Routine autorizzate

Le routine autorizzate ti consentono di condividere i risultati delle query con utenti o gruppi specifici senza concedere loro l'accesso alle tabelle sottostanti che hanno generato i risultati. Ad esempio, una routine autorizzata può calcolare un'aggregazione sui dati o cercare un valore di tabella e utilizzarlo in un calcolo.

Per impostazione predefinita, se un utente richiama una routine, deve avere accesso in lettura ai dati nella tabella. In alternativa, puoi autorizzare la routine ad accedere al set di dati che contiene la tabella a cui viene fatto riferimento. Una routine autorizzata può eseguire query sulle tabelle nel set di dati, anche se l'utente che chiama la routine non può eseguire query direttamente su queste tabelle.

È possibile autorizzare i seguenti tipi di routine:

• Funzioni tabella
• Funzioni definite dall'utente (UDF)
• Stored procedure

Attenzione: le stored procedure autorizzate come routine hanno accesso DDL e DML. Queste procedure possono creare, modificare ed eliminare oggetti di database. Le entità con accesso alle stored procedure autorizzate possono ignorare le autorizzazioni IAM ed eseguire azioni che normalmente vengono loro negate. Concedi l'accesso alle stored procedure autorizzate solo ai principal di cui ti fidi per l'esecuzione completa della procedura.

Autorizzare le routine

Per autorizzare una routine, utilizza la console Google Cloud , lo strumento a riga di comando bq o l'API REST:

Console

1. Vai alla pagina BigQuery nella console Google Cloud .

   Vai a BigQuery

2. Nel riquadro a sinistra, fai clic su Explorer:

   

   Se non vedi il riquadro a sinistra, fai clic su Espandi riquadro a sinistra per aprirlo.

3. Nel riquadro Explorer, espandi il progetto, fai clic su Set di dati e poi seleziona un set di dati.

4. Nel riquadro dei dettagli, fai clic su Condividi > Autorizza routine.

5. Nella pagina Routine autorizzate, nella sezione Autorizza routine, seleziona Progetto, Set di dati e Routine per la routine che vuoi autorizzare.

6. Fai clic su Aggiungi autorizzazione.

bq

1. Utilizza il comando bq show per ottenere la rappresentazione JSON del set di dati a cui vuoi che la routine acceda. L'output del comando è una rappresentazione JSON della risorsa Dataset. Salva il risultato in un file locale.

   bq show --format=prettyjson TARGET_DATASET > dataset.json

   Sostituisci TARGET_DATASET con il nome del set di dati a cui la routine può accedere.

2. Modifica il file per aggiungere il seguente oggetto JSON all'array access nella risorsa Dataset:

   {
    "routine": {
      "datasetId": "DATASET_NAME",
      "projectId": "PROJECT_ID",
      "routineId": "ROUTINE_NAME"
    }
   }

   Dove:

   • DATASET_NAME è il nome del set di dati che contiene la routine.
   • PROJECT_ID è l'ID progetto del progetto che contiene la routine.
   • ROUTINE_NAME è il nome della routine.

3. Utilizza il comando bq update per aggiornare il set di dati.

   bq update --source dataset.json TARGET_DATASET

API

1. Chiama il metodo datasets.get per recuperare il set di dati a cui vuoi che la routine acceda. Il corpo della risposta contiene una rappresentazione della risorsa Dataset.

2. Aggiungi il seguente oggetto JSON all'array access nella risorsa Dataset:

   {
    "routine": {
      "datasetId": "DATASET_NAME",
      "projectId": "PROJECT_ID",
      "routineId": "ROUTINE_NAME"
    }
   }

   Dove:

   • DATASET_NAME è il nome del set di dati che contiene la UDF.
   • PROJECT_ID è l'ID del progetto che contiene la funzione definita dall'utente.
   • ROUTINE_NAME è il nome della routine.

3. Chiama il metodo dataset.update con la rappresentazione Dataset modificata.

Nota: se modifichi una routine eseguendo un'istruzione CREATE OR REPLACE (CREATE OR REPLACE FUNCTION, CREATE OR REPLACE PROCEDURE o CREATE OR REPLACE TABLE FUNCTION), devi autorizzare nuovamente la routine.

Quote e limiti

Le routine autorizzate sono soggette ai limiti del set di dati. Per maggiori informazioni, consulta la pagina Limiti dei set di dati.

Esempio di routine autorizzata

Di seguito è riportato un esempio end-to-end di creazione e utilizzo di una UDF autorizzata.

1. Crea due set di dati denominati private_dataset e public_dataset. Per ulteriori informazioni sulla creazione di un set di dati, vedi Creare un set di dati.

2. Esegui la seguente istruzione per creare una tabella denominata private_table in private_dataset:

   CREATE OR REPLACE TABLE private_dataset.private_table
   AS SELECT key FROM UNNEST(['key1', 'key1','key2','key3']) key;
   

3. Esegui questa istruzione per creare una UDF denominata count_key in public_dataset. La funzione definita dall'utente include un'istruzione SELECT su private_table.

   CREATE OR REPLACE FUNCTION public_dataset.count_key(input_key STRING)
   RETURNS INT64
   AS
   ((SELECT COUNT(1) FROM private_dataset.private_table t WHERE t.key = input_key));
   

4. Concedi il ruolo bigquery.dataViewer a un utente nel set di dati public_dataset. Questo ruolo include l'autorizzazione bigquery.routines.get, che consente all'utente di chiamare la routine. Per informazioni su come assegnare i controlli dell'accesso a un set di dati, vedi Controllare l'accesso ai set di dati.

   Nota :anziché utilizzare un ruolo integrato, valuta la possibilità di creare un ruolo personalizzato con autorizzazioni minime. Per saperne di più, vedi Creazione e gestione dei ruoli personalizzati.

5. A questo punto, l'utente dispone dell'autorizzazione per chiamare la routine count_key ma non può accedere alla tabella in private_dataset. Se l'utente tenta di chiamare la routine, riceve un messaggio di errore simile al seguente:

   Access Denied: Table myproject:private_dataset.private_table: User does
   not have permission to query table myproject:private_dataset.private_table.
   

6. Utilizzando lo strumento a riga di comando bq, esegui il comando show come segue:

   bq show --format=prettyjson private_dataset > dataset.json

   L'output viene salvato in un file locale denominato dataset.json.

7. Modifica dataset.json per aggiungere il seguente oggetto JSON all'array access:

   {
    "routine": {
      "datasetId": "public_dataset",
      "projectId": "PROJECT_ID",
      "routineId": "count_key"
    }
   }

   Sostituisci PROJECT_ID con l'ID progetto per public_dataset.

8. Utilizzando lo strumento a riga di comando bq, esegui il comando update come segue:

   bq update --source dataset.json private_dataset

9. Per verificare che la UDF abbia accesso a private_dataset, l'utente può eseguire la query seguente:

   SELECT public_dataset.count_key('key1');