Conéctate a SAP Datasphere

Como administrador de BigQuery, puedes crear una conexión para acceder a los datos de SAP Datasphere. Esta conexión permite que los analistas de datos consulten datos en SAP Datasphere.

Antes de comenzar

1. Habilita la API de conexión de BigQuery.

   Habilitar la API

2. Crea un usuario de base de datos de SAP Datasphere. Toma nota del nombre de usuario, la contraseña, el nombre de host y el puerto a fin de que BigQuery se conecte.

3. Configura tu usuario de SAP Datasphere para que acepte tráfico de las direcciones IP seleccionadas mediante una de las siguientes opciones:

   • Agrega todos los rangos de direcciones IP de Google a la lista de entidades permitidas “IPs de confianza” en SAP Datasphere.
   • Para abrir el usuario de SAP Datasphere a conexiones desde todas las direcciones IP, agrega 0.0.0.0/0 a la lista de entidades permitidas.

   • Configura tu conexión con adjuntos de red para que BigQuery abra la conexión desde una dirección IP estática.

   Para obtener más información sobre cómo configurar tu usuario de SAP Datasphere, consulta Agrega una dirección IP a la lista de IP permitidas.

Roles obligatorios

Para obtener los permisos que necesitas para conectarte a SAP Datasphere, pídele a tu administrador que te otorgue los siguientes roles de IAM:

• Para crear una conexión, necesitas el rol de administrador de conexión de BigQuery (roles/bigquery.connectionAdmin) en el proyecto.
• Para configurar adjuntos de red: Administrador de Compute (roles/compute.admin) en el proyecto

Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

También puedes obtener los permisos necesarios a través de roles personalizados o cualquier otro rol predefinido.

Configura un archivo adjunto de red

Dado que las consultas federadas establecen una conexión directa con tu base de datos a través de la API de BigQuery Connection, debes permitir el tráfico de Cloud de Confiance a tu motor de base de datos. Para aumentar la seguridad, solo debes permitir el tráfico que proviene de tus consultas de BigQuery. Esta restricción de tráfico se puede lograr de dos maneras:

• Definiendo una dirección IP estática que usa una conexión de BigQuery y agregándola a las reglas de firewall de la fuente de datos externa
• Creando una VPN entre BigQuery y tu infraestructura interna, y usándola para tus consultas

Ambas técnicas se admiten a través del uso de adjuntos de red.

Limitaciones

Las conexiones con adjuntos de red están sujetas a las siguientes limitaciones:

• En el caso de las regiones estándar, los adjuntos de red deben estar ubicados en la misma región que la conexión. Para las conexiones en la multirregión US, el adjunto de red debe estar ubicado en la región us-central1. Para las conexiones en la multirregión EU, el adjunto de red debe estar ubicado en la región europe-west4.
• No puedes editar el adjunto de red después de crearlo. Para cambiar la configuración, debes volver a crear el adjunto de red.
• Los adjuntos de red no se pueden borrar, a menos que BigQuery borre los recursos asignados. Para iniciar el proceso de eliminación, comunícate con el equipo de asistencia de BigQuery.

Crea un adjunto de red

Cuando creas una conexión para la federación de consultas, puedes especificar un adjunto de red opcional que proporcione conectividad a la red de tu base de datos. Puedes crear un adjunto de red definiendo una dirección IP estática o creando una VPN. Para cualquiera de las opciones, haz lo siguiente:

1. Si aún no tienes una, crea una red y una subred de VPC.

2. Según el método de enrutamiento que elijas, realiza una de las siguientes acciones:

   • Para una dirección IP estática: Crea una puerta de enlace de Cloud NAT con una dirección IP estática, usando la red, la región y la subred que creaste.
   • En el caso de una VPN, crea una VPN que esté conectada a tu red privada.

3. Crea un adjunto de red con la red, la región y la subred que creaste.

4. Opcional: Según las políticas de seguridad de tu organización, es posible que debas configurar tu Cloud de Confiance firewall para permitir la salida. Para ello, crea una regla de firewall con la siguiente configuración:

   • Configura Destinos como Todas las instancias de la red.
   • Establece Rangos IPv4 de destino en todo el rango de direcciones IP.
   • Establece Protocolos y puertos especificados en el puerto que usa tu base de datos.

5. Configura tu firewall interno para permitir la entrada desde la dirección IP estática que creaste. Este proceso varía según la fuente de datos.

Conecta BigQuery a SAP Datasphere

Puedes conectar BigQuery a SAP Datasphere en la consola de Cloud de Confiance o la herramienta de línea de comandos de bq.

  bq mk \
  --connection \
  --location=LOCATION \
  --project_id=PROJECT_ID \
  --connector_configuration '{
    "connector_id": "saphana",
    "endpoint": {
      "host_port": "HOST_PORT"
    },
    "authentication": {
      "username_password": {
        "username": "USERNAME",
        "password": {
          "plaintext": "PASSWORD"
        }
      }
    },
    "network": {
      "private_service_connect": {
        "network_attachment": "NETWORK_ATTACHMENT"
      }
    }
  }' \
  CONNECTION_ID

Nota: Si configuraste tu conexión para usar un adjunto de red, debes ejecutar una consulta federada inicial para sincronizar tu proyecto con el adjunto de red antes de que se active por completo.

Comparte conexiones con usuarios

Puedes otorgar los siguientes roles para permitir que los usuarios consulten datos y administren conexiones:

• roles/bigquery.connectionUser: Permite que los usuarios usen conexiones para conectarse con fuentes de datos externas y ejecutar consultas en ellas.

• roles/bigquery.connectionAdmin: Permite que los usuarios administren conexiones.

Para obtener más información sobre los roles y los permisos de IAM en BigQuery, consulta Roles y permisos predefinidos.

Selecciona una de las opciones siguientes:

import com.google.api.resourcenames.ResourceName;
import com.google.cloud.bigquery.connection.v1.ConnectionName;
import com.google.cloud.bigqueryconnection.v1.ConnectionServiceClient;
import com.google.iam.v1.Binding;
import com.google.iam.v1.Policy;
import com.google.iam.v1.SetIamPolicyRequest;
import java.io.IOException;

// Sample to share connections
public class ShareConnection {

  public static void main(String[] args) throws IOException {
    // TODO(developer): Replace these variables before running the sample.
    String projectId = "MY_PROJECT_ID";
    String location = "MY_LOCATION";
    String connectionId = "MY_CONNECTION_ID";
    shareConnection(projectId, location, connectionId);
  }

  static void shareConnection(String projectId, String location, String connectionId)
      throws IOException {
    try (ConnectionServiceClient client = ConnectionServiceClient.create()) {
      ResourceName resource = ConnectionName.of(projectId, location, connectionId);
      Binding binding =
          Binding.newBuilder()
              .addMembers("group:example-analyst-group@google.com")
              .setRole("roles/bigquery.connectionUser")
              .build();
      Policy policy = Policy.newBuilder().addBindings(binding).build();
      SetIamPolicyRequest request =
          SetIamPolicyRequest.newBuilder()
              .setResource(resource.toString())
              .setPolicy(policy)
              .build();
      client.setIamPolicy(request);
      System.out.println("Connection shared successfully");
    }
  }
}

Precios

• Se aplican los precios estándar de las consultas federadas.
• El uso de la VPC está sujeto a los precios de la nube privada virtual.
• El uso de Cloud VPN está sujeto a los precios de Cloud VPN.
• El uso de Cloud NAT está sujeto a los precios de Cloud NAT.

¿Qué sigue?

• Obtén información sobre los diferentes tipos de conexión.
• Obtén más información sobre cómo administrar conexiones.
• Obtén más información sobre consultas federadas.
• Obtén información sobre cómo consultar datos de SAP Datasphere.