必使用「擁有者的憑證」委派存取權，或要求個別報表檢視者使用「檢視者的憑證」存取資料。
如要查看必要的角色指派 (roles/bigquery.dataViewer、roles/bigquery.jobUser) 和 Google Cloud 控制台中的設定步驟，請參閱「為數據分析設定 Google Cloud 服務帳戶」。
查詢採用 CMEK 組織政策的 BigQuery 專案
數據分析可以查詢受客戶自行管理的加密金鑰 (CMEK) 保護的 BigQuery 資料表，不需在數據分析中進行額外設定。不過，當數據分析執行查詢工作時，BigQuery 會將查詢結果寫入計費專案中的臨時資料表。連接器不會在查詢工作要求中傳遞 Cloud Key Management Service 金鑰。
如果帳單專案對 BigQuery 強制執行 constraints/gcp.restrictNonCmekServices 組織政策限制，您必須在 BigQuery 中，為資料集位置設定專案預設 Cloud KMS 金鑰 (region-LOCATION.default_kms_key_name)。設定專案預設金鑰後，BigQuery 會自動加密臨時查詢結果資料表，並防止 CONDITION_NOT_MET 錯誤。