Zugriff mit Tags steuern

In diesem Dokument wird beschrieben, wie Sie Tags mit BigQuery-Ressourcen für die Zugriffssteuerung verwenden.

Ein Tag ist ein Schlüssel/Wert-Paar, das Sie an eine Google Cloud-Ressource anhängen können. Sie können Tags in BigQuery auf folgende Weise verwenden:

• Richtlinien bedingt gewähren oder verweigern: Sie können Tags an BigQuery-Tabellen, -Ansichten und -Datasets anhängen und Identity and Access Management (IAM) verwenden, um Rollen basierend auf ihren Tags bedingt zu gewähren oder den Zugriff zu verweigern (Vorabversion). Weitere Informationen zu Ablehnungsrichtlinien finden Sie unter Ablehnungsrichtlinien.
• Zugriffssteuerung auf Spaltenebene: Sie können Data-Governance-Tags (Vorschau) an Tabellenspalten anhängen und mit Datenrichtlinien verwenden, um den Zugriff auf Spaltendaten einzuschränken.

Sie können Tags direkt an eine Ressource anhängen oder Tags können von übergeordneten Ressourcen in der Google Cloud Ressourcenhierarchie übernommen werden.

In diesem Dokument wird beschrieben, wie Sie Tags mit IAM verwenden, um den Zugriff auf BigQuery-Tabellen, -Ansichten und -Datasets bedingt zu gewähren oder zu verweigern.

Weitere Informationen zur Verwendung von Tags in der gesamten Google Cloud-Ressourcenhierarchie finden Sie unter Tags – Übersicht.

Wenn Sie vielen zugehörigen BigQuery-Ressourcen gleichzeitig Berechtigungen gewähren möchten, einschließlich Ressourcen, die noch nicht vorhanden sind, können Sie IAM Conditions verwenden.

Beschränkungen

• Tabellen-Tags werden für BigQuery Omni-Tabellen, Tabellen in ausgeblendeten Datasets oder temporäre Tabellen nicht unterstützt. Dataset-Tags werden für BigQuery Omni-Datasets nicht unterstützt. Darüber hinaus verwenden regionenübergreifende Abfragen in BigQuery Omni keine Tags während der Überprüfung der Zugriffssteuerung von Tabellen in anderen Regionen.

• Sie können maximal 50 Tags an eine Tabelle oder ein Dataset anhängen.

• Alle Tabellen, auf die in einer Platzhalterabfrage verwiesen wird, müssen genau dieselben Tag-Schlüssel und ‑Werte haben.

• Nutzer mit bedingtem Zugriff auf ein Dataset oder eine Tabelle können die Berechtigungen für diese Ressource nicht über die Google Cloud -Konsole ändern. Änderungen an Berechtigungen werden nur über das bq-Tool und die BigQuery API unterstützt.

• Einige Dienste außerhalb von BigQuery können IAM-Tag-Bedingungen nicht ordnungsgemäß prüfen. Wenn die Tag-Bedingung positiv ist, also einem Nutzer nur dann eine Rolle für eine Ressource gewährt wird, wenn diese Ressource ein bestimmtes Tag hat, dann wird der Zugriff auf die Ressource verweigert, unabhängig davon, welche Tags mit ihr verbunden sind. Wenn die Tag-Bedingung negativ ist, also einem Nutzer nur dann eine Rolle für eine Ressource zugewiesen wird, wenn diese Ressource kein bestimmtes Tag hat, wird die Tag-Bedingung nicht geprüft.

  Best Practice: Verwenden Sie eher positive als negative IAM-Tag-Bedingungen, um zu verhindern, dass Rollen unbeabsichtigt vergeben werden.

Erforderliche Rollen

Sie müssen IAM-Rollen zuweisen, die Nutzern die erforderlichen Berechtigungen zum Ausführen der einzelnen Aufgaben in diesem Dokument gewähren.

Beide der folgenden vordefinierten IAM-Rollen enthalten alle erforderlichen BigQuery-Berechtigungen:

• BigQuery Dateninhaber (roles/bigquery.dataOwner)
• BigQuery Administrator (roles/bigquery.admin)

Die Resource Manager-Berechtigungen zum Hinzufügen und Entfernen von Tags sind in der Rolle „Tag-Nutzer“ (roles/resourcemanager.tagUser) enthalten.

Erforderliche Berechtigungen

Zur Verwendung von Tags in BigQuery benötigen Sie die folgenden Berechtigungen:

Vorgang	BigQuery-Schnittstellen (API, CLI, Console) und Terraform	Cloud Resource Manager API oder gcloud
Tag an eine Tabelle oder Ansicht anhängen	bigquery.tables.createTagBinding-Berechtigung für die Tabelle oder Ansicht resourcemanager.tagValueBindings.create-Berechtigung für den Tag-Wert bigquery.tables.create-Berechtigung zum Anhängen eines Tags beim Erstellen einer Tabelle oder Ansicht bigquery.tables.update-Berechtigung zum Anhängen eines Tags beim Aktualisieren einer Tabelle oder Ansicht	bigquery.tables.createTagBinding-Berechtigung für die Tabelle oder Ansicht resourcemanager.tagValueBindings.create-Berechtigung für den Tag-Wert
Tag aus einer Tabelle oder Ansicht entfernen	bigquery.tables.deleteTagBinding-Berechtigung für die Tabelle oder Ansicht resourcemanager.tagValueBindings.delete-Berechtigung für den Tag-Wert bigquery.tables.update-Berechtigung zum Entfernen eines Tags beim Aktualisieren einer Tabelle oder Ansicht	bigquery.tables.deleteTagBinding-Berechtigung für die Tabelle oder Ansicht resourcemanager.tagValueBindings.delete-Berechtigung für den Tag-Wert
Tag an ein Dataset anhängen	bigquery.datasets.createTagBinding-Berechtigung für das Dataset resourcemanager.tagValueBindings.create-Berechtigung für den Tag-Wert bigquery.datasets.create-Berechtigung zum Anhängen eines Tags beim Erstellen eines Datasets bigquery.datasets.update-Berechtigung zum Anhängen eines Tags beim Aktualisieren eines Datasets	bigquery.datasets.createTagBinding-Berechtigung für das Dataset resourcemanager.tagValueBindings.create-Berechtigung für den Tag-Wert
Tag aus einem Dataset entfernen	bigquery.datasets.deleteTagBinding-Berechtigung für das Dataset resourcemanager.tagValueBindings.delete-Berechtigung für den Tag-Wert bigquery.datasets.update-Berechtigung zum Entfernen eines Tags beim Aktualisieren eines Datasets	bigquery.datasets.deleteTagBinding-Berechtigung für das Dataset resourcemanager.tagValueBindings.delete-Berechtigung für den Tag-Wert

Um Tagschlüssel und Schlüsselwerte in der Google Cloud Konsole aufzulisten, benötigen Sie die folgenden Berechtigungen:

• Zum Auflisten der Tag-Schlüssel, die einer übergeordneten Organisation oder einem übergeordneten Projekt zugeordnet sind, benötigen Sie die Berechtigung resourcemanager.tagKeys.list für die übergeordnete Ebene des Tag-Schlüssels und die Berechtigung resourcemanager.tagKeys.get für jeden Tag-Schlüssel. Wenn Sie die Liste der Tag-Schlüssel in der BigQuery-Konsole aufrufen möchten, klicken Sie auf den Dataset-Namen und dann auf Details bearbeiten oder auf den Namen der Tabelle oder Ansicht und dann auf Details > Details bearbeiten.

• Zum Auflisten der Tag-Werte von Schlüsseln, die einer übergeordneten Organisation oder einem übergeordneten Projekt zugeordnet sind, benötigen Sie die Berechtigung resourcemanager.tagValues.list für die übergeordnete Ebene des Tag-Werts und die Berechtigung resourcemanager.tagValues.get für jeden Tag-Wert. Wenn Sie die Liste der Tag-Schlüsselwerte in der BigQuery-Konsole aufrufen möchten, klicken Sie auf den Dataset-Namen und dann auf Details bearbeiten. Alternativ können Sie auf den Namen der Tabelle oder Ansicht und dann auf Details > Details bearbeiten klicken.

Wenn Sie Tags in der Cloud Resource Manager API oder in gcloud verwenden möchten, benötigen Sie die folgenden Berechtigungen:

• Wenn Sie die mit einer Tabelle oder Ansicht verknüpften Tags mit der Cloud Resource Manager API oder der gcloud CLI auflisten möchten, benötigen Sie die IAM-Berechtigung bigquery.tables.listTagBindings.
• Um die gültigen Tags für eine Tabelle oder Ansicht aufzulisten, benötigen Sie die IAM-Berechtigung bigquery.tables.listEffectiveTags.
• Wenn Sie die mit einem Dataset verknüpften Tags mit der Cloud Resource Manager API oder der gcloud CLI auflisten möchten, benötigen Sie die IAM-Berechtigung bigquery.datasets.listTagBindings.
• Um die gültigen Tags für ein Dataset aufzulisten, benötigen Sie die IAM-Berechtigung bigquery.datasets.listEffectiveTags.

Tag-Schlüssel und -Werte erstellen

Sie können ein Tag erstellen, bevor Sie es an eine BigQuery-Ressource anhängen, oder Sie können ein Tag manuell erstellen, wenn Sie die Ressource mit derGoogle Cloud -Konsole erstellen.

Informationen zum Erstellen von Tag-Schlüsseln und -Werten finden Sie in der Resource Manager-Dokumentation unter Tag erstellen und Tag-Werte hinzufügen.

Datasets mit Tags kennzeichnen

In den folgenden Abschnitten wird beschrieben, wie Sie Tags an neue und vorhandene Datasets anhängen, Tags auflisten, die an ein Dataset angehängt sind, und Tags von einem Dataset trennen.

Tags beim Erstellen eines neuen Datasets anhängen

Nachdem Sie ein Tag erstellt haben, können Sie es an ein neues BigQuery-Dataset anhängen. Sie können pro Dataset nur einen Tag-Wert für einen bestimmten Tag-Schlüssel anhängen. Sie können maximal 50 Tags an ein Dataset anhängen.

Console

1. Rufen Sie in der Google Cloud Console die Seite BigQuery auf.

   BigQuery aufrufen

2. Klicken Sie im linken Bereich auf  Explorer:

   

   Wenn das linke Steuerfeld nicht angezeigt wird, klicken Sie auf  Linkes Steuerfeld maximieren, um es zu öffnen.

3. Wählen Sie im Bereich Explorer das Projekt aus, in dem Sie das Dataset erstellen möchten.

4. Klicken Sie auf Aktionen ansehen > Dataset erstellen.

5. Geben Sie die Informationen für das neue Dataset ein. Weitere Informationen finden Sie unter Datasets erstellen.

6. Maximieren Sie den Bereich Tags.

   1. So wenden Sie ein vorhandenes Tag an:

      1. Klicken Sie auf den Drop-down-Pfeil neben Bereich auswählen und wählen Sie Aktueller Bereich – Aktuelle Organisation auswählen oder Aktuelles Projekt auswählen aus.

         Alternativ können Sie auf Bereich auswählen klicken, um nach einer Ressource zu suchen oder eine Liste der aktuellen Ressourcen aufzurufen.

      2. Wählen Sie für Schlüssel 1 und Wert 1 die entsprechenden Werte aus den Listen aus.

   2. So geben Sie ein neues Tag manuell ein:

      1. Klicken Sie auf den Drop-down-Pfeil neben Bereich auswählen und wählen Sie IDs manuell eingeben > Organisation, Projekt oder Tags aus.

      2. Wenn Sie ein Tag für Ihr Projekt oder Ihre Organisation erstellen, geben Sie im Dialogfeld die PROJECT_ID oder die ORGANIZATION_ID ein und klicken Sie dann auf Speichern.

      3. Wählen Sie für Schlüssel 1 und Wert 1 die entsprechenden Werte aus den Listen aus.

   3. Optional: Wenn Sie der Tabelle weitere Tags hinzufügen möchten, klicken Sie auf Tag hinzufügen und folgen Sie der Anleitung oben.

7. Klicken Sie auf Dataset erstellen.

SQL

Verwenden Sie die Anweisung CREATE SCHEMA.

1. Rufen Sie in der Google Cloud Console die Seite BigQuery auf.

   BigQuery aufrufen

2. Geben Sie im Abfrageeditor die folgende Anweisung ein:

   CREATE SCHEMA PROJECT_ID.DATASET_ID
   OPTIONS (
     tags = [('TAG_KEY_1', 'TAG_VALUE_1'), ('TAG_KEY_2', 'TAG_VALUE_2')];)

   Dabei gilt:

   • PROJECT_ID: Ihre Projekt-ID.
   • DATASET_ID: die ID des Datasets, das Sie erstellen.
   • TAG_KEY_1: der Namespace-Schlüsselname, den Sie als erstes Tag für das Dataset festlegen möchten, z. B. 'my-project/env' oder '556741164180/department'.
   • TAG_VALUE_1: der Kurzname für den Wert des Tags, z. B. 'prod' oder 'sales'.
   • TAG_KEY_2: Der Namespace-Schlüsselname für das zweite Tag.
   • TAG_VALUE_2: Der Kurzname für den Wert des zweiten Tags.

3. Klicken Sie auf Ausführen.

Informationen zum Ausführen von Abfragen finden Sie unter Interaktive Abfrage ausführen.

bq

Führen Sie den Befehl bq mk --dataset mit dem Flag --add_tags aus:

bq mk --dataset \
    --add_tags=TAG \
    PROJECT_ID:DATASET_ID

Ersetzen Sie Folgendes:

• TAG: Das Tag, das Sie dem neuen Dataset zuweisen. Mehrere Tags werden durch Kommas getrennt. Beispiel: 556741164180/env:prod,myProject/department:sales Jedes Tag muss den Parameter Kurzname des Namespace-Schlüssels und des Namespace haben.
• PROJECT_ID: die ID des Projekts, in dem Sie ein Dataset erstellen.
• DATASET_ID: Die ID des neuen Datasets.

Terraform

Verwenden Sie die Ressource google_bigquery_dataset.

Hinweis: Zum Erstellen von BigQuery-Objekten mit Terraform müssen Sie die Cloud Resource Manager API aktivieren.

Richten Sie zur Authentifizierung bei BigQuery die Standardanmeldedaten für Anwendungen ein. Weitere Informationen finden Sie unter Authentifizierung für Clientbibliotheken einrichten.

Im folgenden Beispiel wird ein Dataset mit dem Namen my_dataset erstellt und dann durch Ausfüllen des Felds resource_tags mit Tags versehen:

# Create tag keys and values
data "google_project" "default" {}

resource "google_tags_tag_key" "env_tag_key" {
  parent     = "projects/${data.google_project.default.project_id}"
  short_name = "env2"
}

resource "google_tags_tag_key" "department_tag_key" {
  parent     = "projects/${data.google_project.default.project_id}"
  short_name = "department2"
}

resource "google_tags_tag_value" "env_tag_value" {
  parent     = "tagKeys/${google_tags_tag_key.env_tag_key.name}"
  short_name = "prod"
}

resource "google_tags_tag_value" "department_tag_value" {
  parent     = "tagKeys/${google_tags_tag_key.department_tag_key.name}"
  short_name = "sales"
}

# Create a dataset
resource "google_bigquery_dataset" "default" {
  dataset_id                      = "my_dataset"
  default_partition_expiration_ms = 2592000000  # 30 days
  default_table_expiration_ms     = 31536000000 # 365 days
  description                     = "dataset description"
  location                        = "US"
  max_time_travel_hours           = 96 # 4 days

  # Attach tags to the dataset
  resource_tags = {
    (google_tags_tag_key.env_tag_key.namespaced_name) : google_tags_tag_value.env_tag_value.short_name,
    (google_tags_tag_key.department_tag_key.namespaced_name) : google_tags_tag_value.department_tag_value.short_name
  }
}

Führen Sie die Schritte in den folgenden Abschnitten aus, um Ihre Terraform-Konfiguration auf ein Google Cloud -Projekt anzuwenden.

Cloud Shell vorbereiten

1. Rufen Sie Cloud Shell auf.

2. Legen Sie das Standardprojekt Google Cloud fest, auf das Sie Ihre Terraform-Konfigurationen anwenden möchten.

   Sie müssen diesen Befehl nur einmal pro Projekt und in jedem beliebigen Verzeichnis ausführen.

   export GOOGLE_CLOUD_PROJECT=PROJECT_ID

   Umgebungsvariablen werden überschrieben, wenn Sie in der Terraform-Konfigurationsdatei explizite Werte festlegen.

Verzeichnis vorbereiten

Jede Terraform-Konfigurationsdatei muss ein eigenes Verzeichnis haben (auch als Stammmodul bezeichnet).

1. Erstellen Sie in Cloud Shell ein Verzeichnis und eine neue Datei in diesem Verzeichnis. Der Dateiname muss die Erweiterung .tf haben, z. B. main.tf. In dieser Anleitung wird die Datei als main.tf bezeichnet.

   mkdir DIRECTORY && cd DIRECTORY && touch main.tf

2. Wenn Sie einer Anleitung folgen, können Sie den Beispielcode in jedem Abschnitt oder Schritt kopieren.

   Kopieren Sie den Beispielcode in das neu erstellte main.tf.

   Kopieren Sie optional den Code aus GitHub. Dies wird empfohlen, wenn das Terraform-Snippet Teil einer End-to-End-Lösung ist.

3. Prüfen und ändern Sie die Beispielparameter, die auf Ihre Umgebung angewendet werden sollen.
4. Speichern Sie die Änderungen.
5. Initialisieren Sie Terraform. Dies ist nur einmal für jedes Verzeichnis erforderlich.

   terraform init

   Fügen Sie optional die Option -upgrade ein, um die neueste Google-Anbieterversion zu verwenden:

   terraform init -upgrade

Änderungen anwenden

1. Prüfen Sie die Konfiguration und prüfen Sie, ob die Ressourcen, die Terraform erstellen oder aktualisieren wird, Ihren Erwartungen entsprechen:

   terraform plan

   Korrigieren Sie die Konfiguration nach Bedarf.

2. Wenden Sie die Terraform-Konfiguration an. Führen Sie dazu den folgenden Befehl aus und geben Sie yes an der Eingabeaufforderung ein:

   terraform apply

   Warten Sie, bis Terraform die Meldung „Apply complete“ anzeigt.

3. Öffnen Sie Ihr Google Cloud Projekt, um die Ergebnisse aufzurufen. Rufen Sie in der Google Cloud Console Ihre Ressourcen in der Benutzeroberfläche auf, um sicherzustellen, dass Terraform sie erstellt oder aktualisiert hat.

Hinweis:Bei Terraform-Beispielen wird in der Regel davon ausgegangen, dass die erforderlichen APIs in Ihrem Google Cloud -Projekt aktiviert sind.

API

Rufen Sie die Methode datasets.insert auf und fügen Sie Ihre Tags dem Feld resource_tags hinzu.

Tags an ein vorhandenes Dataset anhängen

Nachdem Sie ein Tag erstellt haben, können Sie es an ein vorhandenes Dataset anhängen. Sie können pro Dataset nur einen Tag-Wert für einen bestimmten Tag-Schlüssel anhängen.

Console

1. Rufen Sie in der Google Cloud Console die Seite BigQuery auf.

   BigQuery aufrufen

2. Klicken Sie im linken Bereich auf  Explorer:

   

3. Maximieren Sie im Bereich Explorer Ihr Projekt, klicken Sie auf Datasets und wählen Sie dann ein Dataset aus.

4. Klicken Sie im Abschnitt Dataset-Informationen auf Details bearbeiten.

5. Maximieren Sie den Bereich Tags.

   1. So wenden Sie ein vorhandenes Tag an:

      1. Klicken Sie auf den Drop-down-Pfeil neben Bereich auswählen und wählen Sie Aktueller Bereich – Aktuelle Organisation auswählen oder Aktuelles Projekt auswählen aus.

         Alternativ können Sie auf Bereich auswählen klicken, um nach einer Ressource zu suchen oder eine Liste der aktuellen Ressourcen aufzurufen.

      2. Wählen Sie für Schlüssel 1 und Wert 1 die entsprechenden Werte aus den Listen aus.

   2. So geben Sie ein neues Tag manuell ein:

      1. Klicken Sie auf den Drop-down-Pfeil neben Bereich auswählen und wählen Sie IDs manuell eingeben > Organisation, Projekt oder Tags aus.

      2. Wenn Sie ein Tag für Ihr Projekt oder Ihre Organisation erstellen, geben Sie im Dialogfeld die PROJECT_ID oder die ORGANIZATION_ID ein und klicken Sie dann auf Speichern.

      3. Wählen Sie für Schlüssel 1 und Wert 1 die entsprechenden Werte aus den Listen aus.

   3. Optional: Wenn Sie der Tabelle weitere Tags hinzufügen möchten, klicken Sie auf Tag hinzufügen und folgen Sie der Anleitung oben.

6. Klicken Sie auf Speichern.

SQL

Verwenden Sie die Anweisung ALTER SCHEMA SET OPTIONS.

Im folgenden Beispiel werden alle Tags für ein vorhandenes Dataset überschrieben.

1. Rufen Sie in der Google Cloud Console die Seite BigQuery auf.

   BigQuery aufrufen

2. Geben Sie im Abfrageeditor die folgende Anweisung ein:

   ALTER SCHEMA PROJECT_ID.DATASET_ID
   SET OPTIONS (
     tags = [('TAG_KEY_1', 'TAG_VALUE_1'), ('TAG_KEY_2', 'TAG_VALUE_2')];)

   Dabei gilt:

   • PROJECT_ID: Ihre Projekt-ID.
   • DATASET_ID: die ID des Datasets, das die Tabelle enthält.
   • TABLE_ID: der Name der Tabelle, die Sie taggen.
   • TAG_KEY_1: der Namespace-Schlüsselname, den Sie als erstes Tag für die Tabelle festlegen möchten, z. B. 'my-project/env' oder '556741164180/department'.
   • TAG_VALUE_1: der Kurzname für den Wert des Tags, z. B. 'prod' oder 'sales'.
   • TAG_KEY_2: Der Namespace-Schlüsselname für das zweite Tag.
   • TAG_VALUE_2: Der Kurzname für den Wert des zweiten Tags.

3. Klicken Sie auf Ausführen.

Informationen zum Ausführen von Abfragen finden Sie unter Interaktive Abfrage ausführen.

Im folgenden Beispiel werden mit dem Operator += Tags an ein Dataset angehängt, ohne vorhandene Tags zu überschreiben. Wenn ein vorhandenes Tag denselben Schlüssel hat, wird es überschrieben.

1. Rufen Sie in der Google Cloud Console die Seite BigQuery auf.

   BigQuery aufrufen

2. Geben Sie im Abfrageeditor die folgende Anweisung ein:

   ALTER SCHEMA PROJECT_ID.DATASET_ID
   SET OPTIONS (
     tags += [('TAG_KEY_1', 'TAG_VALUE_1'), ('TAG_KEY_2', 'TAG_VALUE_2')];)

   Dabei gilt:

   • PROJECT_ID: Ihre Projekt-ID.
   • DATASET_ID: die ID des Datasets, das die Tabelle enthält.
   • TABLE_ID: der Name der Tabelle, die Sie taggen.
   • TAG_KEY_1: der Namespace-Schlüsselname, den Sie als erstes Tag für die Tabelle festlegen möchten, z. B. 'my-project/env' oder '556741164180/department'.
   • TAG_VALUE_1: der Kurzname für den Wert des Tags, z. B. 'prod' oder 'sales'.
   • TAG_KEY_2: Der Namespace-Schlüsselname für das zweite Tag.
   • TAG_VALUE_2: Der Kurzname für den Wert des zweiten Tags.

3. Klicken Sie auf Ausführen.

Informationen zum Ausführen von Abfragen finden Sie unter Interaktive Abfrage ausführen.

bq

Führen Sie den Befehl bq update mit dem Flag --add_tags aus:

bq update \
    --add_tags=TAG \
    PROJECT_ID:DATASET_ID

Ersetzen Sie Folgendes:

• TAG: Das Tag, das Sie dem Dataset zuweisen. Mehrere Tags werden durch Kommas getrennt. Beispiel: 556741164180/env:prod,myProject/department:sales Jedes Tag muss den Parameter Kurzname des Namespace-Schlüssels und des Namespace haben.
• PROJECT_ID: die ID des Projekts, in dem sich das vorhandene Dataset befindet.
• DATASET_ID: Die ID des vorhandenen Datasets.

gcloud

Zum Anhängen eines Tags an ein Dataset über die Befehlszeile erstellen Sie mit dem Befehl gcloud resource-manager tags bindings create eine Tag-Bindungsressource:

gcloud resource-manager tags bindings create \
    --tag-value=TAG_VALUE_NAME \
    --parent=RESOURCE_ID \
    --location=LOCATION

Ersetzen Sie Folgendes:

• TAG_VALUE_NAME: die permanente ID oder der Namespace-Name des Tag-Werts, der angehängt werden soll, z. B. tagValues/4567890123 oder 1234567/my_tag_key/my_tag_value
• RESOURCE_ID: die vollständige ID des Datasets, einschließlich des API-Domainnamens (//bigquery.googleapis.com/), um den Ressourcentyp zu identifizieren. Beispiel: //bigquery.googleapis.com/projects/my_project/datasets/my_dataset
• LOCATION: der Standort Ihres Datasets.

Terraform

Fügen Sie dem Feld resource_tags des Datasets Tags hinzu und wenden Sie dann die aktualisierte Konfiguration mit der Ressource google_bigquery_dataset an. Weitere Informationen finden Sie im Terraform-Beispiel unter Tags beim Erstellen eines neuen Datasets anhängen.

API

Rufen Sie die Methode datasets.get auf, um die Dataset-Ressource einschließlich des Felds resource_tags abzurufen. Fügen Sie Ihre Tags dem Feld resource_tags hinzu und übergeben Sie die aktualisierte Dataset-Ressource mit der Methode datasets.update.

Tags auflisten, die an ein Dataset angehängt sind

Die folgenden Schritte enthalten eine Liste von Tag-Bindungen, die direkt mit einem Dataset verknüpft sind. Bei diesen Methoden werden keine Tags zurückgegeben, die von übergeordneten Ressourcen übernommen werden.

Console

1. Rufen Sie in der Google Cloud Console die Seite BigQuery auf.

   BigQuery aufrufen

2. Klicken Sie im linken Bereich auf  Explorer:

   

3. Maximieren Sie im Bereich Explorer Ihr Projekt, klicken Sie auf Datasets und wählen Sie dann ein Dataset aus.

   Die Tags werden im Bereich Dataset-Informationen angezeigt.

bq

Verwenden Sie den Befehl bq show, um die Tags aufzulisten, die an ein Dataset angehängt sind.

bq show PROJECT_ID:DATASET_ID

Ersetzen Sie Folgendes:

• PROJECT_ID: die ID des Projekts, das Ihr Dataset enthält.
• DATASET_ID: die ID des Datasets, für das Sie die Tags auflisten möchten.

gcloud

Verwenden Sie den Befehl gcloud resource-manager tags bindings list, um eine Liste der Tag-Bindungen abzurufen, die an eine Ressource angehängt sind:

gcloud resource-manager tags bindings list \
    --parent=RESOURCE_ID \
    --location=LOCATION

Ersetzen Sie Folgendes:

• RESOURCE_ID: die vollständige ID des Datasets, einschließlich des API-Domainnamens (//bigquery.googleapis.com/), um den Ressourcentyp zu identifizieren, z. B. //bigquery.googleapis.com/projects/my_project/datasets/my_dataset

• LOCATION: der Standort Ihres Datasets

Die Ausgabe sieht etwa so aus:

name: tagBindings/%2F%2Fbigquery.googleapis.com%2Fprojects%2Fmy_project%2Fdatasets%2Fmy_dataset/tagValues/4567890123
parent: //bigquery.googleapis.com/projects/my_project/datasets/my_dataset
tagValue: tagValues/4567890123

Sie können die geerbten Tags nach BigQuery-Datasets mit dem gcloud resource-manager tags bindings list auflisten. Sie können auch die Option --filter für das Attribut namespacedTagValue verwenden, um Tags nach Projekt-ID, Tag-Wert oder Tag-Schlüssel zu filtern.

gcloud resource-manager tags bindings list \
    --parent=//bigquery.googleapis.com/projects/PROJECT_ID/datasets/DATASET_ID \
    --effective \
    --filter=namespacedTagValue:TAG_FILTER

Ersetzen Sie Folgendes :

• PROJECT_ID: die ID des Projekts, das Ihr Dataset enthält.

• DATASET_ID: Die ID des Datasets.

• TAG_FILTER: Geben Sie einen Wert an, nach dem für übernommene Tags gefiltert werden soll. Sie haben folgende Möglichkeiten:

  • Nach Tags nach Projekt-ID filtern. Beispiel: myproject.

  • Filtern Sie nach Tag-Werten, indem Sie die permanente ID oder den Namespace-Namen des Tag-Werts angeben. Beispiel: tagValues/4567890123 oder 1234567/my_tag_key/my_tag_value.

  • Filtern Sie nach Tag-Schlüsseln, indem Sie den Anzeigenamen für den Tag-Schlüssel angeben. Beispiel: tagkey

Terraform

Verwenden Sie den Befehl terraform state show, um die Attribute des Datasets aufzulisten, einschließlich des Felds resource_tags. Führen Sie diesen Befehl in dem Verzeichnis aus, in dem die Terraform-Konfigurationsdatei des Datasets ausgeführt wurde.

terraform state show google_bigquery_dataset.default

API

Rufen Sie die Methode datasets.get auf, um die Dataset-Ressource abzurufen. Die Dataset-Ressource enthält Tags, die dem Dataset im Feld resource_tags angehängt sind.

Aufrufe

Wählen Sie das Dropdown-Menü INFORMATION_SCHEMA.SCHEMATA_OPTIONS Ansicht aus:

Die folgende Abfrage zeigt beispielsweise alle Tags, die an alle Datasets in einer Region angehängt sind. Diese Abfrage gibt eine Tabelle mit Spalten zurück, wie schema_name (die Dataset-Namen), option_name (immer 'tags'), object_type (immer ARRAY<STRUCT<STRING, STRING>>) und option_value, das Arrays von STRUCT-Objekten enthält, die Tags darstellen, die mit jedem Dataset verknüpft sind. Für Datasets ohne zugewiesene Tags wird in der Spalte option_value ein leeres Array zurückgegeben.

SELECT * from region-REGION.INFORMATION_SCHEMA.SCHEMATA_OPTIONS
WHERE option_name='tags'

Ersetzen Sie Folgendes:

• REGION: Die Region, in der sich Ihre Datasets befinden.

Hinweis :Mit dem Befehl gcloud resource-manager tags bindings list

können Sie die geerbten Tags nach BigQuery-Dataset und -Tabellen auflisten.

Tags von einem Dataset trennen

Sie können ein Tag von einer Ressource trennen, indem Sie die Tag-Bindungsressource löschen. Wenn Sie ein Tag löschen, müssen Sie es zuerst vom Dataset trennen. Weitere Informationen finden Sie unter Tags löschen.

Console

1. Rufen Sie in der Google Cloud Console die Seite BigQuery auf.

   BigQuery aufrufen

2. Klicken Sie im linken Bereich auf  Explorer:

   

3. Maximieren Sie im Bereich Explorer Ihr Projekt, klicken Sie auf Datasets und wählen Sie dann ein Dataset aus.

4. Klicken Sie im Abschnitt Dataset-Informationen auf Details bearbeiten.

5. Klicken Sie im Bereich Tags neben dem Tag, das Sie löschen möchten, auf Element löschen.

6. Klicken Sie auf Speichern.

SQL

Verwenden Sie die Anweisung ALTER SCHEMA SET OPTIONS.

Im folgenden Beispiel werden Tags mithilfe des Operators -= von einem Dataset getrennt. Wenn Sie alle Tags von einem Dataset trennen möchten, können Sie tags=NULL oder tags=[] angeben.

1. Rufen Sie in der Google Cloud Console die Seite BigQuery auf.

   BigQuery aufrufen

2. Geben Sie im Abfrageeditor die folgende Anweisung ein:

   ALTER TABLE PROJECT_ID.DATASET_ID.TABLE_ID
   SET OPTIONS (
     tags -= [('TAG_KEY_1', 'TAG_VALUE_1'), ('TAG_KEY_2', 'TAG_VALUE_2')];)

   Dabei gilt:

   • PROJECT_ID: Ihre Projekt-ID.
   • DATASET_ID: die ID des Datasets, das die Tabelle enthält.
   • TABLE_ID: der Name der Tabelle, aus der Sie die Tags entfernen.
   • TAG_KEY_1: Der Namespace-Schlüsselname des ersten Tags, das Sie trennen möchten, z. B. 'my-project/env' oder '556741164180/department'.
   • TAG_VALUE_1: Der Kurzname des Werts für das Tag, das Sie trennen möchten, z. B. 'prod' oder 'sales'.
   • TAG_KEY_2: Der Namespace-Schlüsselname für das zweite Tag, das Sie trennen.
   • TAG_VALUE_2: Der Kurzname für den Wert des zweiten Tags, das Sie trennen.

3. Klicken Sie auf Ausführen.

Informationen zum Ausführen von Abfragen finden Sie unter Interaktive Abfrage ausführen.

bq

Führen Sie den Befehl bq update mit dem Flag --remove_tags aus:

bq update \
    --remove_tags=REMOVED_TAG \
    PROJECT_ID:DATASET_ID

Ersetzen Sie Folgendes:

• REMOVED_TAG: Das Tag, das Sie aus dem Dataset entfernen. Mehrere Tags werden durch Kommas getrennt. Akzeptiert nur Schlüssel ohne Wertepaare. Beispiel: 556741164180/env,myProject/department. Jeder Tag muss den Namespace-Schlüsselnamen haben.
• PROJECT_ID: Die ID des Projekts, das Ihr Dataset enthält.
• DATASET_ID: die ID des Datasets, aus dem Tags getrennt werden sollen.

Wenn Sie alle Tags aus einem Dataset entfernen möchten, verwenden Sie den Befehl bq update mit dem Flag --clear_all_tags:

bq update \
    --clear_all_tags
    PROJECT_ID:DATASET_ID

gcloud

Zum Trennen eines Tags von einem Dataset über die Befehlszeile löschen Sie die Tag-Bindung mit dem Befehl gcloud resource-manager tags bindings delete:

gcloud resource-manager tags bindings delete \
    --tag-value=TAG_VALUE_NAME \
    --parent=RESOURCE_ID \
    --location=LOCATION

Ersetzen Sie Folgendes:

• TAG_VALUE_NAME: die permanente ID oder der Namespace-Name des Tag-Werts, der angehängt werden soll, z. B. tagValues/4567890123 oder 1234567/my_tag_key/my_tag_value
• RESOURCE_ID: die vollständige ID des Datasets, einschließlich des API-Domainnamens (//bigquery.googleapis.com/), um den Ressourcentyp zu identifizieren, z. B. //bigquery.googleapis.com/projects/my_project/datasets/my_dataset
• LOCATION: der Standort Ihres Datasets

Terraform

Entfernen Sie die Tags aus dem Feld resource_tags des Datasets und wenden Sie dann die aktualisierte Konfiguration mit der Ressource google_bigquery_dataset an.

API

Rufen Sie die Methode datasets.get auf, um die Dataset-Ressource einschließlich des Felds resource_tags abzurufen. Entfernen Sie Ihre Tags aus dem Feld resource_tags und übergeben Sie die aktualisierte Dataset-Ressource mit der datasets.update-Methode zurück.

Tabellen taggen

In den folgenden Abschnitten wird beschrieben, wie Sie neuen und vorhandenen Tabellen Tags zuweisen, die einer Tabelle zugewiesenen Tags auflisten und Tags aus einer Tabelle entfernen.

Tags beim Erstellen einer neuen Tabelle anhängen

Nachdem Sie ein Tag erstellt haben, können Sie es an eine neue Tabelle anhängen. Sie können pro Tabelle nur einen Tag-Wert für einen bestimmten Tag-Schlüssel anhängen. Sie können maximal 50 Tags an ein Dataset anhängen.

Console

1. Rufen Sie in der Google Cloud Console die Seite BigQuery auf.

   BigQuery aufrufen

2. Klicken Sie im linken Bereich auf  Explorer:

   

3. Maximieren Sie im Bereich Explorer Ihr Projekt, klicken Sie auf Datasets und wählen Sie dann ein Dataset aus.

4. Klicken Sie im Abschnitt Dataset-Informationen auf Tabelle erstellen.

5. Geben Sie die Informationen für die neue Tabelle ein. Weitere Informationen finden Sie unter Tabellen erstellen und verwenden.

6. Maximieren Sie den Bereich Tags.

   1. So wenden Sie ein vorhandenes Tag an:

      1. Klicken Sie auf den Drop-down-Pfeil neben Bereich auswählen und wählen Sie Aktueller Bereich – Aktuelle Organisation auswählen oder Aktuelles Projekt auswählen aus.

         Alternativ können Sie auf Bereich auswählen klicken, um nach einer Ressource zu suchen oder eine Liste der aktuellen Ressourcen aufzurufen.

      2. Wählen Sie für Schlüssel 1 und Wert 1 die entsprechenden Werte aus den Listen aus.

   2. So geben Sie ein neues Tag manuell ein:

      1. Klicken Sie auf den Drop-down-Pfeil neben Bereich auswählen und wählen Sie IDs manuell eingeben > Organisation, Projekt oder Tags aus.

      2. Wenn Sie ein Tag für Ihr Projekt oder Ihre Organisation erstellen, geben Sie im Dialogfeld die PROJECT_ID oder die ORGANIZATION_ID ein und klicken Sie dann auf Speichern.

      3. Wählen Sie für Schlüssel 1 und Wert 1 die entsprechenden Werte aus den Listen aus.

   3. Optional: Wenn Sie der Tabelle weitere Tags hinzufügen möchten, klicken Sie auf Tag hinzufügen und folgen Sie der Anleitung oben.

7. Klicken Sie auf Tabelle erstellen.

SQL

Verwenden Sie die Anweisung CREATE TABLE.

1. Rufen Sie in der Google Cloud Console die Seite BigQuery auf.

   BigQuery aufrufen

2. Geben Sie im Abfrageeditor die folgende Anweisung ein:

   CREATE TABLE PROJECT_ID.DATASET_ID.TABLE_ID
   OPTIONS (
     tags = [('TAG_KEY_1', 'TAG_VALUE_1'), ('TAG_KEY_2', 'TAG_VALUE_2')];)

   Dabei gilt:

   • PROJECT_ID: Ihre Projekt-ID.
   • DATASET_ID: die ID des Datasets, in dem Sie die Tabelle erstellen.
   • TABLE_ID ist der Name der neuen Tabelle.
   • TAG_KEY_1: der Namespace-Schlüsselname, den Sie als erstes Tag für die Tabelle festlegen möchten, z. B. 'my-project/env' oder '556741164180/department'.
   • TAG_VALUE_1: der Kurzname für den Wert des Tags, z. B. 'prod' oder 'sales'.
   • TAG_KEY_2: Der Namespace-Schlüsselname für das zweite Tag.
   • TAG_VALUE_2: Der Kurzname für den Wert des zweiten Tags.

3. Klicken Sie auf Ausführen.

Informationen zum Ausführen von Abfragen finden Sie unter Interaktive Abfrage ausführen.

bq

Führen Sie den Befehl bq mk --table mit dem Flag --add_tags aus:

bq mk --table \
    --schema=SCHEMA \
    --add_tags=TAG \
    PROJECT_ID:DATASET_ID.TABLE_ID

Ersetzen Sie Folgendes:

• SCHEMA: Die Inline-Schemadefinition.
• TAG: das Tag, das Sie an die neue Tabelle anhängen. Mehrere Tags werden durch Kommas getrennt. Beispiel: 556741164180/env:prod,myProject/department:sales Jedes Tag muss den Parameter Kurzname des Namespace-Schlüssels und des Namespace haben.
• PROJECT_ID: die ID des Projekts, in dem Sie eine Tabelle erstellen.
• DATASET_ID: der Name des Datasets, in dem Sie eine Tabelle erstellen.
• TABLE_ID: Die ID der neuen Tabelle.

Terraform

Verwenden Sie die Ressource google_bigquery_table:

Hinweis: Zum Erstellen von BigQuery-Objekten mit Terraform müssen Sie die Cloud Resource Manager API aktivieren.

Richten Sie zur Authentifizierung bei BigQuery die Standardanmeldedaten für Anwendungen ein. Weitere Informationen finden Sie unter Authentifizierung für Clientbibliotheken einrichten.

Im folgenden Beispiel wird eine Tabelle mit dem Namen mytable erstellt und dann mit Tags versehen, indem das Feld resource_tags ausgefüllt wird:

# Create tag keys and values
data "google_project" "default" {}

resource "google_tags_tag_key" "env_tag_key" {
  parent     = "projects/${data.google_project.default.project_id}"
  short_name = "env3"
}

resource "google_tags_tag_key" "department_tag_key" {
  parent     = "projects/${data.google_project.default.project_id}"
  short_name = "department3"
}

resource "google_tags_tag_value" "env_tag_value" {
  parent     = "tagKeys/${google_tags_tag_key.env_tag_key.name}"
  short_name = "prod"
}

resource "google_tags_tag_value" "department_tag_value" {
  parent     = "tagKeys/${google_tags_tag_key.department_tag_key.name}"
  short_name = "sales"
}

# Create a dataset
resource "google_bigquery_dataset" "default" {
  dataset_id                      = "MyDataset"
  default_partition_expiration_ms = 2592000000  # 30 days
  default_table_expiration_ms     = 31536000000 # 365 days
  description                     = "dataset description"
  location                        = "US"
  max_time_travel_hours           = 96 # 4 days
}

# Create a table
resource "google_bigquery_table" "default" {
  dataset_id  = google_bigquery_dataset.default.dataset_id
  table_id    = "mytable"
  description = "table description"

  # Attach tags to the table
  resource_tags = {
    (google_tags_tag_key.env_tag_key.namespaced_name) : google_tags_tag_value.env_tag_value.short_name,
    (google_tags_tag_key.department_tag_key.namespaced_name) : google_tags_tag_value.department_tag_value.short_name
  }
}

Führen Sie die Schritte in den folgenden Abschnitten aus, um Ihre Terraform-Konfiguration auf ein Google Cloud -Projekt anzuwenden.

Cloud Shell vorbereiten

1. Rufen Sie Cloud Shell auf.

2. Legen Sie das Standardprojekt Google Cloud fest, auf das Sie Ihre Terraform-Konfigurationen anwenden möchten.

   Sie müssen diesen Befehl nur einmal pro Projekt und in jedem beliebigen Verzeichnis ausführen.

   export GOOGLE_CLOUD_PROJECT=PROJECT_ID

   Umgebungsvariablen werden überschrieben, wenn Sie in der Terraform-Konfigurationsdatei explizite Werte festlegen.

Verzeichnis vorbereiten

Jede Terraform-Konfigurationsdatei muss ein eigenes Verzeichnis haben (auch als Stammmodul bezeichnet).

1. Erstellen Sie in Cloud Shell ein Verzeichnis und eine neue Datei in diesem Verzeichnis. Der Dateiname muss die Erweiterung .tf haben, z. B. main.tf. In dieser Anleitung wird die Datei als main.tf bezeichnet.

   mkdir DIRECTORY && cd DIRECTORY && touch main.tf

2. Wenn Sie einer Anleitung folgen, können Sie den Beispielcode in jedem Abschnitt oder Schritt kopieren.

   Kopieren Sie den Beispielcode in das neu erstellte main.tf.

   Kopieren Sie optional den Code aus GitHub. Dies wird empfohlen, wenn das Terraform-Snippet Teil einer End-to-End-Lösung ist.

3. Prüfen und ändern Sie die Beispielparameter, die auf Ihre Umgebung angewendet werden sollen.
4. Speichern Sie die Änderungen.
5. Initialisieren Sie Terraform. Dies ist nur einmal für jedes Verzeichnis erforderlich.

   terraform init

   Fügen Sie optional die Option -upgrade ein, um die neueste Google-Anbieterversion zu verwenden:

   terraform init -upgrade

Änderungen anwenden

1. Prüfen Sie die Konfiguration und prüfen Sie, ob die Ressourcen, die Terraform erstellen oder aktualisieren wird, Ihren Erwartungen entsprechen:

   terraform plan

   Korrigieren Sie die Konfiguration nach Bedarf.

2. Wenden Sie die Terraform-Konfiguration an. Führen Sie dazu den folgenden Befehl aus und geben Sie yes an der Eingabeaufforderung ein:

   terraform apply

   Warten Sie, bis Terraform die Meldung „Apply complete“ anzeigt.

3. Öffnen Sie Ihr Google Cloud Projekt, um die Ergebnisse aufzurufen. Rufen Sie in der Google Cloud Console Ihre Ressourcen in der Benutzeroberfläche auf, um sicherzustellen, dass Terraform sie erstellt oder aktualisiert hat.

Hinweis:Bei Terraform-Beispielen wird in der Regel davon ausgegangen, dass die erforderlichen APIs in Ihrem Google Cloud -Projekt aktiviert sind.

API

Rufen Sie die Methode tables.insert mit einer definierten Tabellenressource auf und fügen Sie die Tags in das Feld resource_tags ein.

Tags an eine vorhandene Tabelle anhängen

Nachdem Sie ein Tag erstellt haben, können Sie es an eine vorhandene Tabelle anhängen. Sie können pro Tabelle nur einen Tag-Wert für einen bestimmten Tag-Schlüssel anhängen.

Console

1. Rufen Sie in der Google Cloud Console die Seite BigQuery auf.

   BigQuery aufrufen

2. Klicken Sie im linken Bereich auf  Explorer:

   

3. Maximieren Sie im Bereich Explorer Ihr Projekt und klicken Sie dann auf Datasets.

4. Klicken Sie auf Übersicht > Tabellen und wählen Sie dann eine Tabelle aus.

5. Klicken Sie auf den Tab Details und dann auf Details bearbeiten.

6. Maximieren Sie den Bereich Tags.

   1. So wenden Sie ein vorhandenes Tag an:

      1. Klicken Sie auf den Drop-down-Pfeil neben Bereich auswählen und wählen Sie Aktueller Bereich – Aktuelle Organisation auswählen oder Aktuelles Projekt auswählen aus.

         Alternativ können Sie auf Bereich auswählen klicken, um nach einer Ressource zu suchen oder eine Liste der aktuellen Ressourcen aufzurufen.

      2. Wählen Sie für Schlüssel 1 und Wert 1 die entsprechenden Werte aus den Listen aus.

   2. So geben Sie ein neues Tag manuell ein:

      1. Klicken Sie auf den Drop-down-Pfeil neben Bereich auswählen und wählen Sie IDs manuell eingeben > Organisation, Projekt oder Tags aus.

      2. Wenn Sie ein Tag für Ihr Projekt oder Ihre Organisation erstellen, geben Sie im Dialogfeld die PROJECT_ID oder die ORGANIZATION_ID ein und klicken Sie dann auf Speichern.

      3. Wählen Sie für Schlüssel 1 und Wert 1 die entsprechenden Werte aus den Listen aus.

   3. Optional: Wenn Sie der Tabelle weitere Tags hinzufügen möchten, klicken Sie auf Tag hinzufügen und folgen Sie der Anleitung oben.

7. Klicken Sie auf Speichern.

SQL

Verwenden Sie die Anweisung ALTER TABLE SET OPTIONS.

Im folgenden Beispiel werden alle Tags für eine vorhandene Tabelle überschrieben.

1. Rufen Sie in der Google Cloud Console die Seite BigQuery auf.

   BigQuery aufrufen

2. Geben Sie im Abfrageeditor die folgende Anweisung ein:

   ALTER TABLE PROJECT_ID.DATASET_ID.TABLE_ID
   SET OPTIONS (
     tags = [('TAG_KEY_1', 'TAG_VALUE_1'), ('TAG_KEY_2', 'TAG_VALUE_2')];)

   Dabei gilt:

   • PROJECT_ID: Ihre Projekt-ID.
   • DATASET_ID: die ID des Datasets, das die Tabelle enthält.
   • TABLE_ID: der Name der Tabelle, die Sie taggen.
   • TAG_KEY_1: der Namespace-Schlüsselname, den Sie als erstes Tag für die Tabelle festlegen möchten, z. B. 'my-project/env' oder '556741164180/department'.
   • TAG_VALUE_1: der Kurzname für den Wert des Tags, z. B. 'prod' oder 'sales'.
   • TAG_KEY_2: Der Namespace-Schlüsselname für das zweite Tag.
   • TAG_VALUE_2: Der Kurzname für den Wert des zweiten Tags.

3. Klicken Sie auf Ausführen.

Informationen zum Ausführen von Abfragen finden Sie unter Interaktive Abfrage ausführen.

Im folgenden Beispiel wird mit dem Operator += ein Tag an eine Tabelle angehängt, ohne vorhandene Tags zu überschreiben. Wenn ein vorhandenes Tag denselben Schlüssel hat, wird es überschrieben.

1. Rufen Sie in der Google Cloud Console die Seite BigQuery auf.

   BigQuery aufrufen

2. Geben Sie im Abfrageeditor die folgende Anweisung ein:

   ALTER TABLE PROJECT_ID.DATASET_ID.TABLE_ID
   SET OPTIONS (
     tags += [('TAG_KEY_1', 'TAG_VALUE_1'), ('TAG_KEY_2', 'TAG_VALUE_2')];)

   Dabei gilt:

   • PROJECT_ID: Ihre Projekt-ID.
   • DATASET_ID: die ID des Datasets, das die Tabelle enthält.
   • TABLE_ID: der Name der Tabelle, die Sie taggen.
   • TAG_KEY_1: der Namespace-Schlüsselname, den Sie als erstes Tag für die Tabelle festlegen möchten, z. B. 'my-project/env' oder '556741164180/department'.
   • TAG_VALUE_1: der Kurzname für den Wert des Tags, z. B. 'prod' oder 'sales'.
   • TAG_KEY_2: Der Namespace-Schlüsselname für das zweite Tag.
   • TAG_VALUE_2: Der Kurzname für den Wert des zweiten Tags.

3. Klicken Sie auf Ausführen.

Informationen zum Ausführen von Abfragen finden Sie unter Interaktive Abfrage ausführen.

bq

Führen Sie den Befehl bq update mit dem Flag --add_tags aus:

bq update \
    --add_tags=TAG \
    PROJECT_ID:DATASET_ID.TABLE_ID

Ersetzen Sie Folgendes:

• TAG: das Tag, das Sie an die Tabelle anhängen. Mehrere Tags werden durch Kommas getrennt. Beispiel: 556741164180/env:prod,myProject/department:sales Jedes Tag muss den Parameter Kurzname des Namespace-Schlüssels und des Namespace haben.
• PROJECT_ID: Die ID des Projekts, das Ihre Tabelle enthält.
• DATASET_ID: die ID des Datasets, das Ihre Tabelle enthält.
• TABLE_ID: Die ID der Tabelle, die Sie aktualisieren.

gcloud

Zum Anhängen eines Tags an ein Dataset über die Befehlszeile erstellen Sie mit dem Befehl gcloud resource-manager tags bindings create eine Tag-Bindungsressource:

gcloud resource-manager tags bindings create \
    --tag-value=TAG_VALUE_NAME \
    --parent=RESOURCE_ID \
    --location=LOCATION

Ersetzen Sie Folgendes:

• TAG_VALUE_NAME: die permanente ID oder der Namespace-Name des Tag-Werts, der angehängt werden soll, z. B. tagValues/4567890123 oder 1234567/my_tag_key/my_tag_value
• RESOURCE_ID: die vollständige ID des Datasets, einschließlich des API-Domainnamens (//bigquery.googleapis.com/), um den Ressourcentyp zu identifizieren, z. B. //bigquery.googleapis.com/projects/my_project/datasets/my_dataset/tables/my_table
• LOCATION: der Standort Ihrer Tabelle.

Terraform

Fügen Sie dem Feld resource_tags der Tabelle Tags hinzu und wenden Sie dann die aktualisierte Konfiguration mit der Ressource google_bigquery_table an. Weitere Informationen finden Sie im Terraform-Beispiel unter Tags beim Erstellen einer neuen Tabelle anhängen.

API

Rufen Sie die Methode tables.update mit einer definierten Tabellenressource auf und fügen Sie die Tags in das Feld resource_tags ein.

An eine Tabelle angehängte Tags auflisten

Sie können die Tags auflisten, die direkt an eine Tabelle angehängt sind. Bei diesem Vorgang werden die Tags, die von übergeordneten Ressourcen übernommen werden, nicht aufgelistet.

Console

1. Rufen Sie in der Google Cloud Console die Seite BigQuery auf.

   BigQuery aufrufen

2. Klicken Sie im linken Bereich auf  Explorer:

   

3. Maximieren Sie im Bereich Explorer Ihr Projekt und klicken Sie dann auf Datasets.

4. Klicken Sie auf Übersicht > Tabellen und wählen Sie dann eine Tabelle aus.

   Die Tags werden auf dem Tab Details angezeigt.

bq

Verwenden Sie den Befehl bq show und suchen Sie nach der Spalte tags. Wenn die Tabelle keine Tags enthält, wird die Spalte tags nicht angezeigt.

bq show \
    PROJECT_ID:DATASET_ID.TABLE_ID

Ersetzen Sie Folgendes:

• PROJECT_ID: Die ID des Projekts, das Ihre Tabelle enthält.
• DATASET_ID: die ID des Datasets, das Ihre Tabelle enthält.
• TABLE_ID: Die ID Ihrer Tabelle

gcloud

Verwenden Sie den Befehl gcloud resource-manager tags bindings list, um eine Liste der Tag-Bindungen abzurufen, die an eine Ressource angehängt sind:

gcloud resource-manager tags bindings list \
    --parent=RESOURCE_ID \
    --location=LOCATION

Ersetzen Sie Folgendes:

• RESOURCE_ID: die vollständige ID der Tabelle, einschließlich des API-Domainnamens (//bigquery.googleapis.com/), um den Ressourcentyp zu identifizieren, z. B. //bigquery.googleapis.com/projects/my_project/datasets/my_dataset/tables/my_table

• LOCATION: der Standort Ihres Datasets

Die Ausgabe sieht etwa so aus:

name: tagBindings/%2F%2Fbigquery.googleapis.com%2Fprojects%2Fmy_project%2Fdatasets%2Fmy_dataset/tagValues/4567890123
parent: //bigquery.googleapis.com/projects/my_project/datasets/my_dataset
tagValue: tagValues/4567890123

Sie können die von BigQuery-Tabellen übernommenen Tags mit der gcloud resource-manager tags bindings list auflisten. Sie können auch die Option --filter für das Attribut namespacedTagValue verwenden, um Tags nach Projekt-ID, Tag-Wert oder Tag-Schlüssel zu filtern.

gcloud resource-manager tags bindings list \
    --parent=//bigquery.googleapis.com/projects/PROJECT_ID/datasets/DATASET_ID/tables/TABLE_ID \
    --effective \
    --filter=namespacedTagValue:TAG_FILTER

Ersetzen Sie Folgendes :

• PROJECT_ID: die ID des Projekts, das Ihr Dataset enthält.

• DATASET_ID: Die ID des Datasets.

• TAG_FILTER: Geben Sie einen Wert an, nach dem für übernommene Tags gefiltert werden soll. Sie haben folgende Möglichkeiten:

  • Nach Tags nach Projekt-ID filtern. Beispiel: myproject.

  • Filtern Sie nach Tag-Werten, indem Sie die permanente ID oder den Namespace-Namen des Tag-Werts angeben. Beispiel: tagValues/4567890123 oder 1234567/my_tag_key/my_tag_value.

  • Filtern Sie nach Tag-Schlüsseln, indem Sie den Anzeigenamen für den Tag-Schlüssel angeben. Beispiel: tagkey

Terraform

Verwenden Sie den Befehl terraform state show, um die Attribute der Tabelle aufzulisten, einschließlich des Felds resource_tags. Führen Sie diesen Befehl in dem Verzeichnis aus, in dem die Terraform-Konfigurationsdatei der Tabelle ausgeführt wurde.

terraform state show google_bigquery_table.default

API

Rufen Sie die Methode tables.get mit einer definierten Tabellenressource auf und suchen Sie nach dem Feld resource_tags.

Aufrufe

Wählen Sie das Dropdown-Menü INFORMATION_SCHEMA.TABLE_OPTIONS Ansicht aus:

Mit der folgenden Abfrage werden beispielsweise alle Tags angezeigt, die an alle Tabellen in einem Dataset angehängt sind. Diese Abfrage gibt eine Tabelle mit Spalten zurück, wie schema_name (der Dataset-Name), option_name (immer 'tags'), object_type (immer ARRAY<STRUCT<STRING, STRING>>) und option_value, das Arrays von STRUCT-Objekten enthält, die Tags darstellen, die mit jedem Dataset verknüpft sind. Bei Tabellen ohne zugewiesene Tags wird in der Spalte option_value ein leeres Array zurückgegeben.

SELECT * from DATASET_ID.INFORMATION_SCHEMA.TABLE_OPTIONS
WHERE option_name='tags'

Ersetzen Sie DATASET_ID durch die ID des Datasets, das Ihre Tabelle enthält.

Hinweis :Mit dem Befehl gcloud resource-manager tags bindings list

können Sie die geerbten Tags nach BigQuery-Dataset und -Tabellen auflisten.

Tags von einer Tabelle trennen

Sie können eine Tag-Zuordnung aus einer Tabelle entfernen, indem Sie die Tag-Bindung löschen. Wenn Sie ein Tag löschen, müssen Sie es zuerst von der Tabelle trennen. Weitere Informationen finden Sie unter Tags löschen.

Console

1. Rufen Sie in der Google Cloud Console die Seite BigQuery auf.

   BigQuery aufrufen

2. Klicken Sie im linken Bereich auf  Explorer:

   

3. Maximieren Sie im Bereich Explorer Ihr Projekt und klicken Sie dann auf Datasets.

4. Klicken Sie auf Übersicht > Tabellen und wählen Sie dann eine Tabelle aus.

5. Klicken Sie auf den Tab Details und dann auf Details bearbeiten.

6. Klicken Sie im Bereich Tags neben dem Tag, das Sie löschen möchten, auf Element löschen.

7. Klicken Sie auf Speichern.

SQL

Verwenden Sie die Anweisung ALTER TABLE SET OPTIONS.

Im folgenden Beispiel werden Tags mithilfe des Operators -= von einer Tabelle getrennt. Wenn Sie alle Tags aus einer Tabelle entfernen möchten, können Sie tags=NULL oder tags=[] angeben.

1. Rufen Sie in der Google Cloud Console die Seite BigQuery auf.

   BigQuery aufrufen

2. Geben Sie im Abfrageeditor die folgende Anweisung ein:

   ALTER TABLE PROJECT_ID.DATASET_ID.TABLE_ID
   SET OPTIONS (
     tags -= [('TAG_KEY_1', 'TAG_VALUE_1'), ('TAG_KEY_2', 'TAG_VALUE_2')];)

   Dabei gilt:

   • PROJECT_ID: Ihre Projekt-ID.
   • DATASET_ID: die ID des Datasets, das die Tabelle enthält.
   • TABLE_ID: der Name der Tabelle, aus der Sie die Tags entfernen.
   • TAG_KEY_1: Der Namespace-Schlüsselname des ersten Tags, das Sie trennen möchten, z. B. 'my-project/env' oder '556741164180/department'.
   • TAG_VALUE_1: Der Kurzname des Werts für das Tag, das Sie trennen möchten, z. B. 'prod' oder 'sales'.
   • TAG_KEY_2: Der Namespace-Schlüsselname für das zweite Tag, das Sie trennen.
   • TAG_VALUE_2: Der Kurzname für den Wert des zweiten Tags, das Sie trennen.

3. Klicken Sie auf Ausführen.

Informationen zum Ausführen von Abfragen finden Sie unter Interaktive Abfrage ausführen.

bq

Verwenden Sie zum Entfernen einiger Tags aus einer Tabelle den Befehl bq update mit dem Flag --remove_tags:

bq update \
    --remove_tags=TAG_KEYS \
    PROJECT_ID:DATASET_ID.TABLE_ID

Ersetzen Sie Folgendes:

• TAG_KEYS: die Tag-Schlüssel, die Sie aus der Tabelle trennen, durch Kommas getrennt. Beispiel: 556741164180/env,myProject/department Jeder Tag-Schlüssel muss den Namespace-Schlüsselnamen haben.
• PROJECT_ID: Die ID des Projekts, das Ihre Tabelle enthält.
• DATASET_ID: die ID des Datasets, das Ihre Tabelle enthält.
• TABLE_ID: Die ID der Tabelle, die Sie aktualisieren.

Verwenden Sie zum Entfernen aller Tags aus einer Tabelle den Befehl bq update mit dem Flag --clear_all_tags:

bq update \
    --clear_all_tags \
    PROJECT_ID:DATASET_ID.TABLE_ID

gcloud

Wenn Sie eine Tag-Verknüpfung aus einer Tabelle über die Befehlszeile entfernen möchten, löschen Sie die Tag-Bindung mit dem Befehl gcloud resource-manager tags bindings delete:

gcloud resource-manager tags bindings delete \
    --tag-value=TAG_VALUE_NAME \
    --parent=RESOURCE_ID \
    --location=LOCATION

Ersetzen Sie Folgendes:

• TAG_VALUE_NAME: die permanente ID oder der Namespace-Name des Tag-Werts, der angehängt werden soll, z. B. tagValues/4567890123 oder 1234567/my_tag_key/my_tag_value
• RESOURCE_ID: die vollständige ID der Tabelle, einschließlich des API-Domainnamens (//bigquery.googleapis.com/), um den Ressourcentyp zu identifizieren, z. B. //bigquery.googleapis.com/projects/my_project/datasets/my_dataset/tables/my_table
• LOCATION: der Standort Ihres Datasets

Terraform

Entfernen Sie die Tags aus dem Feld resource_tags der Tabelle und wenden Sie dann die aktualisierte Konfiguration mit der Ressource google_bigquery_table an.

API

Rufen Sie die Methode tables.update mit einer definierten Tabellenressource auf und entfernen Sie die Tags im Feld resource_tags. Wenn Sie alle Tags entfernen möchten, entfernen Sie das Feld resource_tags.

Andere tabellenähnliche Ressourcen taggen

Sie können BigQuery-Ansichten, materialisierte Ansichten, Klone und Snapshots auf ähnliche Weise taggen.

Spalten mit Tags versehen

Sie können Tabellenspalten mit Data Governance-Tags für die Zugriffssteuerung auf Spaltenebene und die Datenmaskierung taggen.

Tags löschen

Sie können ein Tag nicht löschen, wenn von einer Tabelle, Ansicht oder einem Dataset darauf verwiesen wird. Sie sollten alle vorhandenen Tag-Bindungsressourcen trennen, bevor Sie den Tag-Schlüssel oder -Wert selbst löschen. Informationen zum Löschen von Tag-Schlüsseln und Tag-Werten finden Sie unter Tags löschen.

Beispiel

Angenommen, Sie sind Administrator einer Organisation. Ihre Datenanalysten sind alle Mitglieder der Gruppe [e-mail], die die IAM-Rolle „BigQuery-Datenbetrachter“ für das Projekt userData haben. Es wird ein Datenanalysten-Praktikant eingestellt, der gemäß den Unternehmensrichtlinien nur die Berechtigung haben soll, das Dataset anonymousData im Projekt userData einzusehen. Sie können den Zugriff mithilfe von Tags steuern.

1. Erstellen Sie ein Tag mit dem Schlüssel employee_type und dem Wert intern:

   

2. Rufen Sie in der Google Cloud Console die Seite IAM auf.

   IAM aufrufen

3. Suchen Sie die Zeile mit dem Praktikanten, dessen Dataset-Zugriff Sie einschränken möchten, und klicken Sie in dieser Zeile auf Hauptkonto bearbeiten.

4. Wählen Sie im Menü Rolle die Option BigQuery-Datenbetrachter aus.

5. Klicken Sie auf Bedingung hinzufügen.

6. Geben Sie in den Feldern Titel und Beschreibung Werte ein, die die zu erstellende IAM-Tag-Bedingung beschreiben.

7. Klicken Sie auf dem Tab Tool zur Bedingungserstellung auf Hinzufügen.

8. Wählen Sie im Menü Bedingungstyp die Option Ressource und dann Tag aus.

9. Wählen Sie im Menü Operator die Option hat einen Wert aus.

10. Geben Sie im Feld Wertpfad den Tagwertpfad im Format ORGANIZATION/TAG_KEY/TAG_VALUE ein, z. B. example.org/employee_type/intern.

    

    Diese IAM-Tag-Bedingung beschränkt den Zugriff des Praktikanten auf Datasets mit dem Tag intern.

11. Klicken Sie auf Speichern, um die Tag-Bedingung zu speichern.

12. Klicken Sie auf Speichern, um alle Änderungen zu speichern, die Sie im Bereich Berechtigungen bearbeiten vorgenommen haben.

13. Führen Sie mithilfe der Befehlszeile den Befehl gcloud resource-manager tags bindings create aus, um den Tag-Wert intern an das Dataset anonymousData anzuhängen. Beispiel:

    gcloud resource-manager tags bindings create \
        --tag-value=tagValues/4567890123 \
        --parent=//bigquery.googleapis.com/projects/userData/datasets/anonymousData \
        --location=US
    

Zugriff auf Spalten mit Data-Governance-Tags steuern

Vorschau

Diese Funktion unterliegt den „Bedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA‑Funktionen stehen in der vorliegenden Form zur Verfügung und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie unter den Beschreibungen der Startphase.

Hinweis: Wenn Sie Feedback geben oder Support für dieses Feature anfordern möchten, senden Sie eine E-Mail an [e-mail].

Mit Data-Governance-Tags können Sie Sicherheit auf Spaltenebene und Datenmaskierung in BigQuery erzwingen. Data-Governance-Tags sind eine Art von Resource Manager-Tag, das Sie an vertrauliche Spalten anhängen und in BigQuery-Datenrichtlinien verwenden können, um Ihren Nutzern bedingten Zugriff zu gewähren.

Sie können die Sicherheit auf Spaltenebene konfigurieren, indem Sie Data-Governance-Tags erstellen und an BigQuery-Spalten anhängen. Erstellen Sie dann BigQuery-Datenrichtlinien, die auf diese Tags verweisen. Diese Richtlinien wenden Regeln für die Datenmaskierung an oder gewähren bestimmten Nutzern Zugriff auf Rohdaten, sodass nur autorisierte Identitäten vertrauliche Daten sehen.

Weitere Informationen finden Sie unter Einführung in die Zugriffssteuerung auf Spaltenebene und Einführung in die Datenmaskierung.

Vorbereitung für die Verwendung von Governance-Tags

1. Installieren Sie die Google Cloud CLI.

   Hinweis:Wenn Sie die gcloud CLI zuvor installiert haben, prüfen Sie, ob Sie die aktuelle Version haben, indem Sie gcloud components update ausführen.

2. Wenn Sie einen externen Identitätsanbieter (IdP) verwenden, müssen Sie sich zuerst mit Ihrer föderierten Identität in der gcloud CLI anmelden.

3. Führen Sie den folgenden Befehl aus, um die gcloud CLI zu initialisieren:

   gcloud init

4. Zum Erstellen und Verwalten von Data Governance-Tags müssen Sie die BigQuery Enterprise Edition verwenden.

Erforderliche Rollen für Data-Governance-Tags

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Steuern des Spaltenzugriffs mit Data Governance-Tags benötigen:

• Data-Governance-Tags erstellen:
  • Tag-Administrator (roles/resourcemanager.tagAdmin) für das Projekt oder die Organisation
  • Organisationsbetrachter (roles/resourcemanager.organizationViewer) für die Organisation
• Tags an Spalten anhängen oder daraus entfernen:
  • BigQuery-Dateninhaber (roles/bigquery.dataOwner) für die Tabelle
  • Tag-Nutzer (roles/resourcemanager.tagUser) für die Organisation, das Projekt oder den Tag-Wert
• Datenrichtlinien erstellen und verwalten: BigQuery Admin (roles/bigquerydatapolicy.admin) für das Projekt

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Data-Governance-Tags erstellen

Erstellen Sie den Data-Governance-Tag-Schlüssel und seine Werte.

Tag-Schlüssel erstellen

Wenn Sie einen Schlüssel für ein Data-Governance-Tag erstellen möchten, legen Sie beim Erstellen des Tag-Schlüssels das Feld purpose auf DATA_GOVERNANCE fest. Wenn Sie diesen Zweck festlegen, wird das Tag für die Sicherheit auf Spaltenebene oder die Datenmaskierung kategorisiert und von allgemeinen Ressourcentags in BigQuery unterschieden.

gcloud

1. Zum Abrufen der aktuellen Richtlinie führen Sie den Befehl gcloud resource-manager tags keys create aus:

   gcloud resource-manager tags keys create TAG_KEY \
       --parent=projects/PROJECT_ID \
       --purpose=DATA_GOVERNANCE
   

   Ersetzen Sie Folgendes:

   • TAG_KEY: Der Kurzname für den Tag-Schlüssel.
   • PROJECT_ID: die ID Ihres Google Cloud-Projekts. Wenn Sie eine Organisation anstelle eines Projekts angeben möchten, verwenden Sie organizations/ORGANIZATION_ID anstelle von projects/PROJECT_ID.

API

1. Senden Sie eine POST-Anfrage an den tagKeys-Endpunkt:

   curl --request POST \
     "https://cloudresourcemanager.googleapis.com/v3/tagKeys" \
     --header "Authorization: Bearer $(gcloud auth print-access-token)" \
     --header 'Accept: application/json' \
     --header 'Content-Type: application/json' \
     --data '{"shortName":"TAG_KEY","parent":"projects/PROJECT_ID","purpose":"DATA_GOVERNANCE"}' \
     --compressed
   

   Ersetzen Sie Folgendes:

   • TAG_KEY: Der Kurzname für den Tag-Schlüssel.
   • PROJECT_ID: die ID Ihres Google Cloud-Projekts. Wenn Sie eine Organisation anstelle eines Projekts angeben möchten, verwenden Sie organizations/ORGANIZATION_ID anstelle von projects/PROJECT_ID.

Tag-Wert erstellen

So fügen Sie einem Tag-Schlüssel einen oder mehrere Werte hinzu:

gcloud

1. Rufen Sie den Namespace-Namen für den Tag-Schlüssel mit dem Befehl gcloud resource-manager tags keys list ab:

   gcloud resource-manager tags keys list --parent=projects/PROJECT_ID
   

2. Erstellen Sie mit dem Befehl gcloud resource-manager tags values create einen neuen Wert:

   gcloud resource-manager tags values create TAG_VALUE \
       --parent=PROJECT_ID/TAG_KEY
   

   Ersetzen Sie Folgendes:

   • TAG_VALUE: Ein vom Nutzer angegebener Kurzname des Tag-Werts.
   • PROJECT_ID: die ID Ihres Google Cloud-Projekts. Wenn Sie eine Organisation anstelle eines Projekts angeben möchten, verwenden Sie stattdessen ORGANIZATION_ID.

API

1. Rufen Sie den Namespace-Namen für den Tag-Schlüssel ab:

   curl --request GET \
       "https://cloudresourcemanager.googleapis.com/v3/tagKeys/namespaced?name=PROJECT_ID/TAG_KEY" \
       --header "Authorization: Bearer $(gcloud auth print-access-token)" \
       --header 'Accept: application/json'
   

   Die Antwort enthält das Feld name, z. B. tagKeys/4567890123.

2. Senden Sie eine POST-Anfrage an den tagValues-Endpunkt mit dem Namen des Tag-Schlüssels:

   curl --request POST \
     "https://cloudresourcemanager.googleapis.com/v3/tagValues" \
     --header "Authorization: Bearer $(gcloud auth print-access-token)" \
     --header 'Accept: application/json' \
     --header 'Content-Type: application/json' \
     --data '{"shortName":"TAG_VALUE","parent":"tagKeys/TAG_KEY_ID"}' \
     --compressed
   

   Ersetzen Sie Folgendes:

   • TAG_VALUE: Ein vom Nutzer angegebener Kurzname des Tag-Werts.
   • PROJECT_ID: die ID Ihres Google Cloud-Projekts. Wenn Sie eine Organisation anstelle eines Projekts angeben möchten, verwenden Sie stattdessen ORGANIZATION_ID.
   • TAG_KEY_ID: der Namespace-Name für den Tag-Schlüssel aus Schritt 1. Wenn der Name des Tag-Schlüssels beispielsweise tagKeys/4567890123 ist, lautet die ID des Tag-Schlüssels 4567890123.

Hierarchische Tag-Werte erstellen

Optional können Sie einen untergeordneten Tag-Wert erstellen, der einem Tag-Wert untergeordnet ist, und einen hierarchischen Baum aus Data-Governance-Tag-Werten erstellen. Die Hierarchie kann bis zu fünf Ebenen tief sein, wie im folgenden Diagramm dargestellt:

gcloud

Wenn Sie einen untergeordneten Tag-Wert erstellen möchten, führen Sie den Befehl gcloud resource-manager tags values create aus und geben Sie im Flag --parent einen übergeordneten Tag-Wert an:

gcloud resource-manager tags values create CHILD_TAG_VALUE \
--parent=PROJECT_ID/TAG_KEY/PARENT_TAG_VALUE

Ersetzen Sie Folgendes:

• CHILD_TAG_VALUE: Der Kurzname für den untergeordneten Tag-Wert, den Sie erstellen.
• PROJECT_ID: die ID Ihres Projekts in Google Cloud . Wenn Sie eine Organisation anstelle eines Projekts angeben möchten, verwenden Sie stattdessen ORGANIZATION_ID.
• TAG_KEY: Der Kurzname des Tag-Schlüssels, der das übergeordnete Element des Tag-Werts ist.
• PARENT_TAG_VALUE: Der Kurzname des übergeordneten Tag-Werts.

API

Verwenden Sie zum Erstellen eines untergeordneten Tag-Werts den Ressourcennamen des übergeordneten Tag-Werts (z. B. tagValues/123456789012) im Feld parent:

curl --request POST \
  "https://cloudresourcemanager.googleapis.com/v3/tagValues" \
  --header "Authorization: Bearer $(gcloud auth print-access-token)" \
  --header 'Accept: application/json' \
  --header 'Content-Type: application/json' \
  --data '{"shortName":"CHILD_TAG_VALUE","parent":"tagValues/PARENT_TAG_VALUE_ID"}' \
  --compressed

Ersetzen Sie Folgendes:

• CHILD_TAG_VALUE: Der Kurzname für den untergeordneten Tag-Wert, den Sie erstellen.
• PARENT_TAG_VALUE_ID: Die numerische ID des übergeordneten Tag-Werts.

Data-Governance-Tags an BigQuery-Spalten anhängen

Hängen Sie die von Ihnen erstellten Data-Governance-Tags an die BigQuery-Spalten an, die Sie schützen möchten.

SQL

Neue Tabelle mit einer getaggten Spalte erstellen

Wenn Sie beim Erstellen einer neuen Tabelle Tags für die Data Governance anhängen möchten, verwenden Sie die Anweisung CREATE TABLE. Geben Sie das Tag an, indem Sie die Option data_governance_tags für die Spalte festlegen.

CREATE TABLE PROJECT_ID.DATASET_ID.TABLE_ID (
  COLUMN_NAME INT64 OPTIONS (data_governance_tags=[("PROJECT_ID/TAG_KEY", "TAG_VALUE")])
);

Ersetzen Sie Folgendes:

• PROJECT_ID: die ID Ihres Projekts in Google Cloud . Wenn Sie eine Organisation anstelle eines Projekts als übergeordnetes Element Ihres Tags angeben möchten, verwenden Sie stattdessen Ihre ORGANIZATION_ID für das Tag-Schlüsselformat (ORGANIZATION_ID/TAG_KEY).
• DATASET_ID: die ID des Datasets, in dem sich die Tabelle befindet.
• TABLE_ID: Die ID der Tabelle, die Sie erstellen.
• COLUMN_NAME: Der Name der Spalte, die Sie taggen möchten.
• TAG_KEY: Der anzuwendende Tag-Schlüssel.
• TAG_VALUE: der Tag-Wert, den Sie anwenden möchten.

Tag zu einer vorhandenen Tabelle hinzufügen

Verwenden Sie die Anweisung ALTER TABLE, um Data-Governance-Tags an eine Spalte in einer vorhandenen Tabelle anzuhängen und die Option data_governance_tags für die Spalte festzulegen.

ALTER TABLE PROJECT_ID.DATASET_ID.TABLE_ID
ALTER COLUMN COLUMN_NAME SET OPTIONS (data_governance_tags=[("PROJECT_ID/TAG_KEY", "TAG_VALUE")]);

bq-Befehlszeile

Neue Tabelle mit einer getaggten Spalte erstellen

1. Wenn Sie eine lokale JSON-Schemadatei erstellen möchten, in der das Tag definiert wird, führen Sie den Befehl bq mk aus:

   bq mk \
       --table \
       --project_id=PROJECT_ID \
       --description="description of my table" \
       --schema=SCHEMA_FILE.json \
       DATASET_ID.TABLE_ID
   

   Ersetzen Sie Folgendes:

   • PROJECT_ID: die ID Ihres Google Cloud-Projekts. Wenn Sie anstelle eines Projekts eine Organisation als übergeordnetes Element Ihres Tags angeben möchten, verwenden Sie ORGANIZATION_ID anstelle des Tag-Schlüsselformats (ORGANIZATION_ID/TAG_KEY).
   • DATASET_ID: die ID des Datasets, in dem sich die Tabelle befindet.
   • TABLE_ID: die ID der Tabelle, die Sie erstellen.

Tag zu einer vorhandenen Tabelle hinzufügen

1. Wenn Sie einer vorhandenen Tabelle ein Tag hinzufügen möchten, exportieren Sie zuerst das Schema in eine lokale Datei:

   bq show \
       --project_id=PROJECT_ID \
       --schema \
       --format=prettyjson \
       DATASET_ID.TABLE_ID > SCHEMA_FILE.json
   

2. Bearbeiten Sie die Schemadatei, um das dataGovernanceTagsInfo-Objekt der Spalte hinzuzufügen. Beispiel:

   [
     {
       "description": "my sensitive column",
       "mode": "NULLABLE",
       "name": "Column_X",
       "type": "INT64",
       "dataGovernanceTagsInfo": {
         "dataGovernanceTags": {
           "PROJECT_ID/TAG_KEY": "TAG_VALUE"
         }
       }
     },
     {
       "mode": "REQUIRED",
       "name": "column2",
       "type": "FLOAT"
     }
   ]
   

3. Aktualisieren Sie die Tabelle, um der vertraulichen Spalte mit dem Befehl bq update Tags anzuhängen:

   bq update \
       --project_id=PROJECT_ID \
       --schema=SCHEMA_FILE.json \
       DATASET_ID.TABLE_ID
   

   Sie können auch den Befehl bq update verwenden, um vorhandene Tags zu entfernen und neue anzuhängen.

API

Neue Tabelle mit einer getaggten Spalte erstellen

Verwenden Sie die Methode tables.insert. Geben Sie im Anfragetext das Feld dataGovernanceTagsInfo an.

```json
{
  "schema": {
    "fields": [
      {
        "name": "Column_X",
        "type": "INT64",
        "description": "sensitive column",
        "dataGovernanceTagsInfo": {
          "dataGovernanceTags": {
            "PROJECT_ID/TAG_KEY": "TAG_VALUE"
          }
        }
      }
    ]
  }
}
```

Tag zu einer vorhandenen Tabelle hinzufügen

1. Rufen Sie die aktuelle Tabellenressource mit der Methode tables.get ab.

2. Ändern Sie die Tabellenressource, um das Feld dataGovernanceTagsInfo für die Zielspalte einzufügen.

3. Rufen Sie die Methode tables.update oder tables.patch mit der aktualisierten Tabellenressource auf.

Datenrichtlinien erstellen und verwalten

BigQuery-Datenrichtlinien erstellen und verwalten, die auf Tags zur Data Governance verweisen, um Maskierungsregeln oder Richtlinien für den Datenzugriff auf Rohdaten anzuwenden.

Nachdem eine Datenrichtlinie für eine mit einem Tag versehene Spalte erstellt wurde, können nur die in dieser Richtlinie angegebenen Nutzer auf die Spalte zugreifen, sofern sie auch Zugriff auf die Tabelle haben. Allen anderen Nutzern wird der Zugriff verweigert.

Datenrichtlinien erstellen

API

Erstellen Sie eine Datenrichtlinie, die eine vordefinierte SHA256-Maskierungsregel verwendet, oder eine Richtlinie für den Rohdatenzugriff.

Datenrichtlinie mit einer vordefinierten SHA256-Maskierungsregel erstellen

Wenn Sie eine Datenrichtlinie mit einer vordefinierten SHA256-Maskierungsregel erstellen möchten, senden Sie eine POST-Anfrage an den dataPolicies-Endpunkt:

curl --request POST \
    "https://bigquerydatapolicy.googleapis.com/v2/projects/PROJECT_ID/locations/LOCATION/dataPolicies" \
    --header "Authorization: Bearer $(gcloud auth print-access-token)" \
    --header 'Accept: application/json' \
    --header 'Content-Type: application/json' \
    --data '{"dataPolicy":{"dataPolicyType":"DATA_MASKING_POLICY","dataMaskingPolicy":{"predefinedExpression":"SHA256"},"grantees": ["principal://goog/subject/EMAIL_ADDRESS"],"dataGovernanceTag":{"key":"PROJECT_ID/TAG_KEY","value":"TAG_VALUE"}},"dataPolicyId":"POLICY_ID"}' \
    --compressed

Ersetzen Sie Folgendes:

• PROJECT_ID: die ID Ihres Google Cloud-Projekts. Wenn Sie anstelle eines Projekts eine Organisation als übergeordnetes Element Ihres Tags angeben möchten, verwenden Sie Ihre ORGANIZATION_ID anstelle des dataGovernanceTag.key-Formats (ORGANIZATION_ID/TAG_KEY).
• LOCATION: Die Region, in der Sie die Datenrichtlinie erstellen. Weitere Informationen finden Sie unter Standorte der Datenrichtlinie.
• EMAIL_ADDRESS: die E-Mail-Adresse des Nutzers, dem Zugriff gewährt werden soll.
• TAG_KEY: Der Kurzname für den Tag-Schlüssel.
• TAG_VALUE: Ein vom Nutzer angegebener Kurzname des Tag-Werts.
• POLICY_ID: Die ID für die Datenrichtlinie.

Richtlinie für den Rohdatenzugriff erstellen

Wenn Sie eine Zugriffsrichtlinie für Rohdaten erstellen möchten, legen Sie dataPolicyType auf RAW_DATA_ACCESS_POLICY fest:

curl --request POST \
    "https://bigquerydatapolicy.googleapis.com/v2/projects/PROJECT_ID/locations/LOCATION/dataPolicies" \
    --header "Authorization: Bearer $(gcloud auth print-access-token)" \
    --header 'Accept: application/json' \
    --header 'Content-Type: application/json' \
    --data '{"dataPolicy":{"dataPolicyType":"RAW_DATA_ACCESS_POLICY","grantees": ["principal://goog/subject/EMAIL_ADDRESS"],"dataGovernanceTag":{"key":"PROJECT_ID/TAG_KEY","value":"TAG_VALUE"}},"dataPolicyId":"POLICY_ID"}' \
    --compressed

Datenrichtlinien aktualisieren

Aktualisieren Sie eine vorhandene Datenrichtlinie, um zusätzlichen Nutzern Zugriff zu gewähren.

API

1. Wenn Sie Nutzer hinzufügen möchten, indem Sie eine Richtlinie direkt aktualisieren, rufen Sie zuerst die aktuelle Richtlinie und ihr etag ab:

   curl --request GET \
       "https://bigquerydatapolicy.googleapis.com/v2/projects/PROJECT_ID/locations/LOCATION/dataPolicies/POLICY_ID" \
       --header "Authorization: Bearer $(gcloud auth print-access-token)" \
       --header 'Accept: application/json' \
       --header 'Content-Type: application/json' \
       --compressed
   

2. Senden Sie eine PATCH-Anfrage mit der aktualisierten Liste der Empfänger und dem etag aus dem vorherigen Schritt:

   curl -X PATCH \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     -d '{
       "grantees": ["principal://goog/subject/[e-mail]","principal://iam.googleapis.com/projects/-/serviceAccounts/SA_EMAIL_ADDRESS"],
       "etag": "ETAG"
     }'  \
   "https://bigquerydatapolicy.googleapis.com/v2/projects/PROJECT_ID/locations/LOCATION/dataPolicies/POLICY_ID?updateMask=grantees"
   

   Ersetzen Sie ETAG durch den Wert etag, der im vorherigen Schritt von der GET-Anfrage zurückgegeben wurde.

   Alternativ können Sie die Methode addGrantees verwenden, um einer Richtlinie Nutzer hinzuzufügen:

   curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     -d '{
       "grantees": ["principal://goog/subject/[e-mail]","principal://iam.googleapis.com/projects/-/serviceAccounts/SA_EMAIL_ADDRESS"]
     }'  \
   "https://bigquerydatapolicy.googleapis.com/v2/projects/PROJECT_ID/locations/LOCATION/dataPolicies/POLICY_ID:addGrantees"
   

3. Wenn Sie Nutzer aus einer Richtlinie entfernen möchten, verwenden Sie die Methode removeGrantees:

   curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     -d '{
       "grantees": ["principal://goog/subject/[e-mail]","principal://iam.googleapis.com/projects/-/serviceAccounts/SA_EMAIL_ADDRESS"]
     }'  \
   "https://bigquerydatapolicy.googleapis.com/v2/projects/PROJECT_ID/locations/LOCATION/dataPolicies/POLICY_ID:removeGrantees"
   

Datenrichtlinien löschen

API

Senden Sie zum Löschen einer Datenrichtlinie eine DELETE-Anfrage an den Endpunkt dataPolicies:

curl --request DELETE \
"https://bigquerydatapolicy.googleapis.com/v2/projects/PROJECT_ID/locations/LOCATION/dataPolicies/POLICY_ID" \
--header "Authorization: Bearer $(gcloud auth print-access-token)" \
--header 'Accept: application/json' \
--header 'Content-Type: application/json' \
--compressed

Datenrichtlinien auflisten

API

Wenn Sie Datenrichtlinien auflisten möchten, die auf einen Tag-Schlüssel verweisen, senden Sie eine GET-Anfrage an den Endpunkt dataPolicies mit einem filter-Parameter:

curl --request GET \
"https://bigquerydatapolicy.googleapis.com/v2/projects/PROJECT_ID/locations/LOCATION/dataPolicies?filter=dataGovernanceTag:PROJECT_ID/TAG_KEY" \
--header "Authorization: Bearer $(gcloud auth print-access-token)" \
--header 'Accept: application/json' \
--header 'Content-Type: application/json' \
--compressed

Interaktionen mit anderen Funktionen

In diesem Abschnitt wird beschrieben, wie Data Governance-Tags mit anderen BigQuery-Funktionen interagieren.

Funktion	Interaktion
Informationsschema	Data-Governance-Tags, die an Spalten angehängt sind, sind in den Ansichten INFORMATION_SCHEMA.COLUMNS und INFORMATION_SCHEMA.COLUMN_FIELD_PATHS enthalten.
Tabelle kopieren	Das regionsübergreifende Kopieren von Tabellen ist für Tabellen mit Sicherheitsfunktionen auf Spaltenebene deaktiviert, einschließlich Tabellen mit Data Governance-Tags.
Zeitreise	Der Zugriff auf Verlaufsdaten von Tabellen unterliegt den Zugriffsrichtlinien und Tags, die der Tabelle zugewiesen sind.

Standardprojekt für Datenrichtlinien konfigurieren

Wenn Sie auf Spalten zugreifen, die durch Data-Governance-Tags geschützt sind, wertet BigQuery standardmäßig nur die Datenrichtlinien in dem Projekt aus, in dem sich die Tabelle befindet. In anderen Projekten definierte Datenrichtlinien gelten nicht, sofern ein Administrator kein Standardprojekt für Datenrichtlinien auf Organisationsebene konfiguriert.

Wenn für Ihre Organisation ein Standardprojekt für Datenrichtlinien konfiguriert ist, werden bei der Bestimmung des Spaltenzugriffs sowohl die Datenrichtlinien des Projekts der Tabelle als auch die des Standardprojekts für Datenrichtlinien berücksichtigt.

Wenn ein Nutzer sowohl im Projekt der Tabelle als auch im Standardprojekt für Datenrichtlinien widersprüchlichen Datenrichtlinien unterliegt, haben die Datenrichtlinien im Projekt der Tabelle Vorrang.

Informationen zum Festlegen oder Aufrufen der Option default_data_policy_projects auf Organisationsebene mit DDL oder INFORMATION_SCHEMA-Ansichten finden Sie in der Dokumentation zur Standardkonfiguration unter Einstellungen für die Datenverwaltung.

Einschränkungen von Data-Governance-Tags

• BigQuery Omni-Tabellen unterstützen keine Data Governance-Tags für Spalten.
• In der Google Cloud Console können Sie Data Governance-Tags für Spalten aufrufen, aber nicht binden oder entbinden.
• Sie können ein Tag pro Spalte und bis zu 1.000 einzelne Tags pro Tabelle binden.
• Wenn Sie eine mit einem Tag versehene Spalte mit der BigQuery Storage Read API, tabledata.list-Aufrufen oder Platzhaltertabellen abfragen, erhalten Sie eine Fehlermeldung vom Typ „Zugriff verweigert“, sofern Sie nicht durch eine Datenrichtlinie Zugriff erhalten.
• Für STRUCT-Felder können Sie Data-Governance-Tags nur auf die Blattfelder anwenden.
• Sie können Tag-Werte löschen, die an Spalten angehängt sind. Wenn Sie einen Tag-Wert löschen, bleibt die Tag-Bindung in der Spalte erhalten. Da der Tag-Wert jedoch nicht mehr vorhanden ist, kann der Zugriff auf die Spalte verloren gehen.

Fehlerbehebung bei Data-Governance-Tags

In diesem Abschnitt wird beschrieben, wie Sie häufige Probleme bei der Steuerung des Zugriffs auf Spalten mit Data Governance-Tags beheben.

Falsch formatierte Tag-Namen

Wenn Sie Tags erstellen, definieren Sie einen Kurznamen (z. B. ssn). Wenn Sie jedoch Tags an Spalten in Ihrem Schema anhängen oder sie in Bedingungen verwenden, muss für den Tag-Schlüssel das Namespace-Format (PROJECT_ID/TAG_KEY oder ORGANIZATION_ID/TAG_KEY) verwendet werden, während für den Tag-Wert weiterhin der Kurzname verwendet wird. Wenn Sie nur den Kurznamen für den Tag-Schlüssel angeben, wird ein Invalid tagKey- oder Invalid tagValue-Fehler ausgegeben.

Projektübergreifende Richtlinienanwendung

Standardmäßig werden nur die Datenrichtlinien des Projekts der Tabelle ausgewertet. Richtlinien aus anderen Projekten werden nicht angewendet, sofern kein Standardprojekt für Datenrichtlinien auf Organisationsebene konfiguriert ist. Weitere Informationen zum Konfigurieren und Auswerten von projektübergreifenden Richtlinien finden Sie unter Standardprojekt für Datenrichtlinien konfigurieren.

Nächste Schritte

• Eine Übersicht über Tags in Google Cloudfinden Sie unter Tags – Übersicht.
• Weitere Informationen zur Verwendung von Tags finden Sie unter Tags erstellen und verwalten.
• Weitere Informationen zum Anwenden von Richtlinien auf Spalten
• Informationen zum Steuern des Zugriffs auf BigQuery-Ressourcen mit IAM Conditions finden Sie unter Zugriff mit IAM Conditions steuern.