安全中心總覽

本文說明Google Cloud 控制台中的 BigQuery 安全中心。您可以使用安全中心分析貴機構的資料安全性設定檔，設定及管理資料列層級和資料欄層級安全政策，以及管理資料治理標記和政策標記。

事前準備

如要查看安全中心的資訊，您必須具備下列條件：

如果尚未啟用，請啟用 Dataplex API。

啟用 API 所需的角色

如要啟用 API，您必須具備 serviceusage.services.enable 權限。如果您建立了專案，可能已透過擁有者角色 (roles/owner) 取得這項權限。否則，您可以透過服務使用情形管理員角色 (roles/serviceusage.serviceUsageAdmin) 取得這項權限。瞭解如何授予角色。

啟用 API

必要的角色

如要取得從 BigQuery「Security center」(安全中心) 頁面管理及監控安全性設定所需的權限，請要求管理員授予您下列 IAM 角色：

如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。

您或許也能透過自訂角色或其他預先定義的角色，取得必要權限。

資源選取和安全性設定檔分析

在安全中心，您可以透過「Resources」(資源) 分頁搜尋 BigQuery 專案中的資料集和資料表、查看附加的安全性政策，以及分析各項資源的安全設定檔。

使用 Gemini Cloud Assist 分析安全性設定檔

您可以在安全中心使用 Gemini Cloud Assist 檢查安全性設定、詢問資源相關問題，以及分析資料集或資料表的安全性設定檔：

  1. 前往 Google Cloud 控制台的「BigQuery」頁面。

    前往「BigQuery」

  2. 在導覽選單中，依序點選「Governance」(管理) 和「Security Center」(安全中心)。

  3. 按一下「資源」分頁標籤。

  4. 將滑鼠游標懸停在資料集或資料表上，然後按一下 astrophotography_mode「Show security profile」(顯示安全性設定檔)。

Gemini Cloud Assist 會生成資源安全性設定檔的摘要，包括附加的資料列層級存取權政策、資料欄層級資料政策和分類標記。

如要詢問安全性發現項目、政策和存取控管機制，也可以使用 Gemini Cloud Assist 對話面板。

詳情請參閱「使用 Gemini Cloud Assist」一文。

搜尋及篩選資源

「資源」分頁提供下列功能，可協助您找出資源並檢查存取控管機制：

  • 專案範圍：「資源」分頁會顯示所選 Google Cloud 專案中的資料集和資料表。
  • 搜尋及篩選：按一下「篩選器」，即可依據資料集名稱、資料表名稱或位置搜尋資源。
  • 檢查附加的政策：「Policies」(政策) 和「Policy tags」(政策標記) 欄會顯示各資料表是否附加存取權政策或標記。如要查看政策詳細資料，請按一下資源名稱。如要為所選資源建立或修改政策，請前往「Policy management」(政策管理) 分頁。

政策管理

您可以在安全中心的「政策管理」分頁中，設定及管理資料表的資料列層級存取權政策和資料欄層級安全性政策。

您可以透過下列三種方式設定資料欄層級安全性政策：

  • 直接指派給資料欄的資料政策
  • 資料治理標記政策 (預先發布版)
  • 政策標記型政策

資料列存取政策

「Row access」(資料列存取權) 檢視畫面會顯示為資源建立的所有資料列層級存取權政策。您可以查看每項政策的名稱、表格名稱、資料集名稱和上次修改日期。您可以直接在這個檢視畫面中編輯、刪除或建立政策。

建立資料列層級存取權政策時，您必須指定下列項目：

  • 政策名稱：政策的專屬名稱。
  • 資料表搜尋：在搜尋欄位中輸入資料表名稱，找出並選取目標資料表。
  • 結構定義檢視畫面：查看資料表結構定義，確認可用的資料欄名稱。
  • 篩選器述詞：輸入 SQL 篩選條件，定義要顯示哪些資料列 (例如 region = 'us-east1')。
  • 主體：指定政策適用的使用者、群組或網域。

詳情請參閱「BigQuery 資料列層級安全防護機制簡介」。

資料欄安全性政策

您可以在「資料欄安全性」檢視畫面中，管理資源的資料欄層級存取控管和資料遮蓋。

如要查看資料欄安全性政策，請先從「Region」(區域) 清單中選取區域。

選取區域後，系統會根據政策的建立方式，將政策顯示在三個部分：

  • 政策標記：與 Data Catalog 分類標記相關聯的政策。
  • 資料治理標記：透過 purpose=DATA_GOVERNANCE (預先發布版) 連結至 Resource Manager 標記的政策。
  • 直接指派的資料政策：直接附加至資料表欄的資料政策，不需透過標記中介服務。

政策影響指標

表格會針對每項政策顯示影響指標，指出受該政策影響的資料表和資料欄數量。這些指標會指出政策在資料集中的適用範圍，協助管理員在更新或重新指派政策前，評估政策的觸及範圍和敏感度。

將政策附加至多個資料欄

如要將現有政策附加至不同資料表和資料集的多個資料欄，請在政策資料表中按一下「Attach」(附加)。這樣一來，您就能在整個組織中，透過單一動作套用一致的資料欄層級存取控管或資料遮罩規則。

將主體指派給資料政策時，BigQuery 會授予該政策的「經過遮蓋的讀取者」角色 (roles/bigquerydatapolicy.maskedReader)。這個預先定義的角色是唯一授予 bigquery.dataPolicies.maskedGet 的角色，可讀取受保護資料欄中的遮蓋值。詳情請參閱「查詢遮蓋資料的角色」。

視存取控管需求而定，請參閱下列其中一項指南，瞭解如何設定政策：

資料治理標記和政策標記

資料治理標記和政策標記可讓您分類資料欄，並在 BigQuery 資源中套用存取控管。

如要在安全中心管理標記，請按照下列步驟操作：

  1. 前往 Google Cloud 控制台的「BigQuery」頁面。

    前往「BigQuery」

  2. 在導覽選單中，依序點選「控管」和「安全中心」。

  3. 視要管理的代碼類型而定，選取下列其中一個分頁標籤：

    • 資料治理標記：按一下「資料治理標記」分頁標籤，即可建立 Resource Manager 標記鍵 (使用 purpose=DATA_GOVERNANCE)，並定義階層式標記值 (預覽)。如要設定存取權限，請按一下「管理存取權」。
    • 政策標記：按一下「Policy tags」(政策標記) 分頁標籤，然後按一下「Create taxonomy」(建立分類)，建立 Data Catalog 分類和階層式政策標記。如要設定存取權限，請使用權限面板。

建立標記鍵或分類後，請將標記附加至資料表欄，強制執行資料欄層級存取控管和資料遮蓋：

後續步驟