IAM によるアクセス制御

このドキュメントでは、Dataform で次の操作を行う方法について説明します。

• Dataform に必要なアクセス権を付与する。
• IAM を使用して Dataform へのアクセスを制御する
• IAM を使用して個々のテーブルへのアクセスを制御する。

始める前に

Google Cloud アカウントにログインします。 Google Cloudを初めて使用する場合は、 アカウントを作成して、実際のシナリオでの Google プロダクトのパフォーマンスを評価してください。新規のお客様には、ワークロードの実行、テスト、デプロイができる無料クレジット $300 分を差し上げます。

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Roles required to enable APIs

To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

Enable the APIs

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Roles required to enable APIs

To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

Enable the APIs

Dataform に必要なアクセス権を付与する

このセクションでは、Dataform サービス エージェントとカスタム サービス アカウントが BigQuery でワークフローを実行するために必要な Identity and Access Management（IAM）ロールを付与する方法について説明します。

カスタム サービス アカウントと Dataform サービス エージェントについて

カスタム サービス アカウントを構成して、次の方法でワークフローを代行実行できます。

• リポジトリ レベルで、特定のリポジトリ内のすべてのワークフローを実行。
• ワークフロー構成ごとに個別に構成。

Dataform リポジトリまたはワークフロー構成を作成する際は、サービス アカウントに対する act-as 権限を持つ任意のサービス アカウントを選択できます。Dataform リソースに関連付けられているすべてのサービス アカウントに必要な act-as 権限を構成する必要があります。

重要: すべてのリポジトリに厳格な act-as モードが適用されます。これにより、ワークフローの実行に明示的な権限借用権限が必要になるため、安全な権限モデルが確保されます。

注: Dataform リポジトリとは異なるGoogle Cloud プロジェクトからカスタム サービス アカウントを構成する場合は、明示的なクロス プロジェクトの関連付け権限が必要です。詳細については、プロジェクト間のサービス アカウントの接続を処理するをご覧ください。

最初の Dataform リポジトリを作成すると、Dataform がサービス エージェントを自動的に生成します。Dataform は、サービス エージェントを使用してユーザーに代わって BigQuery を操作します。

Dataform サービス エージェント ID の形式は次のとおりです。

[e-mail]

PROJECT_NUMBER は、Google Cloud プロジェクトの数値 ID に置き換えます。 Google Cloud プロジェクト ID は、Google Cloud コンソール ダッシュボードで確認できます。詳細については、プロジェクト名、番号、ID を確認するをご覧ください。

警告: 最小権限の原則に従うため、Dataform サービス エージェントに過度に制限のないロールを付与しないでください。詳細については、Security Command Center でサービス エージェントの権限をモニタリングするをご覧ください。

Dataform サービス エージェント、カスタム サービス アカウント、Google アカウントに必要なロール

Dataform での認証に使用される Dataform サービス エージェント、カスタム サービス アカウント、Google アカウントのユーザー認証情報（プレビュー）は、BigQuery でワークフローを実行するために、次の BigQuery IAM ロールが必要です。

• Dataform が読み取りと書き込みの両方のアクセス権を必要とするプロジェクトに対する BigQuery データ編集者（roles/bigquery.dataEditor）。通常は、Dataform リポジトリをホストするプロジェクトが含まれます。
• Dataform が読み取り専用アクセス権を必要とするプロジェクトに対する BigQuery データ閲覧者（roles/bigquery.dataViewer）。
• Dataform リポジトリをホストするプロジェクトに対する BigQuery ジョブユーザー（roles/bigquery.jobUser）。
• BigQuery データセットに対してクエリを実行する場合の BigQuery データオーナー（roles/bigquery.dataOwner）。
• BigQuery ポリシータグを使用する場合の列レベルのアクセス制御のための BigQuery のロール。

また、ワークフロー構成の有効なサービス アカウントで、Dataform サービス エージェントに次のロールを付与します。これらのロールは、厳密な act-as モードが機能するために必要です。

• サービス アカウント ユーザー（roles/iam.serviceAccountUser）
• サービス アカウント トークン作成者（roles/iam.serviceAccountTokenCreator）

注: Dataform サービス エージェントにサービス アカウント トークン作成者のロールを付与すると、プロジェクト内のすべての Dataform リポジトリでカスタム サービス アカウントにアクセスできるようになります。これは、すべてのワークフロー実行で安全な権限借用チェックを容易にするために、厳格な act-as モードで必要です。

リポジトリの自動リリースとワークフローの自動実行を行うには、Dataform サービス エージェントに有効なサービス アカウントに対する iam.serviceAccounts.actAs 権限を付与します。

セキュリティ上の考慮事項

Dataform で必要なロールを Dataform サービス エージェント、カスタム サービス アカウント、またはユーザーの Google アカウント（プレビュー）に付与する際には、次のセキュリティに関する考慮事項があります。

• 必要なロールが付与されたカスタム サービス アカウントは、VPC Service Controls に関係なく、サービス アカウントが属するプロジェクトの BigQuery または Secret Manager へのアクセス権を取得する可能性があります。Dataform がカスタム サービス アカウントを使用してワークフローを実行すると、Dataform リクエストは、リポジトリを含むプロジェクトの VPC Service Controls 境界内から発信されたものとして扱われます。そのため、これらのリソースが同じサービス境界内にある場合、VPC Service Controls は Dataform と他のサービス（BigQuery や Secret Manager など）間の通信をブロックしません。

  これらのセキュリティ境界の管理方法の詳細については、VPC Service Controls を構成するをご覧ください。

• dataform.repositories.create IAM 権限を持つユーザーは、Dataform サービス エージェントと、そのサービス エージェントまたはサービス アカウントに付与されたすべての権限を使用してコードを実行できます。

  詳細については、Dataform 権限のセキュリティに関する考慮事項をご覧ください。

• 安全な権限モデルを維持するには、Dataform サービス エージェントのロール バインディングを定期的に監査します。モニタリングの詳細な手順については、Security Command Center でサービス エージェントの権限をモニタリングするをご覧ください。

ユーザー、サービス エージェント、サービス アカウントが BigQuery で読み書きできるデータを制限するために、選択した BigQuery データセットまたはテーブルに対して、細かな BigQuery IAM 権限を付与できます。詳細については、データセットへのアクセスの制御とテーブルとビューへのアクセスの制御をご覧ください。

ユーザーが他のユーザーの Google アカウントのユーザー認証情報を使用して操作を行うのを防ぐため、次の制限が適用されます。

• 別の Google アカウントのユーザー認証情報が関連付けられているワークフロー構成を変更するには、自分の Google アカウントのユーザー認証情報をワークフロー構成に関連付けるか、カスタム サービス アカウントで認証するようにワークフロー構成を変更する必要があります。
• 別の Google アカウント ユーザーの認証情報が関連付けられているリリース構成を参照するワークフロー構成がある場合、リリース構成のコンパイル結果を変更することはできません。

• ワークフロー構成で Google アカウントのユーザー認証情報を設定し、スケジュールでリリース構成を参照することはできません。この制限には次の影響があります。

  • Google アカウントのユーザー認証情報で認証するように設定されているリリース構成を参照するワークフロー構成がある場合、スケジュールを使用するようにリリース構成を更新することはできません。
  • Google アカウントのユーザー認証情報で認証し、スケジュールを含むリリース構成を指すワークフロー構成を作成することはできません。
  • Google アカウントのユーザー認証情報を使用して、スケジュールでリリース構成を参照するようにワークフロー構成を作成または更新することはできません。

必要な BigQuery ロールを付与する

Dataform サービス エージェント、Dataform で使用するカスタム サービス アカウント、または Dataform で認証に使用するユーザーの Google アカウント（プレビュー）に必要な BigQuery IAM ロールを付与する手順は次のとおりです。

1. Google Cloud コンソールで、[Dataform] ページに移動します。

   Dataform に移動

2. リポジトリを作成または選択します。

   注: Dataform リポジトリのリストには、Dataform ワークフロー開発用に作成されたリポジトリのみが含まれます。ノートブックや保存済みクエリなどの BigQuery Studio アセットのリポジトリは個別に管理され、このリストには表示されません。

3. Google Cloud コンソールで、[IAM] ページに移動します。

   [IAM] に移動

4. [アクセス権を付与] をクリックします。

5. [新しいプリンシパル] フィールドに、サービス エージェント ID、サービス アカウント ID、またはユーザーの Google アカウントのメールアドレス（プレビュー）を入力します。

6. [ロールを選択] リストで、[BigQuery ジョブユーザー] ロールを選択します。

7. [別のロールを追加] をクリックし、[ロールを選択] プルダウン リストで [BigQuery データ編集者] ロールを選択します。

8. [別のロールを追加] をクリックし、[ロールを選択] プルダウン リストで [BigQuery データ閲覧者] ロールを選択します。

9. [保存] をクリックします。

自動ワークフローに必要なロールを付与する

Dataform でカスタム サービス アカウントを使用するには、Dataform サービス エージェントがカスタム サービス アカウントにアクセスできる必要があります。これにより、Dataform は、サービス エージェントのアカウントではなく、カスタム サービス アカウントで定義された権限を使用してワークフローを実行できます。

このアクセス権を付与するには、プリンシパルとして Dataform サービス エージェントにサービス アカウント トークン作成者ロール（roles/iam.serviceAccountTokenCreator）を付与する必要があります。これにより、Dataform サービス エージェントは、トークンと呼ばれる有効期間の短い認証情報を作成して、サービス アカウントの権限を借用できます。これらのトークンは、Dataform がカスタム サービス アカウントの ID を使用してワークフローを実行するために必要です。

また、Dataform サービス エージェントにサービス アカウント ユーザーロール（roles/iam.serviceAccountUser）を付与する必要があります。これにより、Dataform サービス エージェントは、カスタム サービス アカウントによって実行されるワークフロー構成の新しい自動ワークフロー実行を開始できます。

Dataform サービス エージェントにカスタム サービス アカウントへのアクセス権を付与する手順は次のとおりです。

1. Google Cloud コンソールで、[IAM] > [サービス アカウント] に移動します。

   [サービス アカウント] に移動

2. カスタム サービス アカウントが配置されている Google Cloud プロジェクトを選択します。

3. [プロジェクト「PROJECT_NAME」のサービス アカウント] ページで、カスタム サービス アカウントを選択します。

4. [アクセス権を持つプリンシパル] に移動し、[アクセス権を付与] をクリックします。

5. [新しいプリンシパル] フィールドに、Dataform サービス エージェント ID を入力します。

   Dataform サービス エージェント ID の形式は次のとおりです。

   [e-mail]
   

6. [ロールを選択] リストで、[サービス アカウント トークン作成者] ロールと [サービス アカウント ユーザー] ロールを選択します。

7. [保存] をクリックします。

これで、カスタム サービス アカウントを Dataform リポジトリ内で構成できるようになりました。

サービス アカウントの構成を監査する

このセクションでは、Dataform リソースを監査して、サービス アカウントの適切な使用と権限付与を確保する方法について説明します。監査は、カスタム サービス アカウントを使用する場合に特に重要です。カスタム サービス アカウントでは、Dataform サービス エージェントが動作するために特定の権限が必要になるためです。

Dataform リポジトリまたはワークフロー構成にカスタム サービス アカウントを使用する場合は、Dataform サービス エージェントにカスタム サービス アカウントに対するサービス アカウント ユーザーのロール（roles/iam.serviceAccountUser）があることを確認する必要があります。このロールは iam.serviceAccounts.actAs 権限を付与します。これにより、Dataform サービス エージェントによって開始されたスケジュール設定された実行は、カスタム サービス アカウントの権限を借用できます。また、Dataform サービス エージェントに、有効なサービス アカウントに対するサービス アカウント トークン作成者ロール（roles/iam.serviceAccountTokenCreator）が付与されていることを確認します。

リポジトリのサービス アカウントを確認する

まず、Dataform 独自のスケジューリングと実行のスコープ内の dataform.Repository アセットを特定します。次に、スコープ内のリポジトリのサービス アカウント構成を確認します。

1. Cloud Asset Inventory を使用して、dataform.Repository タイプのすべてのリソースを一覧表示します。詳細については、アセットを表示するをご覧ください。

2. Cloud Asset Inventory の出力の各リポジトリについて、resource.data.labels フィールドを調べて、スコープ内にあるかどうかを確認します。正確なパスは、エクスポート形式によって若干異なる場合があります。

3. single-file-asset-type キーのラベルマップを調べて、範囲外のリポジトリを特定します。このキーが存在する場合、リポジトリが BigQuery 機能で使用されていることを示します。値が sql または data_canvas の場合、リポジトリはサービス アカウントの権限チェックから除外できます。

   このキーまたは値がない残りのリポジトリは、サービス アカウントの権限チェックのスコープ内にあります。

4. スコープ内の各リポジトリについて、Cloud Asset Inventory の出力で resource.data.serviceAccount フィールドを確認し、カスタム サービス アカウントが構成されているかどうかを判断します。

   • resource.data.serviceAccount フィールドが存在し、その値がプロジェクトの Dataform サービス エージェントのメールアドレスと異なる場合、リポジトリはカスタム サービス アカウントを使用します。

   • resource.data.serviceAccount フィールドがない場合、またはフィールドの値がプロジェクトの Dataform サービス エージェントと一致する場合、リポジトリはサービス エージェントを使用します。

     注: カスタム サービス アカウントが構成されているはずなのに resource.data.serviceAccount フィールドが存在しない場合は、まず Google Cloud コンソールでリポジトリの構成を再確認します。サービス アカウントがリポジトリで構成されているにもかかわらず、Cloud Asset Inventory の出力に表示されない場合は、Cloud カスタマーケアにお問い合わせください。

5. カスタム サービス アカウントが使用されている場合は、Dataform サービス エージェントに、そのカスタム サービス アカウントに対するサービス アカウント ユーザーのロール（roles/iam.serviceAccountUser）とサービス アカウント トークン作成者のロール（roles/iam.serviceAccountTokenCreator）の両方が付与されていることを確認します。

ワークフロー構成サービス アカウントを確認する

Dataform ワークフロー構成に専用のカスタム サービス アカウントを使用することは、最小権限の原則に沿ったセキュリティのベスト プラクティスです。

dataform.WorkflowConfig resources のサービス アカウントの使用状況を確認するには、次の操作を行います。

1. Cloud Asset Inventory を使用して、dataform.WorkflowConfig タイプのすべてのリソースを一覧表示します。

2. ワークフロー構成ごとに、Cloud Asset Inventory の出力を調べて、有効なサービス アカウントを特定します。

   • resource.data.serviceAccount フィールドが存在する場合、この値はワークフロー構成で明示的に設定されたサービス アカウントのメールアドレスです。
   • resource.data.serviceAccount フィールドがない場合、ワークフロー構成は親リポジトリからサービス アカウントを継承します。親リポジトリの構成を確認して、有効なサービス アカウントを見つけます。

3. 有効なサービス アカウントのメールアドレスとプロジェクトの Dataform サービス エージェントのメールアドレスを比較して、カスタム サービス アカウントが使用されているかどうかを確認します。異なる場合は、カスタム サービス アカウントが使用されています。

4. カスタム サービス アカウントが使用されている場合は、Dataform サービス エージェントに、そのカスタム サービス アカウントに対するサービス アカウント ユーザーロール（roles/iam.serviceAccountUser）とサービス アカウント トークン作成者ロール（roles/iam.serviceAccountTokenCreator）の両方が付与されていることを確認します。これらの権限により、Dataform サービス エージェントはカスタム サービス アカウントを偽装してワークフローの実行を開始できます。

Security Command Center でサービス エージェントの権限をモニタリングする

最小権限の原則を継続的に遵守するため、Security Command Center でプロジェクトを積極的にモニタリングし、権限が過剰なサービス アカウントとサービス エージェントに関連する検出結果を確認します。

Security Command Center で修復の検出結果を確認して適用する手順については、IAM Recommender の検出結果とコンソールで ID の検出結果を調査するをご覧ください。

Dataform サービス エージェントの SERVICE_AGENT_GRANTED_BASIC_ROLE の検出結果を修復する場合は、権限が過剰なロールを、特定のスコープのリソースに必要な最小限の権限を持つ事前定義ロールに置き換えます。たとえば、特定のサービス アカウントに対するサービス アカウント ユーザーロール（roles/iam.serviceAccountUser）を付与します。

注意: ロールを削除する前、または IAM Recommender の推奨事項を適用する前に、非本番環境で Dataform 構成を徹底的にテストしてください。

IAM を使用して Dataform へのアクセスを制御する

このセクションでは、Dataform のアクセス制御オプションについて説明し、Dataform のロールを表示して付与する方法について説明します。Dataform は、Identity and Access Management（IAM）を使用してアクセス制御を行います。IAM のロールと権限の詳細については、IAM のロールと権限のインデックスをご覧ください。

Dataform の事前定義ロール

次の表に、Dataform リソースへのアクセスを許可する事前定義ロールを一覧表示します。

Role	Permissions
Dataform Admin (roles/dataform.admin) Full access to all Dataform resources.	dataform.* dataform.commentThreads.create dataform.commentThreads.delete dataform.commentThreads.get dataform.commentThreads.list dataform.commentThreads.update dataform.comments.create dataform.comments.delete dataform.comments.get dataform.comments.list dataform.comments.update dataform.compilationResults.create dataform.compilationResults.get dataform.compilationResults.list dataform.compilationResults.query dataform.config.get dataform.config.update dataform.folders.addContents dataform.folders.create dataform.folders.delete dataform.folders.deleteTree dataform.folders.get dataform.folders.getIamPolicy dataform.folders.move dataform.folders.queryContents dataform.folders.setIamPolicy dataform.folders.update dataform.locations.get dataform.locations.list dataform.operations.cancel dataform.operations.delete dataform.operations.get dataform.operations.list dataform.releaseConfigs.create dataform.releaseConfigs.delete dataform.releaseConfigs.get dataform.releaseConfigs.list dataform.releaseConfigs.update dataform.repositories.commit dataform.repositories.computeAccessTokenStatus dataform.repositories.create dataform.repositories.delete dataform.repositories.fetchHistory dataform.repositories.fetchRemoteBranches dataform.repositories.get dataform.repositories.getIamPolicy dataform.repositories.list dataform.repositories.move dataform.repositories.queryDirectoryContents dataform.repositories.readFile dataform.repositories.scheduleRelease dataform.repositories.scheduleWorkflow dataform.repositories.setIamPolicy dataform.repositories.update dataform.teamFolders.create dataform.teamFolders.delete dataform.teamFolders.deleteTree dataform.teamFolders.get dataform.teamFolders.getIamPolicy dataform.teamFolders.setIamPolicy dataform.teamFolders.update dataform.workflowConfigs.create dataform.workflowConfigs.delete dataform.workflowConfigs.get dataform.workflowConfigs.list dataform.workflowConfigs.update dataform.workflowInvocations.cancel dataform.workflowInvocations.create dataform.workflowInvocations.delete dataform.workflowInvocations.get dataform.workflowInvocations.list dataform.workflowInvocations.query dataform.workspaces.commit dataform.workspaces.create dataform.workspaces.delete dataform.workspaces.fetchFileDiff dataform.workspaces.fetchFileGitStatuses dataform.workspaces.fetchGitAheadBehind dataform.workspaces.get dataform.workspaces.getIamPolicy dataform.workspaces.installNpmPackages dataform.workspaces.list dataform.workspaces.makeDirectory dataform.workspaces.moveDirectory dataform.workspaces.moveFile dataform.workspaces.pull dataform.workspaces.push dataform.workspaces.queryDirectoryContents dataform.workspaces.readFile dataform.workspaces.removeDirectory dataform.workspaces.removeFile dataform.workspaces.reset dataform.workspaces.searchFiles dataform.workspaces.setIamPolicy dataform.workspaces.writeFile resourcemanager.projects.get resourcemanager.projects.list
Dataform Editor (roles/dataform.editor) Edit access to Workspaces and Read-only access to Repositories.	dataform.commentThreads.get dataform.commentThreads.list dataform.comments.get dataform.comments.list dataform.compilationResults.* dataform.compilationResults.create dataform.compilationResults.get dataform.compilationResults.list dataform.compilationResults.query dataform.config.get dataform.folders.get dataform.folders.getIamPolicy dataform.folders.queryContents dataform.locations.* dataform.locations.get dataform.locations.list dataform.operations.get dataform.operations.list dataform.releaseConfigs.get dataform.releaseConfigs.list dataform.repositories.computeAccessTokenStatus dataform.repositories.fetchHistory dataform.repositories.fetchRemoteBranches dataform.repositories.get dataform.repositories.getIamPolicy dataform.repositories.list dataform.repositories.queryDirectoryContents dataform.repositories.readFile dataform.teamFolders.get dataform.teamFolders.getIamPolicy dataform.workflowConfigs.get dataform.workflowConfigs.list dataform.workflowInvocations.* dataform.workflowInvocations.cancel dataform.workflowInvocations.create dataform.workflowInvocations.delete dataform.workflowInvocations.get dataform.workflowInvocations.list dataform.workflowInvocations.query dataform.workspaces.commit dataform.workspaces.create dataform.workspaces.delete dataform.workspaces.fetchFileDiff dataform.workspaces.fetchFileGitStatuses dataform.workspaces.fetchGitAheadBehind dataform.workspaces.get dataform.workspaces.getIamPolicy dataform.workspaces.installNpmPackages dataform.workspaces.list dataform.workspaces.makeDirectory dataform.workspaces.moveDirectory dataform.workspaces.moveFile dataform.workspaces.pull dataform.workspaces.push dataform.workspaces.queryDirectoryContents dataform.workspaces.readFile dataform.workspaces.removeDirectory dataform.workspaces.removeFile dataform.workspaces.reset dataform.workspaces.searchFiles dataform.workspaces.writeFile resourcemanager.projects.get resourcemanager.projects.list
Dataform Viewer (roles/dataform.viewer) Read-only access to all Dataform resources.	dataform.commentThreads.get dataform.commentThreads.list dataform.comments.get dataform.comments.list dataform.compilationResults.get dataform.compilationResults.list dataform.compilationResults.query dataform.config.get dataform.folders.get dataform.folders.getIamPolicy dataform.folders.queryContents dataform.locations.* dataform.locations.get dataform.locations.list dataform.operations.get dataform.operations.list dataform.releaseConfigs.get dataform.releaseConfigs.list dataform.repositories.computeAccessTokenStatus dataform.repositories.fetchHistory dataform.repositories.fetchRemoteBranches dataform.repositories.get dataform.repositories.getIamPolicy dataform.repositories.list dataform.repositories.queryDirectoryContents dataform.repositories.readFile dataform.teamFolders.get dataform.teamFolders.getIamPolicy dataform.workflowConfigs.get dataform.workflowConfigs.list dataform.workflowInvocations.get dataform.workflowInvocations.list dataform.workflowInvocations.query dataform.workspaces.fetchFileDiff dataform.workspaces.fetchFileGitStatuses dataform.workspaces.fetchGitAheadBehind dataform.workspaces.get dataform.workspaces.getIamPolicy dataform.workspaces.list dataform.workspaces.queryDirectoryContents dataform.workspaces.readFile dataform.workspaces.searchFiles resourcemanager.projects.get resourcemanager.projects.list
Code Commenter ^Beta (roles/dataform.codeCommenter) Permissions to comment, at the repository level. Grants CRUD access over commentThread and comment resources.	dataform.commentThreads.* dataform.commentThreads.create dataform.commentThreads.delete dataform.commentThreads.get dataform.commentThreads.list dataform.commentThreads.update dataform.comments.* dataform.comments.create dataform.comments.delete dataform.comments.get dataform.comments.list dataform.comments.update dataform.folders.get dataform.folders.queryContents dataform.locations.get dataform.repositories.get dataform.repositories.readFile resourcemanager.projects.get resourcemanager.projects.list
Code Creator (roles/dataform.codeCreator) Access only to private and shared code resources. The permissions in the Code Creator let you create and list code in Dataform, and access only the code that you created and code that was explicitly shared with you.	dataform.commentThreads.get dataform.commentThreads.list dataform.comments.get dataform.comments.list dataform.folders.create dataform.locations.* dataform.locations.get dataform.locations.list dataform.repositories.create dataform.repositories.list resourcemanager.projects.get resourcemanager.projects.list
Code Editor (roles/dataform.codeEditor) Edit access code resources.	dataform.commentThreads.* dataform.commentThreads.create dataform.commentThreads.delete dataform.commentThreads.get dataform.commentThreads.list dataform.commentThreads.update dataform.comments.* dataform.comments.create dataform.comments.delete dataform.comments.get dataform.comments.list dataform.comments.update dataform.compilationResults.* dataform.compilationResults.create dataform.compilationResults.get dataform.compilationResults.list dataform.compilationResults.query dataform.folders.addContents dataform.folders.create dataform.folders.get dataform.folders.getIamPolicy dataform.folders.queryContents dataform.locations.* dataform.locations.get dataform.locations.list dataform.operations.get dataform.repositories.commit dataform.repositories.computeAccessTokenStatus dataform.repositories.create dataform.repositories.fetchHistory dataform.repositories.fetchRemoteBranches dataform.repositories.get dataform.repositories.getIamPolicy dataform.repositories.list dataform.repositories.queryDirectoryContents dataform.repositories.readFile dataform.workspaces.commit dataform.workspaces.create dataform.workspaces.delete dataform.workspaces.fetchFileDiff dataform.workspaces.fetchFileGitStatuses dataform.workspaces.fetchGitAheadBehind dataform.workspaces.get dataform.workspaces.getIamPolicy dataform.workspaces.installNpmPackages dataform.workspaces.list dataform.workspaces.makeDirectory dataform.workspaces.moveDirectory dataform.workspaces.moveFile dataform.workspaces.pull dataform.workspaces.push dataform.workspaces.queryDirectoryContents dataform.workspaces.readFile dataform.workspaces.removeDirectory dataform.workspaces.removeFile dataform.workspaces.reset dataform.workspaces.searchFiles dataform.workspaces.writeFile resourcemanager.projects.get resourcemanager.projects.list
Code Owner (roles/dataform.codeOwner) Full access to code resources.	dataform.commentThreads.* dataform.commentThreads.create dataform.commentThreads.delete dataform.commentThreads.get dataform.commentThreads.list dataform.commentThreads.update dataform.comments.* dataform.comments.create dataform.comments.delete dataform.comments.get dataform.comments.list dataform.comments.update dataform.compilationResults.* dataform.compilationResults.create dataform.compilationResults.get dataform.compilationResults.list dataform.compilationResults.query dataform.folders.* dataform.folders.addContents dataform.folders.create dataform.folders.delete dataform.folders.deleteTree dataform.folders.get dataform.folders.getIamPolicy dataform.folders.move dataform.folders.queryContents dataform.folders.setIamPolicy dataform.folders.update dataform.locations.* dataform.locations.get dataform.locations.list dataform.operations.get dataform.operations.list dataform.repositories.commit dataform.repositories.computeAccessTokenStatus dataform.repositories.create dataform.repositories.delete dataform.repositories.fetchHistory dataform.repositories.fetchRemoteBranches dataform.repositories.get dataform.repositories.getIamPolicy dataform.repositories.list dataform.repositories.move dataform.repositories.queryDirectoryContents dataform.repositories.readFile dataform.repositories.setIamPolicy dataform.repositories.update dataform.workspaces.* dataform.workspaces.commit dataform.workspaces.create dataform.workspaces.delete dataform.workspaces.fetchFileDiff dataform.workspaces.fetchFileGitStatuses dataform.workspaces.fetchGitAheadBehind dataform.workspaces.get dataform.workspaces.getIamPolicy dataform.workspaces.installNpmPackages dataform.workspaces.list dataform.workspaces.makeDirectory dataform.workspaces.moveDirectory dataform.workspaces.moveFile dataform.workspaces.pull dataform.workspaces.push dataform.workspaces.queryDirectoryContents dataform.workspaces.readFile dataform.workspaces.removeDirectory dataform.workspaces.removeFile dataform.workspaces.reset dataform.workspaces.searchFiles dataform.workspaces.setIamPolicy dataform.workspaces.writeFile resourcemanager.projects.get resourcemanager.projects.list
Code Scheduler ^Beta (roles/dataform.codeScheduler) Access for scheduling workflows and releases.	dataform.releaseConfigs.create dataform.workflowConfigs.create
Code Viewer (roles/dataform.codeViewer) Read-only access to all code resources.	dataform.compilationResults.* dataform.compilationResults.create dataform.compilationResults.get dataform.compilationResults.list dataform.compilationResults.query dataform.folders.get dataform.folders.getIamPolicy dataform.folders.queryContents dataform.locations.* dataform.locations.get dataform.locations.list dataform.repositories.computeAccessTokenStatus dataform.repositories.fetchHistory dataform.repositories.fetchRemoteBranches dataform.repositories.get dataform.repositories.getIamPolicy dataform.repositories.list dataform.repositories.queryDirectoryContents dataform.repositories.readFile dataform.workspaces.fetchFileDiff dataform.workspaces.fetchFileGitStatuses dataform.workspaces.fetchGitAheadBehind dataform.workspaces.get dataform.workspaces.getIamPolicy dataform.workspaces.list dataform.workspaces.queryDirectoryContents dataform.workspaces.readFile dataform.workspaces.searchFiles resourcemanager.projects.get resourcemanager.projects.list
Team Folder Commenter ^Beta (roles/dataform.teamFolderCommenter) View and comment access to a team folder and its contents.	dataform.commentThreads.* dataform.commentThreads.create dataform.commentThreads.delete dataform.commentThreads.get dataform.commentThreads.list dataform.commentThreads.update dataform.comments.* dataform.comments.create dataform.comments.delete dataform.comments.get dataform.comments.list dataform.comments.update dataform.compilationResults.* dataform.compilationResults.create dataform.compilationResults.get dataform.compilationResults.list dataform.compilationResults.query dataform.folders.get dataform.folders.getIamPolicy dataform.folders.queryContents dataform.locations.* dataform.locations.get dataform.locations.list dataform.repositories.computeAccessTokenStatus dataform.repositories.fetchHistory dataform.repositories.fetchRemoteBranches dataform.repositories.get dataform.repositories.getIamPolicy dataform.repositories.list dataform.repositories.queryDirectoryContents dataform.repositories.readFile dataform.teamFolders.get dataform.teamFolders.getIamPolicy dataform.workspaces.fetchFileDiff dataform.workspaces.fetchFileGitStatuses dataform.workspaces.fetchGitAheadBehind dataform.workspaces.get dataform.workspaces.getIamPolicy dataform.workspaces.list dataform.workspaces.queryDirectoryContents dataform.workspaces.readFile dataform.workspaces.searchFiles resourcemanager.projects.get resourcemanager.projects.list
Team Folder Contributor (roles/dataform.teamFolderContributor) Edit access to a team folder and its contents.	dataform.commentThreads.* dataform.commentThreads.create dataform.commentThreads.delete dataform.commentThreads.get dataform.commentThreads.list dataform.commentThreads.update dataform.comments.* dataform.comments.create dataform.comments.delete dataform.comments.get dataform.comments.list dataform.comments.update dataform.compilationResults.* dataform.compilationResults.create dataform.compilationResults.get dataform.compilationResults.list dataform.compilationResults.query dataform.folders.addContents dataform.folders.create dataform.folders.get dataform.folders.getIamPolicy dataform.folders.queryContents dataform.locations.* dataform.locations.get dataform.locations.list dataform.operations.get dataform.repositories.commit dataform.repositories.computeAccessTokenStatus dataform.repositories.create dataform.repositories.fetchHistory dataform.repositories.fetchRemoteBranches dataform.repositories.get dataform.repositories.getIamPolicy dataform.repositories.list dataform.repositories.queryDirectoryContents dataform.repositories.readFile dataform.teamFolders.get dataform.teamFolders.getIamPolicy dataform.teamFolders.update dataform.workspaces.commit dataform.workspaces.create dataform.workspaces.delete dataform.workspaces.fetchFileDiff dataform.workspaces.fetchFileGitStatuses dataform.workspaces.fetchGitAheadBehind dataform.workspaces.get dataform.workspaces.getIamPolicy dataform.workspaces.installNpmPackages dataform.workspaces.list dataform.workspaces.makeDirectory dataform.workspaces.moveDirectory dataform.workspaces.moveFile dataform.workspaces.pull dataform.workspaces.push dataform.workspaces.queryDirectoryContents dataform.workspaces.readFile dataform.workspaces.removeDirectory dataform.workspaces.removeFile dataform.workspaces.reset dataform.workspaces.searchFiles dataform.workspaces.writeFile resourcemanager.projects.get resourcemanager.projects.list
Team Folder Creator (roles/dataform.teamFolderCreator) Access to create new team folders.	dataform.teamFolders.create
Team Folder Owner (roles/dataform.teamFolderOwner) Full access to a team folder and its contents. Can share the team folder and its contents.	dataform.commentThreads.* dataform.commentThreads.create dataform.commentThreads.delete dataform.commentThreads.get dataform.commentThreads.list dataform.commentThreads.update dataform.comments.* dataform.comments.create dataform.comments.delete dataform.comments.get dataform.comments.list dataform.comments.update dataform.compilationResults.* dataform.compilationResults.create dataform.compilationResults.get dataform.compilationResults.list dataform.compilationResults.query dataform.folders.* dataform.folders.addContents dataform.folders.create dataform.folders.delete dataform.folders.deleteTree dataform.folders.get dataform.folders.getIamPolicy dataform.folders.move dataform.folders.queryContents dataform.folders.setIamPolicy dataform.folders.update dataform.locations.* dataform.locations.get dataform.locations.list dataform.operations.get dataform.operations.list dataform.repositories.commit dataform.repositories.computeAccessTokenStatus dataform.repositories.create dataform.repositories.delete dataform.repositories.fetchHistory dataform.repositories.fetchRemoteBranches dataform.repositories.get dataform.repositories.getIamPolicy dataform.repositories.list dataform.repositories.move dataform.repositories.queryDirectoryContents dataform.repositories.readFile dataform.repositories.setIamPolicy dataform.repositories.update dataform.teamFolders.delete dataform.teamFolders.deleteTree dataform.teamFolders.get dataform.teamFolders.getIamPolicy dataform.teamFolders.setIamPolicy dataform.teamFolders.update dataform.workspaces.* dataform.workspaces.commit dataform.workspaces.create dataform.workspaces.delete dataform.workspaces.fetchFileDiff dataform.workspaces.fetchFileGitStatuses dataform.workspaces.fetchGitAheadBehind dataform.workspaces.get dataform.workspaces.getIamPolicy dataform.workspaces.installNpmPackages dataform.workspaces.list dataform.workspaces.makeDirectory dataform.workspaces.moveDirectory dataform.workspaces.moveFile dataform.workspaces.pull dataform.workspaces.push dataform.workspaces.queryDirectoryContents dataform.workspaces.readFile dataform.workspaces.removeDirectory dataform.workspaces.removeFile dataform.workspaces.reset dataform.workspaces.searchFiles dataform.workspaces.setIamPolicy dataform.workspaces.writeFile resourcemanager.projects.get resourcemanager.projects.list
Team Folder Viewer (roles/dataform.teamFolderViewer) View access to a team folder and its contents.	dataform.compilationResults.* dataform.compilationResults.create dataform.compilationResults.get dataform.compilationResults.list dataform.compilationResults.query dataform.folders.get dataform.folders.getIamPolicy dataform.folders.queryContents dataform.locations.* dataform.locations.get dataform.locations.list dataform.repositories.computeAccessTokenStatus dataform.repositories.fetchHistory dataform.repositories.fetchRemoteBranches dataform.repositories.get dataform.repositories.getIamPolicy dataform.repositories.list dataform.repositories.queryDirectoryContents dataform.repositories.readFile dataform.teamFolders.get dataform.teamFolders.getIamPolicy dataform.workspaces.fetchFileDiff dataform.workspaces.fetchFileGitStatuses dataform.workspaces.fetchGitAheadBehind dataform.workspaces.get dataform.workspaces.getIamPolicy dataform.workspaces.list dataform.workspaces.queryDirectoryContents dataform.workspaces.readFile dataform.workspaces.searchFiles resourcemanager.projects.get resourcemanager.projects.list

Service agent roles

Service agent roles should only be granted to service agents.

Role	Permissions
Dataform Service Agent (roles/dataform.serviceAgent) Gives permission for the Dataform API to access a secret from Secret Manager Warning: Do not grant service agent roles to any principals except service agents.	dataform.compilationResults.create dataform.workflowInvocations.create resourcemanager.projects.get resourcemanager.projects.list

カスタム Dataform ロール

カスタムロールには、指定した権限を含めることができます。開発ワークスペースの作成や、開発ワークスペース内のファイルとディレクトリの作成など、特定の管理オペレーションを実行する権限を含むカスタムロールを作成できます。カスタムロールを作成するには、カスタムロールの作成と管理をご覧ください。

Dataform 権限のセキュリティに関する考慮事項

dataform.repositories.create 権限を持つユーザーは、カスタム サービス アカウントと、そのサービス アカウントに付与されたすべての権限を使用して、BigQuery でコードを実行できます。これには、Dataform ワークフローの実行が含まれます。

すべてのリポジトリで厳格な act-as モードが適用されるため、dataform.repositories.create 権限では、後続のワークフローの実行のために、ユーザーがカスタム サービス アカウントに対する act-as 権限を持つことが暗黙的に要求されます。これにより、明示的な権限借用権限を持つユーザーのみが、サービス アカウントの ID を使用してコードを実行できるようになります。

dataform.repositories.create 権限は、次の IAM ロールに含まれています。

• BigQuery 管理者（roles/bigquery.admin）
• BigQuery ジョブユーザー（roles/bigquery.jobUser）
• BigQuery Studio ユーザー（roles/bigquery.studioUser）
• BigQuery ユーザー（roles/bigquery.user）
• コード作成者（roles/dataform.codeCreator）
• コードエディタ（roles/dataform.codeEditor）
• コードオーナー（roles/dataform.codeOwner）
• Colab Enterprise ユーザー（roles/aiplatform.colabEnterpriseUser）
• Dataform 管理者（roles/dataform.admin）

ユーザーまたはサービス アカウントが BigQuery で読み書きできるデータを制限するために、選択した BigQuery データセットまたはテーブルに対して、細かな BigQuery IAM 権限を付与できます。詳細については、データセットへのアクセスの制御とテーブルとビューへのアクセスの制御をご覧ください。

カスタム サービス アカウントと、必要なロールと権限の詳細については、Dataform に必要なアクセス権を付与するをご覧ください。

パッケージのインストール中のシークレットへのアクセス

Secret Manager シークレットを使用して非公開 NPM パッケージを構成すると、リポジトリ内の特定の Git コミットからコードの変更やコードのコンパイルのトリガーを行う権限を持つユーザーが、これらのシークレットにアクセスできる可能性があります。

パッケージのインストール中（ワークスペースでパッケージを手動でインストールするとき、または特定の Git コミットからコードをコンパイルするときにトリガーされる）、NPM クライアントは .npmrc ファイルから認証情報を読み取り、構成された NPM レジストリに認証トークンを送信します。ワークスペース内の .npmrc ファイルを変更する権限を持つユーザーは、レジストリ リクエストを外部サーバーにリダイレクトしてシークレットにアクセスするように設定を構成できます。

注: 認証トークンが外部サーバーによって傍受されるリスクは、パッケージのインストールに固有のものです。コンパイル中に実行されるカスタム JavaScript コードは、Dataform コンパイル サンドボックスにアウトバウンド ネットワーク アクセスがないため、シークレットに直接アクセスできません。

このインストールとトークンの漏洩の可能性は、次のようなシナリオで発生する可能性があります。

• ワークスペース パッケージのインストール: ワークスペース内で手動でトリガーされます。これには、ワークスペースの編集権限が必要です。この権限は、Dataform 編集者（roles/dataform.editor）ロールまたは Dataform コード編集者（roles/dataform.codeEditor）ロールで確認できます。

• Git Commitish のコンパイル: リポジトリ内の Git 参照（ブランチやタグなど）のコンパイル結果を作成するときに自動的にトリガーされます。このシナリオには dataform.compilationResults.create 権限が必要です。

  注: コード閲覧者ロール（roles/dataform.codeViewer）には dataform.compilationResults.create 権限が含まれているため、このロールを持つユーザーは、リモート Git リポジトリにコードを commit できます（ Google Cloudの外部でも）。

認証情報を保護するには、次のことをおすすめします。

• リポジトリ編集権限（Dataform コード編集者など）またはコンパイル権限（Dataform コード閲覧者など）を持つロールは、信頼できるユーザーにのみ付与します。

• 組織のポリシーを使用して、Dataform が接続できるリモートの Git リポジトリを制限します。詳細については、リモート リポジトリを制限するをご覧ください。

• Dataform サービス エージェントの Secret Manager へのアクセスを、必要なシークレットのみに制限します。

Dataform のロールを表示する

Google Cloud コンソールで、次の操作を行います。

1. [IAM と管理] > [ロール] ページに移動します。

   [ロール] に移動

2. [フィルタ] フィールドで [次の中で使用] を選択し、「Dataform」と入力して Enter キーを押します。

3. 一覧表示されたロールのいずれかをクリックして、右側のペインにロールの権限を表示します。

   たとえば、Dataform 管理者のロールには、すべての Dataform リソースに対する完全なアクセス権が付与されます。

プロジェクトに対するロールの付与については、ロールの付与をご覧ください。 この方法を使用して事前定義ロールまたはカスタムロールを付与できます。

個々のリポジトリへのアクセスを制御する

きめ細かい権限で Dataform へのアクセスを制御するには、Dataform API の repositories.setIamPolicy リクエストを使用して、個々のリポジトリに Dataform IAM ロールを設定します。

個々の Dataform リポジトリに Dataform IAM ロールを設定する手順は次のとおりです。

1. ターミナルで、アクセス ポリシーを使用して Dataform API repositories.setIamPolicy リクエストを渡します。

2. ポリシーで、次の形式でユーザー、グループ、ドメイン、サービス エージェント、サービス アカウントを選択したロールにバインドします。

   {
   "policy":
      {
         "bindings": [
         {
            "role": "roles/ROLE",
            "members": [
               "TYPE:IDENTIFIER",
            ]
         },
         ],
      }
   }
   

   次のように置き換えます。

   • ROLE: リポジトリに付与する Dataform IAM ロール。
   • またはTYPEuser
   • IDENTIFIER: ロールを付与するユーザー、グループ、ドメイン、サービス アカウント。

3. IAM ページで、すべてのユーザーが dataform.repositories.list 権限を持つ Dataform ロールを使用して、Dataform リポジトリの完全なリストを表示できることを確認します。

4. IAM で、すべての Dataform リポジトリに対する完全なアクセス権を必要とするユーザーにのみ、すべてのリポジトリに対する Dataform 管理者のロールが付与されていることを確認します。

次のコマンドは、sales リポジトリに対する Dataform 編集者のロールを付与する repositories.setIamPolicy Dataform API リクエストを単一のユーザーに渡します。

curl -H "Content-Type: application/json" -X POST -d '{ "policy": { "bindings": [{ "role": "roles/dataform.editor", "members": ["user:[e-mail]"]}] }}' "https://dataform.googleapis.com/v1/projects/examplepetstore/locations/us-central1/repositories/sales:setIamPolicy"

リポジトリへの公開アクセス権を付与する

Dataform リポジトリへの公開アクセス権を付与するには、リポジトリに対する IAM ロールを allAuthenticatedUsers プリンシパルに付与します。

allAuthenticatedUsers プリンシパルに IAM ロールを割り当てると、サービス アカウントと、Google アカウントで認証されたすべてのインターネット ユーザーにそのロールが付与されます。これには、個人用 Gmail アカウントなど、Google Workspace アカウントまたは Cloud Identity のドメインに接続していないアカウントも含まれます。認証されていないユーザー（匿名の訪問者など）は含まれません。詳細については、認証済みのすべてのユーザーをご覧ください。

たとえば、Dataform 閲覧者のロールを sales リポジトリの allAuthenticatedUsers に付与すると、Google アカウントで認証されたすべてのサービス アカウントとインターネット上のユーザーは、すべての sales コードリソースへの読み取り専用権限を持ちます。

注意: 管理者レベル、編集レベル、実行レベルの権限を allAuthenticatedUsers に付与すると、不正な行為者がデータにアクセスしてコードを実行するおそれがあります。必要最小限の権限のみを付与してください。

Dataform リポジトリへの一般公開アクセス権を付与する手順は次のとおりです。

1. ターミナルで、アクセス ポリシーを使用して Dataform API repositories.setIamPolicy リクエストを渡します。

2. ポリシーで、次の形式で allAuthenticatedUsers プリンシパルを選択したロールにバインドします。

   {
   "policy":
      {
         "bindings": [
         {
            "role": "roles/ROLE",
            "members": [
               "allAuthenticatedUsers",
            ]
         },
         ],
      }
   }
   

   ROLE は、すべての認証済みユーザーに付与する Dataform IAM ロールに置き換えます。

次のコマンドは、sales リポジトリに対する Dataform 閲覧者のロールを allAuthenticatedUsers に付与する repositories.setIamPolicy Dataform API リクエストを渡します。

curl -H "Content-Type: application/json" -X POST -d '{ "policy": { "bindings": [{ "role": "roles/dataform.viewer", "members": ["allAuthenticatedUsers"]}] }}' "https://dataform.googleapis.com/v1/projects/examplepetstore/locations/us-central1/repositories/sales:setIamPolicy"

リポジトリへの公開アクセスを防止する

Dataform リポジトリに対する公開アクセスを防止するには、プロジェクトの allAuthenticatedUsers プリンシパルを制限します。

プロジェクトで allAuthenticatedUsers を制限するには、iam.allowedPolicyMemberDomains ポリシーを設定し、allowed_values のリストから allAuthenticatedUsers を削除します。

iam.allowedPolicyMemberDomains ポリシーで allAuthenticatedUsers を制限すると、allAuthenticatedUsers プリンシパルをプロジェクトの IAM ポリシーで使用できないため、Dataform リポジトリを含めて、すべてのリソースへの公開アクセスの付与が防止されます。

iam.allowedPolicyMemberDomains ポリシーとその設定手順の詳細については、ドメイン別の ID の制限をご覧ください。

Dataform の Workforce Identity 連携

Workforce Identity 連携では、外部 ID プロバイダ（IdP）を使用し、IAM で Google Cloud サービスに対するユーザーの認証と認可を行うことができます。

Dataform は、既知の制限なしで Workforce Identity 連携をサポートしています。

IAM を使用して個々のテーブルへのアクセスを制御する

このセクションでは、個別の Dataform テーブルとビューに対して BigQuery IAM ロールを付与または取り消す方法について説明します。

Dataform がテーブルまたはビューを実行すると、BigQuery にリソースが作成されます。Dataform の開発中に、BigQuery のロールを個別のテーブルとビューに付与して、実行後に BigQuery でアクセスを制御できます。

リソースへのアクセス権の付与と取り消しについて詳しくは、リソースへのアクセス権の付与をご覧ください。

テーブルまたはビューに BigQuery のロールを付与する

Dataform のテーブルまたはビューに BigQuery のロールを付与するには、GRANT DCL ステートメントを使用して post_operations ブロックを選択したテーブルまたはビューの .sqlx 定義ファイルに追加します。

選択したテーブルまたはビューに BigQuery ロールを付与する手順は次のとおりです。

1. Google Cloud コンソールで、[Dataform] ページに移動します。

   Dataform に移動

2. リポジトリを選択し、ワークスペースを選択します。

3. [ファイル] ペインで「definitions/definitions」ディレクトリを展開します。

4. アクセス権を付与するテーブルまたはビューの .sqlx 定義ファイルを選択します。

5. このファイルに次のコード スニペットを入力します。

   post_operations {
       GRANT "ROLE_LIST"
       ON "RESOURCE_TYPE" ${self()}
       TO "USER_LIST"
   }
   

   以下を置き換えます。

   • ROLE_LIST: 付与する BigQuery のロールまたは BigQuery のロールのカンマ区切りリスト。

   • RESOURCE_TYPE: TABLE または VIEW。

   • USER_LIST: ロールが付与されているユーザーのカンマ区切りのリスト。

     有効な形式の一覧については、user_list をご覧ください。

6. 省略可: [書式] をクリックします。

7. テーブルまたはビューを実行します。

8. 増分テーブルに対してアクセス権を付与した場合は、最初の実行後にテーブル定義ファイルから GRANT ステートメントを削除します。

次のコードサンプルは、ユーザーにテーブルに対して付与される BigQuery 閲覧者のロールを示しています。

config { type: "table" }

SELECT ...

post_operations {
  GRANT `roles/bigquery.dataViewer`
  ON TABLE ${self()}
  TO "user:[e-mail]"
}

テーブルまたはビューから BigQuery のロールを取り消す

テーブルまたはビューから BigQuery のロールを取り消すには、REVOKE DCL ステートメントを使用して post_operations ブロックを選択したテーブルまたはビューの .sqlx 定義ファイルに追加します。

選択したテーブルまたはビューから BigQuery のロールを取り消すには、次の操作を行います。

1. Google Cloud コンソールで、[Dataform] ページに移動します。

   Dataform に移動

2. リポジトリを選択し、ワークスペースを選択します。

3. [ファイル] ペインで「definitions/definitions」ディレクトリを展開します。

4. アクセスを取り消すテーブルまたはビューの .sqlx 定義ファイルを選択します。

5. post_operations ブロックに次の REVOKE ステートメントを入力します。

       REVOKE "ROLE_LIST"
       ON "RESOURCE_TYPE" ${self()}
       FROM "USER_LIST"
   

   以下を置き換えます。

   • ROLE_LIST: 取り消す BigQuery のロールまたは BigQuery のロールのカンマ区切りリスト。
   • RESOURCE_TYPE: TABLE または VIEW。
   • USER_LIST: ロールを取り消す対象ユーザーのカンマ区切りのリスト。有効な形式の一覧については、user_list をご覧ください。

6. ファイル内の GRANT ステートメントで付与されたアクセス権を取り消すには、GRANT ステートメントを REVOKE ステートメントに置き換えます。

   警告: REVOKE ステートメントを追加せずに GRANT ステートメントを削除しても、アクセス権は取り消されません。

7. 省略可: [書式] をクリックします。

8. テーブルまたはビューを実行します。

9. 増分テーブルに対してアクセス権を取り消した場合は、最初の実行後にテーブル定義ファイルから REVOKE ステートメントを削除します。

次のサンプルコードは、ユーザーから取り消されたテーブルに対する BigQuery 閲覧者のロールを示しています。

config { type: "table" }

SELECT ...

post_operations {
  REVOKE `roles/bigquery.dataViewer`
  ON TABLE ${self()}
  FROM "user:[e-mail]"
}

テーブルとビューの BigQuery のロールを集約的に管理する

1 つのロケーションの個別のテーブルとビューに対する BigQuery アクセスを制御するには、GRANT および REVOKE の DCL ステートメントを使用して専用の type: "operations" ファイルを作成します。

1 つの type: "operations" ファイルで BigQuery テーブルのアクセスを管理する手順は次のとおりです。

1. Google Cloud コンソールで、[Dataform] ページに移動します。

   Dataform に移動

2. リポジトリを選択し、ワークスペースを選択します。

3. [ファイル] ペインで、definitions/ の横にある [その他] メニューをクリックします。

4. [ファイルを作成] をクリックします。

5. [ファイルパスを追加] フィールドに、ファイルの名前の後に definitions/ の後に .sqlx を入力します。例: definitions/table-access.sqlx。

   ファイル名 には数字、英字、ハイフン、アンダースコアのみを使用できます。

6. [ファイルを作成] をクリックします。

7. [ファイル] ペインで definitions/ ディレクトリを展開し、新しく作成されたファイルを選択します。

8. このファイルに次のコード スニペットを入力します。

     config { type: "operations" }
   
     GRANT "ROLE_LIST"
     ON RESOURCE_TYPE RESOURCE_NAME
     TO "USER_LIST"
   
     REVOKE "ROLE_LIST"
     ON { "<var>" }}RESOURCE_TYPE RESOURCE_NAME
     TO "USER_LIST"
   

   以下を置き換えます。

   • ROLE_LIST: 付与または取り消しを行う BigQuery のロールまたは BigQuery のロールのカンマ区切りリスト。
   • RESOURCE_TYPE: TABLE または VIEW。
   • RESOURCE_NAME: テーブルまたはビューの名前。
   • USER_LIST: ロールの付与または取り消しを行う対象ユーザーのカンマ区切りのリスト。有効な形式の一覧については、user_list をご覧ください。

9. 必要に応じて GRANT ステートメントと REVOKE ステートメントを追加します。

   1. ファイル内の GRANT ステートメントで付与されたアクセス権を取り消すには、GRANT ステートメントを REVOKE ステートメントに置き換えます。

      REVOKE ステートメントを追加せずに GRANT ステートメントを削除しても、アクセス権は取り消されません。

10. 省略可: [書式] をクリックします。

11. 更新のたびにファイルを実行します。

    1. 増分テーブルに対してアクセス権の付与または取り消しを行った場合は、ステートメントを最初に実行した後にファイルから GRANT ステートメントまたは REVOKE ステートメントを削除します。

Config API を使用して IAM の動作をカスタマイズする

projects.locations.updateConfig Dataform API メソッドを使用すると、IAM の動作をカスタマイズしてセキュリティを強化できます。

警告: セキュリティを強化するロケーションごとに、このメソッドを呼び出す必要があります。構成がロケーションに適用されると、そのロケーションにあるすべての Dataform リポジトリに影響します。Dataform リソースを作成できるロケーションを制限するには、リソース ロケーションの制限をご覧ください。

リソースの作成時に特定のロールを付与する

projects.locations.repositories リソースで setAuthenticatedUserAdmin フィールドを true に設定すると、Dataform は、リポジトリを作成したユーザーに、そのリポジトリに対する Dataform 管理者ロール（roles/dataform.admin）を自動的に付与します。また、Dataform は、そのリポジトリにワークスペースを作成したユーザーに、新しいワークスペースに対する Dataform 管理者ロールを付与します。

この動作をオーバーライドするには、projects.locations.updateConfig メソッドの creator_role フィールド（プレビュー）を使用します。setAuthenticatedUserAdmin が true で、creator_role フィールドをカスタムロールで構成すると、Dataform はデフォルトの dataform.admin ロールではなく、カスタムロールを付与します。

拡張されたスケジュール設定の権限を実装する

プレビュー

この機能は、サービス固有規約の「一般サービス規約」セクションの「一般提供前のサービス規約」の対象となります。pre-GA の機能は「現状のまま」で提供されるものであり、サポートが制限されることがあります。 詳細については、リリース ステージの説明をご覧ください。

注: フィードバックやサポートのリクエストについては、[e-mail] までお問い合わせください。

ユーザーが Dataform ワークフローをスケジュール設定する際に明示的な権限を必要とするようにするには、projects.locations.updateConfig メソッドで enable_project_checks_for_scheduling フィールドを true に設定します。

スケジューリングでこれらのチェックを有効にする場合、ユーザーには次の権限が必要です。

• ワークフロー構成を作成するには:

  • コード スケジューラ ロール（roles/dataform.codeScheduler）によって付与される、プロジェクトに対する dataform.workflowConfigs.create 権限。
  • リポジトリに対する dataform.repositories.scheduleWorkflow 権限。Dataform 管理者ロール（roles/dataform.admin）によって付与されます。

• リリース構成を作成するには:

  • コード スケジューラ ロール（roles/dataform.codeScheduler）によって付与される、プロジェクトに対する dataform.releaseConfigs.create 権限。
  • リポジトリに対する dataform.repositories.scheduleRelease 権限。Dataform 管理者ロール（roles/dataform.admin）によって付与されます。

プライベート ワークスペースを有効にする

プレビュー

この機能は、サービス固有規約の「一般サービス規約」セクションの「一般提供前のサービス規約」の対象となります。pre-GA の機能は「現状のまま」で提供されるものであり、サポートが制限されることがあります。 詳細については、リリース ステージの説明をご覧ください。

注: フィードバックやサポートのリクエストについては、[e-mail] までお問い合わせください。

ワークスペースの作成者のみがそのワークスペースでコードを読み書きできるように Dataform ワークスペースへのアクセスを制限するには、projects.locations.updateConfig メソッドで enable_private_workspace フィールドを true に設定します。

この制限は、ワークスペースのコンパイルまたはワークフロー呼び出しのコンパイル済み SQL、コンパイル エラー、実行ログなど、生成されたアーティファクトの表示にも適用されます。

この設定は、他のリポジトリ ユーザーにワークスペースへのアクセス権を付与する標準の IAM ロールをオーバーライドします。

次のステップ

• IAM について詳しくは、IAM の概要をご覧ください。
• リソースに対するアクセス管理の詳細については、プロジェクト、フォルダ、組織へのアクセスを管理するをご覧ください。
• Workforce Identity 連携の主なコンセプトの詳細については、Workforce Identity 連携をご覧ください。
• BigQuery IAM のロールと権限の詳細については、IAM によるアクセス制御をご覧ください。
• BigQuery データセットに対する細かいアクセス権限付与の詳細については、データセットへのアクセスの制御をご覧ください。