Einfache Rollen und Berechtigungen

Übersicht

BigQuery unterstützt die einfachen IAM-Rollen für den Zugriff auf Projektebene.

Die einfachen Rollen von BigQuery auf Dataset-Ebene gab es schon vor der Einführung von Identity and Access Management. Sie sollten stattdessen die vordefinierten IAM-Rollen verwenden.

Einfache Rollen für Projekte

Standardmäßig gewährt die Vergabe von Zugriff auf ein Projekt auch Zugriff auf die darin enthaltenen Datasets. Dieser Standardzugriff kann individuell pro Dataset überschrieben werden. Jeder Nutzer mit der Rolle Owner auf Projektebene hat die Möglichkeit, jede andere Projektrolle zu widerrufen oder zu ändern.

Bei der Projekterstellung erteilt BigQuery dem erstellenden Nutzer die Rolle Owner.

Einfache Rolle	Rechte
`Viewer`	Kann einen Job im Projekt starten. Je nach Jobtyp sind weitere Dataset-Rollen erforderlich. Kann alle Jobs auflisten und abrufen sowie Jobs, die für das Projekt gestartet wurden, aktualisieren. Wenn Sie in einem Projekt, das Betrachter enthält, Datasets erstellen, erhalten diese Nutzer für das neue Dataset von BigQuery die vordefinierte Rolle bigquery.dataViewer.
`Editor`	Wie bei `Viewer`, plus: Kann ein neues Dataset im Projekt erstellen. Wenn Sie in einem Projekt, das Bearbeiter enthält, Datasets erstellen, erhalten diese Nutzer für das neue Dataset von BigQuery die vordefinierte Rolle bigquery.dataEditor.
`Owner`	Wie bei `Editor`, plus: Kann alle Datasets im Projekt auflisten. Kann jedes Dataset im Projekt löschen. Kann alle im Projekt ausgeführten Jobs auflisten und abrufen; einschließlich der Jobs, die von anderen Projektnutzern ausgeführt wurden. Wenn Sie ein Dataset erstellen, erhalten alle Projektinhaber für das neue Dataset von BigQuery die vordefinierte Rolle bigquery.dataOwner. Ausnahme: Wenn ein Nutzer eine Abfrage ausführt, wird ein anonymes Dataset zur Speicherung der im Cache gespeicherten Ergebnistabelle erstellt. Nur der Nutzer, der die Abfrage ausführt, erhält `OWNER`-Zugriff auf das anonyme Dataset.

Einfache Rollen für Projekte werden über die Google Cloud Console gewährt oder entzogen. Sie benötigen Owner-Zugriff auf das Projekt, um eine neue Projektrolle zu gewähren oder zu entziehen.

Weitere Informationen dazu, wie Sie den Zugriff für Projektrollen erteilen oder entziehen, finden Sie in der Dokumentation zu Identitäts- und Zugriffsverwaltung unter Zugriff auf Ressourcen erteilen, ändern und entziehen.

Einfache Rollen für Datasets

Die folgenden einfachen Rollen gelten auf Dataset-Ebene:

Dataset-Rolle Rechte

Dataset-Rolle	Rechte
`READER`	Kann Tabellen im Dataset lesen, abfragen, kopieren oder exportieren Kann Routinen im Dataset lesen Kann für das Dataset get aufrufen Kann für Tabellen im Dataset get und list aufrufen. Kann für Routinen im Dataset get und list aufrufen. Kann für Tabellen im Dataset für Tabellendaten list aufrufen. Zuordnung zur vordefinierten Rolle `bigquery.dataViewer`
`WRITER`	Wie bei `READER`, plus: Kann Daten im Dataset bearbeiten oder anhängen. Kann für Tabellen insert, insertAll, update oder delete aufrufen Kann Tabellen im Dataset als Ziele für Lade-, Kopier- oder Abfragejobs verwenden. Kann für Routinen insert, update, oder delete aufrufen Zuordnung zur vordefinierten Rolle `bigquery.dataEditor`
`OWNER`	Wie bei `WRITER`, plus: Kann für das Dataset update aufrufen. Kann für das Dataset delete aufrufen. Zuordnung zur vordefinierten Rolle `bigquery.dataOwner` Hinweis: Datasets müssen mindestens eine Entität mit der Rolle `OWNER` haben. Ein Nutzer mit der Rolle `OWNER` kann die eigene `OWNER`-Rolle nicht entfernen.

READER

Kann Tabellen im Dataset lesen, abfragen, kopieren oder exportieren Kann Routinen im Dataset lesen
- Kann für das Dataset get aufrufen
- Kann für Tabellen im Dataset get und list aufrufen.
- Kann für Routinen im Dataset get und list aufrufen.
- Kann für Tabellen im Dataset für Tabellendaten list aufrufen.
Zuordnung zur vordefinierten Rolle bigquery.dataViewer

WRITER

Wie bei READER, plus:
- Kann Daten im Dataset bearbeiten oder anhängen.
  - Kann für Tabellen insert, insertAll, update oder delete aufrufen
  - Kann Tabellen im Dataset als Ziele für Lade-, Kopier- oder Abfragejobs verwenden.
  - Kann für Routinen insert, update, oder delete aufrufen
Zuordnung zur vordefinierten Rolle bigquery.dataEditor

OWNER

Wie bei WRITER, plus:
- Kann für das Dataset update aufrufen.
- Kann für das Dataset delete aufrufen.
Zuordnung zur vordefinierten Rolle bigquery.dataOwner

Hinweis: Datasets müssen mindestens eine Entität mit der Rolle OWNER haben. Ein Nutzer mit der Rolle OWNER kann die eigene OWNER-Rolle nicht entfernen.

Mehr zum Zuweisen von Rollen auf Dataset-Ebene finden Sie unter Zugriff auf Datasets steuern.

Beim Erstellen eines neuen Datasets fügt BigQuery den folgenden Entitäten Standard-Dataset-Zugriff hinzu. Rollen, die bei der Dataset-Erstellung angegeben werden, überschreiben die Standardwerte.

Entität Dataset-Rolle

Alle Nutzer mit Viewer-Zugriff auf das Projekt READER

Alle Nutzer mit Editor-Zugriff auf das Projekt WRITER

Entität	Dataset-Rolle
Alle Nutzer mit `Viewer`-Zugriff auf das Projekt	`READER`
Alle Nutzer mit `Editor`-Zugriff auf das Projekt	`WRITER`
Alle Nutzer mit `Owner`-Zugriff auf das Projekt	`OWNER` Ausnahme: Wenn ein Nutzer eine Abfrage ausführt, wird ein anonymes Dataset zur Speicherung der im Cache gespeicherten Ergebnistabelle erstellt. Nur der Nutzer, der die Abfrage ausführt, erhält `OWNER`-Zugriff auf das anonyme Dataset.

Alle Nutzer mit Owner-Zugriff auf das Projekt

OWNER

Ausnahme: Wenn ein Nutzer eine Abfrage ausführt, wird ein anonymes Dataset zur Speicherung der im Cache gespeicherten Ergebnistabelle erstellt. Nur der Nutzer, der die Abfrage ausführt, erhält OWNER-Zugriff auf das anonyme Dataset.