Protégez vos données BigQuery dans Data Studio à l'aide de VPC Service Controls et de comptes de service. Vous pouvez appliquer des niveaux d'accès basés sur les adresses IP et configurer des identifiants dédiés compatibles avec les rapports automatisés.
Prise en charge de VPC Service Controls
Data Studio peut se connecter de manière sécurisée à des projets BigQuery protégés par des périmètres VPC Service Controls (VPC-SC). Le connecteur transmet l'adresse IP de l'utilisateur final du lecteur de rapport à BigQuery, ce qui permet à Google Cloud d'appliquer les niveaux d'accès basés sur l'adresse IP du lecteur configurés.
Limites de VPC Service Controls
Par défaut, les livraisons en arrière-plan automatisées (comme les instantanés d'e-mails programmés, les alertes de seuil et les extractions de données planifiées) ne fonctionnent pas avec les ensembles de données protégés uniquement par des niveaux d'accès basés sur l'adresse IP. Comme les tâches en arrière-plan ne s'exécutent pas à partir d'une adresse IP d'utilisateur final, VPC Service Controls bloque la requête.
Pour utiliser les fonctionnalités de création de rapports automatisée derrière les périmètres VPC Service Controls, configurez la connexion à votre source de données pour qu'elle utilise des identifiants de compte de service ou créez un niveau d'accès qui autorise les requêtes en arrière-plan.
Étant donné que Data Studio s'exécute sur une infrastructure gérée par Google avec des adresses IP dynamiques et des allocations de projet, vous ne pouvez pas configurer de périmètres VPC Service Controls à l'aide de règles de projet ou de listes d'adresses IP statiques autorisées. Pour autoriser l'accès à Data Studio via un périmètre VPC Service Controls, vous devez ajouter un compte de service en tant qu'entité principale dans vos niveaux d'accès ou vos règles d'entrée et de sortie.
Configurer un compte de service Google Cloud
Les comptes de service empêchent les rapports de se rompre si un employé quitte l'entreprise. Ils permettent également un accès sécurisé au réseau à l'intérieur des périmètres VPC-SC. Au lieu de déléguer l'accès à l'aide de l'option Identifiants du propriétaire ou de demander à chaque lecteur de rapports d'avoir accès aux données à l'aide de l'option Identifiants du lecteur, les administrateurs peuvent configurer un compte de service Google Cloud dédié pour interroger les données.
Pour examiner les attributions de rôle requises (roles/bigquery.dataViewer, roles/bigquery.jobUser) et les étapes de configuration dans la console Google Cloud , consultez Configurer un compte de service Google Cloud pour Data Studio.