Présentation de la sécurité et du contrôle des accès dans BigQuery

Identity and Access Management (IAM) vous permet d'accorder un accès précis à des ressources BigQuery spécifiques et d'empêcher l'accès à d'autres ressources. IAM vous aide à appliquer le principe de sécurité du moindre privilège, qui stipule qu'aucun compte principal IAM ne doit disposer de plus d'autorisations que nécessaire.

Lorsqu'un compte principal IAM, tel qu'un utilisateur, un groupe ou un compte de service, appelle une API Cloud de Confiance by S3NS , il doit disposer des autorisations minimales nécessaires pour utiliser la ressource. Vous pouvez utiliser des rôles IAM prédéfinis et personnalisés pour accorder aux comptes principaux l'accès requis aux ressources BigQuery. Pour en savoir plus sur la gestion des accès dans Cloud de Confiance, consultez la présentation d'IAM.

Types de rôles IAM

Un rôle est un ensemble d'autorisations qui peuvent être accordées à un compte principal IAM. Vous pouvez utiliser les types de rôles suivants dans IAM pour accorder l'accès aux ressources BigQuery :

  • Les rôles prédéfinis sont gérés par Cloud de Confiance et sont compatibles avec des cas d'utilisation courants et des modèles de contrôle des accès.
  • Les rôles personnalisés fournissent un accès en fonction d'une liste d'autorisations spécifiée par l'utilisateur. Pour en savoir plus sur la création de rôles personnalisés, consultez Créer et gérer des rôles personnalisés dans la documentation IAM.

Pour déterminer si une ou plusieurs autorisations sont incluses dans un rôle IAM prédéfini, vous pouvez utiliser l'une des méthodes suivantes :

Rôles IAM dans BigQuery

Les autorisations ne sont pas attribuées directement aux utilisateurs, aux groupes ou aux comptes de service. À la place, des utilisateurs, des groupes ou des comptes de service se voient attribuer un ou plusieurs rôles prédéfinis ou personnalisés qui leur permettent d'effectuer des actions sur les ressources. Vous attribuez ces rôles sur une ressource particulière, mais ils s'appliquent également à tous les descendants de cette ressource dans la hiérarchie des ressources.

Lorsque vous attribuez plusieurs types de rôles à un utilisateur, les autorisations accordées correspondent à une combinaison des autorisations de chaque rôle.

Vous pouvez accorder l'accès aux ressources BigQuery suivantes :

  • Ensembles de données et ressources suivantes dans les ensembles de données :
    • Tables et vues
    • Routines
  • Connexions
  • Requêtes enregistrées
  • Canevas de données
  • Préparations de données
  • Pipelines
  • Dépôts

Accorder l'accès aux ressources Resource Manager

Vous pouvez configurer l'accès aux ressources BigQuery via Resource Manager en attribuant un rôle BigQuery à un compte principal, puis en attribuant ce rôle à une organisation, un dossier ou un projet.

Lorsque vous attribuez des rôles à des ressources Resource Manager telles que des organisations et des projets, vous accordez des autorisations sur toutes les ressources BigQuery de l'organisation ou du projet.

Pour en savoir plus sur l'utilisation d'IAM pour gérer l'accès aux ressources Resource Manager, consultez Gérer l'accès aux projets, aux dossiers et aux organisations dans la documentation IAM.

Accorder l'accès aux ensembles de données

Vous pouvez également attribuer des rôles au niveau de l'ensemble de données pour ne fournir l'accès qu'à un ensemble de données spécifique, sans fournir un accès complet aux autres ressources du projet. Dans la hiérarchie des ressources IAM, les ensembles de données BigQuery sont des ressources enfants de projets. Pour en savoir plus sur l'attribution de rôles au niveau de l'ensemble de données, consultez Contrôler l'accès aux ressources avec IAM.

Accorder l'accès à des ressources individuelles au sein des ensembles de données

Vous pouvez accorder l'accès à certains types de ressources dans des ensembles de données, sans fournir un accès complet aux ressources de l'ensemble de données.

Les rôles peuvent être appliqués aux ressources suivantes au sein des ensembles de données :

  • Tables et vues
  • Routines

Pour en savoir plus sur l'attribution de rôles au niveau de la table, de la vue ou de la routine, consultez Contrôler l'accès aux ressources avec IAM.

Étapes suivantes