פתרון בעיות שקשורות לבקרת גישה

במאמר הזה מוסבר איך לפתור בעיות אבטחה שקשורות להרשאות של ניהול זהויות והרשאות גישה (IAM), לבקרת גישה ברמת העמודה ולמפתחות הצפנה בניהול הלקוח (CMEK) ב-BigQuery. בעיות בהרשאות IAM בדרך כלל גורמות לשגיאות Access Denied כמו אלה:

  • Access Denied: Project PROJECT_ID: User does not have bigquery.jobs.create permission in project PROJECT_ID.
  • Access Denied: Project PROJECT_ID: User does not have bigquery.datasets.get permission on dataset DATASET.
  • User does not have permission to query table PROJECT_ID:DATASET.TABLE.
  • Access Denied: Table PROJECT_ID:DATASET.TABLE: User does not have permission to query table PROJECT_ID:DATASET.TABLE, or perhaps it does not exist.
  • Access Denied: User PRINCIPAL does not have permission to perform bigquery.tables.getData on resource 'projects/PROJECT_ID/datasets/DATASET/tables/TABLE'.

לפני שמתחילים

  • כדי לפתור בעיות שקשורות לגישה של חשבון משתמש למשאב ב-BigQuery, ודאו שיש לכם את הרשאות ה-IAM הנדרשות.

איסוף מידע על הבעיה

השלב הראשון בפתרון בעיות שקשורות לגישה למשאבים הוא לזהות את ההרשאה החסרה, את חשבון המשתמש ב-IAM שהגישה שלו נדחתה ואת המשאב שחשבון המשתמש ניסה לגשת אליו.

קבלת מידע מהשגיאה או מהיסטוריית המשימות

כדי לקבל מידע על חשבון המשתמש, המשאב וההרשאות, בודקים את הפלט מכלי שורת הפקודה של BigQuery, את התגובה מה-API או את BigQuery במסוף Cloud de Confiance .

לדוגמה, אם תנסו להריץ שאילתה בלי הרשאות מתאימות, תופיע שגיאה כמו זו שמוצגת בכרטיסייה Job information בקטע Query results במסוף Cloud de Confiance .

שגיאת "הגישה נדחתה" בכרטיסייה Job Information בקטע Query Results.

בודקים את השגיאה כדי לזהות את חשבון המשתמש, המשאב וההרשאות.

במקרים מסוימים, יכול להיות שתוכלו לבקש את ההרשאות החסרות ישירות מהודעת השגיאה. למידע נוסף, קראו את המאמר הודעות שגיאה בנושא הרשאות במסמכי התיעוד של IAM.

קבלת מידע מיומני הביקורת של Cloud

אם הודעת השגיאה היא כללית, חסר בה מידע או שהפעולה נכשלה בתהליך ברקע, אפשר להשתמש ב-Logs Explorer של יומני הביקורת של Cloud כדי לקבל מידע על השגיאה.

  1. נכנסים לדף Logs Explorer במסוף Cloud de Confiance .

    כניסה לדף Logs Explorer

    אפשר גם לבחור בתפריט הניווט את האפשרות Monitoring > Logs Explorer.

  2. ב-Logs Explorer, בוחרים באפשרות Project logs בתור היקף היומנים.

  3. בחלון השאילתה, מזינים את השאילתה הבאה כדי לקבל שגיאות שקשורות להרשאות מיומני הגישה לנתונים של BigQuery:

    resource.type="bigquery_resource" AND
logName="projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access" AND
protoPayload.status.message:"Access Denied" OR
protoPayload.status.message:"Permission denied" OR
protoPayload.status.code=7

    מחליפים את PROJECT_ID במזהה הפרויקט.

  4. בתוצאות השאילתה, מרחיבים את הרשומה ביומן שמתאימה לפעולה שנכשלה.

  5. בקטע protoPayload, מרחיבים את המערך authorizationInfo ואז מרחיבים כל צומת במערך authorizationInfo.

    המערך authorizationInfo מציג כל בדיקת הרשאות שבוצעה במהלך הקריאה ל-API.

  6. כדי לראות את הסיבה לשגיאה, מחפשים את הרשומה granted: false. ברשומה granted: false מוצגים הפרטים הבאים:

    • ‫permission: מחרוזת ההרשאה ב-IAM שנבדקה. לדוגמה, bigquery.tables.getData.
    • ‫resource: השם המלא של המשאב שחשבון המשתמש ניסה לגשת אליו. לדוגמה, projects/myproject/datasets/mydataset/tables/mytable.
    • ‫principalEmail (אם זמין): החשבון הראשי שניסה לבצע את הפעולה, שמופיע ב-protoPayload.authenticationInfo.

    הקטע authorizationInfo של protoPayload, שבו מוצגים ההרשאה, המשאב ו-principalEmail.

שימוש בכלי הניתוח למדיניות כדי לנתח את מדיניות ההרשאות

כלי הניתוח למדיניות מאפשר לכם לגלות לאילו חשבונות משתמשים ב-IAM יש גישה למשאבים של BigQuery, על סמך כללי מדיניות ההרשאות ב-IAM.

אחרי שאוספים מידע על השגיאה בהרשאות, אפשר להשתמש בכלי הניתוח למדיניות כדי להבין למה לחשבון המשתמש אין את הגישה הנדרשת. הכלי הזה מנתח את כל כללי המדיניות הרלוונטיים, החברויות בקבוצות Google והירושה ממשאבי הורה כמו פרויקט, תיקייה והארגון שלכם.

כדי להשתמש בכלי הניתוח למדיניות, יוצרים שאילתת ניתוח, מציינים את היקף הניתוח ומריצים את השאילתה.

  1. במסוף Cloud de Confiance , נכנסים לדף כלי הניתוח למדיניות.

    מעבר לכלי הניתוח למדיניות

    לחלופין, בתפריט הניווט בוחרים באפשרות IAM & Admin > כלי הניתוח למדיניות.

  2. לוחצים על יצירת שאילתה בהתאמה אישית.

  3. בדף Configure your query, מזינים את המידע שאספתם קודם:

    1. בקטע Select the scope, בשדה Select query scope, מוודאים שהפרויקט הנוכחי מופיע או לוחצים על Browse כדי לבחור משאב אחר.

    2. בקטע Set the query parameters, בוחרים באפשרות Principal בשדה Parameter 1, ובשדה Principal מזינים את כתובת האימייל של המשתמש, הקבוצה או חשבון השירות.

    3. לוחצים על הוספת פרמטר.

    4. בשדה Parameter 2, בוחרים באפשרות Permission, ובשדה Permission לוחצים על Select, בוחרים את ההרשאה של BigQuery ולוחצים על Add. לדוגמה, בוחרים באפשרות bigquery.tables.getData.

    5. לוחצים על הוספת פרמטר.

    6. בשדה Parameter 3, בוחרים באפשרות Resource, ובשדה Resource מזינים את השם המלא של המשאב. שם המשאב חייב לכלול את הקידומת של השירות, כמו בדוגמאות הבאות:

      • פרויקט ב-BigQuery: //cloudresourcemanager.googleapis.com/projects/PROJECT_ID
      • מערך נתונים ב-BigQuery: //bigquery.googleapis.com/projects/PROJECT_ID/datasets/DATASET
      • טבלה ב-BigQuery: //bigquery.googleapis.com/projects/PROJECT/datasets/DATASET/tables/TABLE

  4. בחלונית Custom query, לוחצים על Analyze > Run query.

  5. בודקים את תוצאות השאילתה. התוצאה יכולה להיות אחת מהאפשרויות הבאות:

    • רשימה ריקה. אם לא מופיעות תוצאות, סימן שלחשבון המשתמש אין את ההרשאה הנדרשת. תצטרכו להקצות לחשבון המשתמש תפקיד שכולל את ההרשאות המתאימות.
    • תוצאה אחת או יותר. אם הכלי מוצא מדיניות הרשאה, יש סוג מסוים של גישה. לוחצים על View Binding בכל תוצאה כדי לראות את התפקידים שנותנים גישה למשאב שחשבון המשתמש חבר בו. קישור המדיניות מראה אם הגישה ניתנת דרך חברות בקבוצה או בירושה, או אם הגישה נדחית על ידי תנאי IAM או מדיניות דחייה ב-IAM.

מציאת התפקיד הנכון ב-IAM שנותן את ההרשאות הנדרשות

אחרי שמוודאים שלחשבון המשתמש אין גישה מספיקה, השלב הבא הוא למצוא את התפקיד המתאים ב-IAM, מוגדר מראש או בהתאמה אישית, שנותן את ההרשאות הנדרשות. התפקיד שבוחרים צריך להיות תואם לעיקרון של הרשאות מינימליות.

אם בארגון שלכם משתמשים בתפקידים בהתאמה אישית, אתם יכולים למצוא את התפקיד הנכון על ידי הצגת רשימה של כל התפקידים בהתאמה אישית שנוצרו בפרויקט או בארגון. לדוגמה, בדף Roles במסוף Cloud de Confiance , אפשר לסנן את הרשימה לפי Type:Custom כדי לראות רק תפקידים בהתאמה אישית.

כדי למצוא את התפקיד הנכון שהוגדר מראש ב-IAM:

  1. פותחים את הקטע "הרשאות ב-BigQuery" בדף "תפקידים והרשאות של IAM ב-BigQuery".

  2. בשורת החיפוש Enter a permission, מזינים את ההרשאה שקיבלתם מהודעת השגיאה, מהיסטוריית המשימות או מיומני הביקורת. לדוגמה, bigquery.tables.getData.

    בתוצאות החיפוש יוצגו כל התפקידים המוגדרים מראש ב-BigQuery שכוללים את ההרשאה.

  3. מיישמים את העיקרון של הרשאות מינימליות: ברשימת התפקידים, בוחרים את התפקיד עם הכי פחות הרשאות שמעניק את ההרשאות הנדרשות. לדוגמה, אם חיפשתם את bigquery.tables.getData כדי לתת את היכולת לשלוח שאילתות לגבי נתוני טבלה, התפקיד BigQuery Data Viewer הוא התפקיד עם הכי פחות הרשאות שמעניק את ההרשאה הזו.

  4. מקצים לחשבון המשתמש את התפקיד המתאים. במאמר בקרת גישה למשאבים באמצעות IAM מוסבר איך מקצים תפקיד IAM למשאב ב-BigQuery.

לא אישרת את התנאים וההגבלות של BigQuery

מחרוזת השגיאה: BigQuery Terms of Service have not been accepted

שגיאת ה-HTTP‏ 403 Forbidden (reason: termsOfServiceNotAccepted) מתרחשת כשלא מאשרים את התנאים וההגבלות של BigQuery. השגיאה לא נגרמת בגלל שחסרות הרשאות IAM. היא יכולה לחזור בבקשות כמו יצירת מערך נתונים או טעינת נתונים.

כדי לפתור את הבעיה:

  1. נכנסים לדף BigQuery במסוף Cloud de Confiance .

    כניסה ל-BigQuery

  2. אם מופיע דף קבלת פנים, בוחרים את המדינה, מסמנים את התיבה Terms of Service ולוחצים על Agree and continue. למידע נוסף, קראו את המאמר הפעלת ארגז החול של BigQuery.

אחרי שמאשרים את התנאים וההגבלות, מנסים שוב לשלוח את הבקשה.

פתרון בעיות שקשורות לשגיאות של הפרת מדיניות

אם קיבלתם שגיאת HTTP 403 PERMISSION_DENIED ב-BigQuery עם סיבת השגיאה policyViolation, זה מצביע על כשל שנגרם בגלל מדיניות הארגון, גבולות נתונים או VPC Service Controls.

בקטעים הבאים מתוארות הודעות השגיאה הנפוצות ביותר שקשורות לסיבת השגיאה הזו, מה גורם להן ואיך לפתור אותן.

הבקשה אסורה לפי מדיניות הארגון

מחרוזת השגיאה: VPC Service Controls: Request is prohibited by organization's policy. vpcServiceControlsUniqueIdentifier: VPC_SERVICE_CONTROLS_UNIQUE_IDENTIFIER

האבחון

הבקשה הגיעה מכתובת רשת או מלקוח שנמצאים מחוץ לגבולות הגזרה של VPC Service Controls, או שהבקשה הפרה את הכללים שהוגדרו לתעבורת נתונים נכנסת ויוצאת בסביבת העבודה. זה קורה לעיתים קרובות כשהשאילתה כוללת כמה פרויקטים. לדוגמה, פרויקט החיוב של השאילתה נמצא מחוץ להיקף האבטחה של פרויקט הנתונים.

רזולוציה

  1. מאתרים את המזהה הייחודי. מאתרים את ה-vpcServiceControlsUniqueIdentifier שמופיע בהודעת השגיאה. אפשר להשתמש במזהה הזה כדי לסנן את Cloud de Confiance by S3NSב-Logs Explorer, לאתר את היומן התואם של VPC Service Controls ולמצוא את הסיבה:

    protoPayload.metadata.@type="type.googleapis.com/google.cloud.audit.VpcServiceControlAuditMetadata"
protoPayload.metadata.vpcServiceControlsUniqueId="VPC_SERVICE_CONTROLS_UNIQUE_IDENTIFIER"

    מחפשים את הערך violationReason בקטע protoPayload.metadata.violationReason. אחרי שמזהים את הבעיה, בודקים את הפרטים הנוספים ברשומת היומן ופועלים לפי המדריך לפתרון בעיות ב-VPC Service Controls. כדאי גם להשתמש בכלי לניתוח הפרות.

  2. תיקון החיוב בפרויקטים שונים בשאילתות חוצות-פרויקטים, ודאו שהפרויקט לחיוב שמריץ את השאילתה נמצא באותו היקף כמו הנתונים ששלחתם לגביהם שאילתה בתוך ההיקף. במקרה הצורך, אפשר לציין פרויקט לחיוב שתואם לדרישות באופן ידני באמצעות הכלי לבחירת פרויקטים במסוף Cloud de Confiance , הדגל --project_id בכלי שורת הפקודה של BigQuery או הבקשה ל-API או לספריית הלקוח.

  3. אימות רמות הגישה. מוודאים שרשת הלקוח, כתובת ה-IP או חשבון המשתמש מורשים באמצעות Access Context Manager. כדי לאפשר למשתמשים לגשת לסביבות מוגנות, צריך להגדיר במסוףCloud de Confiance כללי תעבורת נתונים נכנסת (ingress) ספציפיים.

הייצוא ל-Google Drive חסום בפרויקטים שבהם מופעל VPC Service Controls

מחרוזת השגיאה: Export to Google Drive is blocked for projects with VPC-SC enabled

האבחון

‫Google Drive לא תומך ב-VPC Service Controls. מכיוון שאי אפשר לאכוף את היקף האבטחה ב-Google Drive, כדי למנוע זליגת נתונים, BigQuery משבית באופן אוטומטי את הייצוא של תמציות API ל-Google Drive בכל בקשה שמקורה בתוך גבולות VPC Service Controls.

רזולוציה

במקום לייצא ישירות ל-Google Drive, חלצו את תוצאות השאילתה לקטגוריה של Cloud Storage שנמצאת באותו מתחם VPC Service Controls, או שמרו את התוצאות כקובץ מקומי.

טבלאות חיצוניות של Google Drive חסומות בפרויקטים שבהם מופעל VPC Service Controls

מחרוזת השגיאה: Google Drive external tables are blocked for projects with VPC-SC enabled

האבחון

כברירת מחדל, VPC Service Controls לא חוסם שאילתות לטבלאות חיצוניות ב-Google Drive (כמו גיליונות מקושרים). עם זאת, השגיאה הזו מופיעה כי Cloud de Confiance by S3NS הארגון ביקש במפורש ש- Cloud de Confiance by S3NSיאכוף הגדרת חסימה מחמירה בפרויקט, כדי לשנות את התנהגות ברירת המחדל המתירנית ולמנוע שאילתות נכנסות לנתונים ב-Google Drive מתוך גבולות ההגנה של VPC Service Controls.

רזולוציה

מייבאים את הנתונים מהקובץ ב-Google Sheets או ב-Google Drive ישירות לטבלה רגילה ב-BigQuery בתוך ההיקף של VPC Service Controls, במקום לשלוח שאילתות באופן דינמי כטבלה מאוחדת חיצונית. אפשר גם לפנות לאדמין הפנימי של Cloud כדי לדון בגבולות ייצוא הנתונים של הארגון.

הייצוא ל-Google Drive חסום בפרויקט שלך

מחרוזת השגיאה: Export to Google Drive is blocked for your project.

האבחון

גם בלי מתחם VPC Service Controls, האדמינים של Cloud de Confiance by S3NS ביקשו להחיל על הפרויקט הגדרה ארגונית ספציפית ומחמירה, שמונעת את כל יכולות חילוץ הנתונים ל-Google Drive.

רזולוציה

בחרו יעד חלופי לחילוץ, כמו קטגוריה של Cloud Storage או קובץ מקומי, או פנו לאדמין הפנימי של Cloud כדי לדון בגבולות ייצוא הנתונים של הארגון.

המיקום מפר את המגבלה של מדיניות הארגון

מחרוזת השגיאה: LOCATION violates constraint CONSTRAINT_NAME on the resource projects/PROJECT_ID או LOCATION violates constraint CONSTRAINT_NAME on the resource projects/PROJECT_ID/datasets/DATASET_ID

האבחון

האדמין שלכם ב-Cloud הגדיר אילוץ על מדיניות הארגון כדי להגביל את המיקומים שבהם אפשר ליצור או לנתח משאבים. השגיאה הזו מופיעה בדרך כלל במקרים הבאים:

  • יצירת מערך נתונים באזור גיאוגרפי לא מורשה (לדוגמה, אזור שמוגבל על ידי constraints/gcp.resourceLocations).
  • ניסיון להשתמש ב-BigQuery Omni בעננים חיצוניים כשהדבר אסור (לדוגמה, חסום על ידי constraints/bigquery.disableBQOmniAWS או constraints/bigquery.disableBQOmniAzure).

רזולוציה

  1. כדי להבין איזו פעולה נחסמת, בודקים את הערך המדויק של CONSTRAINT_NAME שמופיע בהודעת השגיאה.
  2. בוחרים אזור אחר לנתונים, שלא חסום, או מבקשים ממנהל החשבון הארגוני לבדוק את מדיניות הארגון ברמת התיקייה או הארגון.Cloud de Confiance by S3NS פרטים נוספים זמינים במאמר הבנייה והגדרה של מיקומי משאבים.

פתרון בעיות בבקרת גישה ברמת העמודה

בקטעים הבאים מוסבר איך לפתור בעיות שקשורות לבקרת גישה ברמת העמודה ולתגי מדיניות של Data Catalog.

אני לא רואה את התפקידים של Data Catalog

אם אתם לא רואים תפקידים כמו Data Catalog Fine-Grained Reader, יכול להיות שלא הפעלתם את Data Catalog API בפרויקט. בקטע לפני שמתחילים מוסבר איך מפעילים את Data Catalog API. התפקידים של Data Catalog מופיעים כמה דקות אחרי שמפעילים את Data Catalog API.

אני לא מצליח/ה לראות את הדף "טקסונומיות"

כדי לראות את הדף Policy tag taxonomies במסוףCloud de Confiance , צריך הרשאות נוספות. לדוגמה, לתפקיד אדמין של תגי מדיניות ב-Data Catalog יש גישה לדף Taxonomies.

אכפתי תגי מדיניות, אבל נראה שזה לא עובד

אם אתם עדיין מקבלים תוצאות של שאילתות לחשבון שלא אמורה להיות לו גישה, יכול להיות שהחשבון מקבל תוצאות שנשמרו במטמון. באופן ספציפי, אם הרצתם בעבר את השאילתה בהצלחה ואז אכפתם תגי מדיניות, יכול להיות שאתם מקבלים תוצאות ממטמון תוצאות השאילתה. כברירת מחדל, תוצאות השאילתות נשמרות במטמון למשך 24 שעות. השאילתה תיכשל באופן מיידי אם תשביתו את המטמון של התוצאות. למידע נוסף על שמירה במטמון, ראו ההשפעה של בקרת גישה ברמת העמודה.

באופן כללי, עדכוני IAM מופצים תוך כ-30 שניות. יכול להיות שיחלפו עד 30 דקות עד שהשינויים בהיררכיית תגי המדיניות יתעדכנו.

אין לי הרשאה לקרוא מטבלה עם אבטחה ברמת העמודה

אתם צריכים את התפקיד "קורא עם הרשאות גישה מפורטות" או את התפקיד "קורא עם הרשאות גישה מוסתרות" ברמות שונות, כמו ארגון, תיקייה, פרויקט ותג מדיניות. התפקיד "קורא עם הרשאות גישה פרטניות" מעניק גישה לנתונים גולמיים, והתפקיד "קורא עם הרשאות גישה לנתונים מוסתרים" מעניק גישה לנתונים מוסתרים. אפשר להשתמש בפותר הבעיות שקשורות למדיניות של IAM כדי לבדוק את ההרשאה הזו ברמת הפרויקט.

הגדרתי בקרת גישה מפורטת (FGAC) בטקסונומיה של תגי המדיניות, אבל המשתמשים רואים נתונים מוגנים

כדי לפתור את הבעיה, צריך לוודא את הפרטים הבאים:

  • בדף Policy tag taxonomies ב-Security center של BigQuery, מוודאים שהמתג Enforce access control במצב On.

  • מוודאים שהשאילתות לא משתמשות בתוצאות של שאילתות שנשמרו במטמון. אם אתם משתמשים בכלי שורת הפקודה של BigQuery כדי לבדוק את השאילתות, השתמשו בדגל --nouse_cache כדי להשבית את המטמון של השאילתות. לדוגמה:

    bq query --nouse_cache --use_legacy_sql=false "SELECT * EXCEPT (customer_pii) FROM my_table;"

שיקולים בהעברת פרויקטים

תגי מדיניות וטקסונומיות נמצאים בתוך Cloud de Confiance by S3NS ארגון ספציפי, והם לא משויכים מחדש באופן אוטומטי כשמעבירים פרויקט לארגון חדש. אם מעבירים לארגון אחר פרויקט שמשתמש בתגי מדיניות לבקרת גישה ברמת העמודה, מתרחשות הבעיות הבאות:

  • אי אפשר יותר לנהל את תגי המדיניות במסוף Cloud de Confiance בפרויקט שהועבר.
  • אי אפשר להחיל את תגי המדיניות האלה על עמודות חדשות בפרויקט שהועבר.
  • יכול להיות שעדיין יופיעו אמצעי בקרת גישה קיימים ברמת העמודה, אבל הקישור לטקסונומיה של המקור בארגון המקורי לא יפעל למטרות ניהול.

כדי לפתור את הבעיה, צוות התמיכה של Cloud de Confiance צריך לשייך מחדש באופן ידני את הטקסונומיה לארגון החדש. אם העברתם פרויקט עם תגי מדיניות ונתקלתם בבעיות האלה, פנו ל-Cloud Customer Care.

פתרון בעיות במפתחות הצפנה בניהול הלקוח

ברשימה הבאה מתוארות שגיאות נפוצות והפתרונות המומלצים כשמשתמשים במפתחות הצפנה בניהול הלקוח (CMEK) עם Cloud Key Management Service:

שגיאה: Please grant Cloud KMS CryptoKey Encrypter/Decrypter role
פתרון: לחשבון השירות של BigQuery שמשויך לפרויקט אין מספיק הרשאות IAM כדי לפעול במפתח Cloud KMS שצוין. כדי להעניק את הרשאת ה-IAM הנדרשת, פועלים לפי ההוראות שבהודעת השגיאה או בקטע מתן הרשאת הצפנה ופענוח.
שגיאה: Existing table encryption settings don't match encryption settings specified in the request
פתרון: השגיאה הזו יכולה לקרות כשהגדרות ההצפנה של טבלת היעד לא תואמות להגדרות ההצפנה בבקשה. כדי לפתור את הבעיה, צריך להשתמש ב-write disposition של TRUNCATE כדי להחליף את הטבלה, או לציין טבלת יעד אחרת.
שגיאה: This region is not supported
פתרון: האזור של מפתח Cloud KMS לא תואם לאזור של מערך הנתונים ב-BigQuery של טבלת היעד. כדי לפתור את הבעיה, צריך לבחור מפתח באזור שתואם למערך הנתונים, או לטעון נתונים למערך נתונים שתואם לאזור של המפתח.
שגיאה: Your administrator requires that you specify an encryption key for queries in project PROJECT_ID.
פתרון: מדיניות הארגון מנעה יצירת משאב או הרצת שאילתה. מידע נוסף על המדיניות הזו זמין במאמר דרישה לשימוש במפתחות CMEK בכל המשאבים.
שגיאה: Your administrator prevents using KMS keys from project KMS_PROJECT_ID to protect resources in project PROJECT_ID.
פתרון: מדיניות הארגון מנעה יצירת משאב או הרצת שאילתה. מידע נוסף על המדיניות הזו זמין במאמר הגבלת מפתחות Cloud KMS לפרויקט BigQuery.

המאמרים הבאים