Einführung in die Sicherheits- und Zugriffssteuerungen in BigQuery

Mit Identity and Access Management (IAM) können Sie detaillierte Zugriffsberechtigungen auf bestimmte Ressourcen von BigQuery gewähren und unerwünschten Zugriff auf andere Ressourcen verhindern. Mit IAM können Sie das Sicherheitsprinzip der geringsten Berechtigung anwenden, das besagt, dass kein IAM-Hauptkonto mehr Berechtigungen haben sollte, als es benötigt.

Wenn ein IAM-Hauptkonto, z. B. ein Nutzer, eine Gruppe oder ein Dienstkonto, eine Cloud de Confiance by S3NS API aufruft, muss dieses Hauptkonto die Mindestberechtigungen haben, die für die Verwendung der Ressource erforderlich sind. Sie können vordefinierte und benutzerdefinierte IAM-Rollen verwenden, um Hauptkonten den erforderlichen Zugriff auf BigQuery-Ressourcen zu gewähren. Weitere Informationen zur Zugriffsverwaltung in Cloud de Confiancefinden Sie in der IAM-Übersicht.

Arten von IAM-Rollen

Eine Rolle ist eine Sammlung von Berechtigungen, die einem IAM-Hauptkonto gewährt werden können. Sie können die folgenden Rollentypen in IAM verwenden, um Zugriff auf BigQuery-Ressourcen zu gewähren:

Um zu ermitteln, ob eine oder mehrere Berechtigungen in einer vordefinierten IAM-Rolle enthalten sind, können Sie eine der folgenden Methoden verwenden:

IAM-Rollen in BigQuery

Berechtigungen werden Nutzern, Gruppen oder Dienstkonten nicht direkt zugewiesen. Stattdessen erhalten Nutzer, Gruppen oder Dienstkonten eine oder mehrere vordefinierte oder benutzerdefinierte Rollen, die ihnen Berechtigungen zum Ausführen von Aktionen für Ressourcen gewähren. Sie weisen diese Rollen einer bestimmten Ressource zu. Sie gelten aber auch für alle Nachfolgerelemente dieser Ressource in der Ressourcenhierarchie.

Wenn Sie einem Nutzer mehrere Rollentypen zuweisen, werden ihm die Berechtigungen beider Rollen gewährt.

Sie können Zugriff auf die folgenden BigQuery-Ressourcen gewähren:

  • Datasets und diese Ressourcen innerhalb von Datasets:
    • Tabellen und Ansichten
    • Routinen
  • Verbindungen
  • Gespeicherte Abfragen
  • Data Canvases
  • Datenvorbereitungen
  • Pipelines
  • Repositories

Zugriff auf Resource Manager-Ressourcen gewähren

Sie können den Zugriff auf BigQuery-Ressourcen über Resource Manager konfigurieren, indem Sie einem Hauptkonto eine BigQuery-Rolle zuweisen und diese Rolle dann einer Organisation, einem Ordner oder einem Projekt zuweisen.

Wenn Sie Rollen für Resource Manager-Ressourcen wie Organisationen und Projekte zuweisen, gewähren Sie Berechtigungen für alle BigQuery-Ressourcen in der Organisation oder im Projekt.

Weitere Informationen dazu, wie Sie mit IAM den Zugriff auf Resource Manager-Ressourcen verwalten, finden Sie in der IAM-Dokumentation unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Zugriff auf Datasets gewähren

Sie können Rollen auf Dataset-Ebene zuweisen, um Zugriff auf ein bestimmtes Dataset zu gewähren, ohne vollen Zugriff auf die anderen Projektressourcen zu ermöglichen. In der IAM-Ressourcenhierarchie sind BigQuery-Datasets untergeordnete Ressourcen von Projekten. Weitere Informationen zum Zuweisen von Rollen auf Dataset-Ebene finden Sie unter Zugriff auf Ressourcen mit IAM steuern.

Zugriff auf einzelne Ressourcen in Datasets gewähren

Sie können Rollen Zugriff auf bestimmte Ressourcentypen in Datasets gewähren, ohne vollständigen Zugriff auf die Ressourcen des Datasets zu gewähren.

Rollen können auf die folgenden Ressourcen in Datasets angewendet werden:

  • Tabellen und Ansichten
  • Routinen

Weitere Informationen zum Zuweisen von Rollen auf Tabellen-, Ansichts- oder Routineebene finden Sie unter Zugriff auf Ressourcen mit IAM steuern.

Nächste Schritte