Ruoli e autorizzazioni IAM di BigQuery
Il presente documento fornisce informazioni sui ruoli e sulle autorizzazioni di Identity and Access Management (IAM) per BigQuery. IAM consente di concedere un accesso granulare a risorse BigQuery specifiche e aiuta a impedire l'accesso ad altre risorse. IAM consente di applicare il principio di sicurezza del privilegio minimo, secondo cui nessuno dovrebbe avere più autorizzazioni di quelle di cui ha effettivamente bisogno.
Quando un'entità (un utente, un gruppo o un account di servizio) chiama un'API Google Cloud, deve disporre delle autorizzazioni IAM appropriate per utilizzare la risorsa. Per concedere a un'entità le autorizzazioni richieste, concedi un ruolo IAM all'entità.
Questo documento descrive come utilizzare i ruoli IAM predefiniti e personalizzati per consentire alle entità di accedere alle risorse BigQuery.
Per acquisire familiarità con la gestione degli accessi in Google Cloud in generale, consulta la panoramica IAM.
Tipi di ruoli IAM
Un ruolo è una raccolta di autorizzazioni. Puoi utilizzare i seguenti tipi di ruoli in IAM per fornire l'accesso alle risorse BigQuery:
- I ruoli predefiniti sono gestiti da Google Cloud e supportano casi d'uso comuni e pattern di controllo dell'accesso.
- I ruoli personalizzati consentono l'accesso in base a un elenco di autorizzazioni specificato dall'utente.
Per determinare se una o più autorizzazioni sono incluse in un ruolo, puoi utilizzare uno dei seguenti metodi:
- Il riferimento per la ricerca delle autorizzazioni IAM
- Il comando
gcloud iam roles describe
- Il metodo
roles.get()
nell'API IAM
Quando assegni più tipi di ruolo a un utente, le autorizzazioni concesse costituiscono un'unione delle autorizzazioni di ogni ruolo.
Per ulteriori informazioni sull'utilizzo di IAM per accedere alle risorse, consulta Concessione, modifica e revoca dell'accesso alle risorse nella documentazione di IAM.
Per informazioni sulla creazione di ruoli personalizzati, consulta Creazione e gestione di ruoli personalizzati nella documentazione IAM.
Ruoli IAM in BigQuery
Le autorizzazioni non vengono assegnate direttamente a utenti, gruppi o account di servizio. Invece, a utenti, gruppi o account di servizio viene concesso l'accesso a uno o più ruoli predefiniti o personalizzati per concedere loro le autorizzazioni per eseguire azioni sulle risorse.
Puoi concedere l'accesso ai seguenti livelli di risorse BigQuery:
- a livello di organizzazione o di progetto Google Cloud
- livello set di dati
- a livello di tabella o vista
Ruoli applicati a livello di organizzazione o di progetto Google Cloud
Quando assegni ruoli a livello di organizzazione e di progetto, fornisci l'autorizzazione per eseguire job BigQuery o per accedere a tutte le risorse BigQuery di un progetto.
Ruoli applicati a livello di set di dati
Puoi assegnare ruoli a livello di set di dati per fornire l'accesso a un set di dati specifico, senza fornire un accesso completo alle risorse del progetto. Nella gerarchia dei criteri IAM, i set di dati BigQuery sono risorse figlio dei progetti. Per saperne di più sull'assegnazione dei ruoli a livello del set di dati, consulta Controllo dell'accesso ai set di dati.
Ruoli applicati alle singole risorse all'interno dei set di dati
Puoi assegnare i ruoli singolarmente a determinati tipi di risorse all'interno dei set di dati, senza fornire un accesso completo alle risorse del set di dati.
I ruoli possono essere applicati a singole risorse dei seguenti tipi:
- tabelle
- visualizzazioni
I ruoli non possono essere applicati a singole risorse dei seguenti tipi:
- routines
- ottimizzabili
Per saperne di più sull'assegnazione dei ruoli a livello di tabella o vista, consulta Controllo dell'accesso a tabelle o viste.
Ruoli IAM predefiniti di BigQuery
La seguente tabella elenca i ruoli IAM predefiniti di BigQuery con un elenco corrispondente di tutte le autorizzazioni incluse in ciascun ruolo. Tieni presente che ogni autorizzazione è applicabile a un determinato tipo di risorsa.
Role | Permissions |
---|---|
BigQuery Admin( Provides permissions to manage all resources within the project. Can manage all data within the project, and can cancel jobs from other users running within the project. Lowest-level resources where you can grant this role:
|
|
BigQuery Connection Admin(
|
|
BigQuery Connection User(
|
|
BigQuery Data Editor( When applied to a table or view, this role provides permissions to:
This role cannot be applied to individual models or routines. When applied to a dataset, this role provides permissions to:
When applied at the project or organization level, this role can also create new datasets. Lowest-level resources where you can grant this role:
|
|
BigQuery Data Owner( When applied to a table or view, this role provides permissions to:
This role cannot be applied to individual models or routines. When applied to a dataset, this role provides permissions to:
When applied at the project or organization level, this role can also create new datasets. Lowest-level resources where you can grant this role:
|
|
BigQuery Data Viewer( When applied to a table or view, this role provides permissions to:
This role cannot be applied to individual models or routines. When applied to a dataset, this role provides permissions to list all of the resources in the dataset (such as tables, views, snapshots, models, and routines) and to read their data and metadata with applicable APIs and in queries. When applied at the project or organization level, this role can also enumerate all datasets in the project. Additional roles, however, are necessary to allow the running of jobs. Lowest-level resources where you can grant this role:
|
|
BigQuery Filtered Data Viewer( Access to view filtered table data defined by a row access policy |
|
BigQuery Job User( Provides permissions to run jobs, including queries, within the project. Lowest-level resources where you can grant this role:
|
|
BigQuery Metadata Viewer( When applied to a table or view, this role provides permissions to:
This role cannot be applied to individual models or routines. When applied to a dataset, this role provides permissions to:
When applied at the project or organization level, this role provides permissions to:
Additional roles are necessary to allow the running of jobs. Lowest-level resources where you can grant this role:
|
|
BigQuery Read Session User( Provides the ability to create and use read sessions. Lowest-level resources where you can grant this role:
|
|
BigQuery Resource Admin( Administers BigQuery workloads, including slot assignments, commitments, and reservations. |
|
BigQuery Resource Editor( Manages BigQuery workloads, but is unable to create or modify slot commitments. |
|
BigQuery Resource Viewer( Can view BigQuery workloads, but cannot create or modify slot reservations or commitments. |
|
BigQuery Studio Admin( Combination role of BigQuery Admin, Dataform Admin, and Notebook Runtime Admin. |
|
BigQuery Studio User( Combination role of BigQuery Job User, BigQuery Read Session User, Dataform Code Creator, and Notebook Runtime User. |
|
BigQuery User( When applied to a dataset, this role provides the ability to read the dataset's metadata and list tables in the dataset. When applied to a project, this role also provides the ability to run jobs, including queries,
within the project. A principal with this role can enumerate their own jobs, cancel their own jobs, and
enumerate datasets within a project. Additionally, allows the creation of new datasets within the
project; the creator is granted the BigQuery Data Owner role ( Lowest-level resources where you can grant this role:
|
|
Masked Reader( Masked read access to sub-resources tagged by the policy tag associated with a data policy, for example, BigQuery columns |
|
Ruoli IAM personalizzati per BigQuery
Per creare un ruolo IAM personalizzato per BigQuery, segui i passaggi descritti per i ruoli IAM personalizzati utilizzando le autorizzazioni BigQuery.
Ruoli di base di BigQuery
Per informazioni sui ruoli di base di BigQuery, consulta Ruoli e autorizzazioni di base di BigQuery.
Autorizzazioni BigQuery
La seguente tabella descrive le autorizzazioni disponibili in BigQuery. Questi sono inclusi nei ruoli predefiniti e possono essere utilizzati nelle definizioni di ruoli personalizzati.
Autorizzazione | Descrizione |
---|---|
bigquery.bireservations.get |
Lettura di prenotazioni BI Engine. |
bigquery.bireservations.update |
Aggiorna le prenotazioni BI Engine. |
bigquery.capacityCommitments.create |
Crea impegni di capacità nel progetto. |
bigquery.capacityCommitments.delete |
Elimina un impegno di capacità. |
bigquery.capacityCommitments.get |
Recupera i dettagli su un impegno di capacità. |
bigquery.capacityCommitments.list |
Elenca tutti gli impegni di capacità in un progetto. |
bigquery.capacityCommitments.update |
Aggiorna tutti gli impegni di capacità in un progetto. |
bigquery.config.update |
Creare una configurazione. |
bigquery.config.get |
Ottenere dettagli su una configurazione. |
bigquery.connections.create |
Creare nuove connessioni in un progetto. |
bigquery.connections.delete |
Eliminare un collegamento. |
bigquery.connections.get |
Recupera i metadati della connessione. Le credenziali sono escluse. |
bigquery.connections.list |
Elencare le connessioni in un progetto. |
bigquery.connections.update |
Aggiorna una connessione e le relative credenziali. |
bigquery.connections.updateTag |
Aggiornare i tag di una connessione. |
bigquery.connections.use |
Utilizza una configurazione di connessione per connetterti a un'origine dati remota. |
bigquery.connections.delegate |
Delega la connessione per creare tabelle esterne autorizzate e funzioni remote. |
bigquery.dataPolicies.create |
Crea nuovi criteri relativi ai dati. |
bigquery.dataPolicies.delete |
Elimina i criteri relativi ai dati. |
bigquery.dataPolicies.get |
Recupera i metadati sui criteri relativi ai dati. |
bigquery.dataPolicies.getIamPolicy |
Leggere le autorizzazioni IAM di un criterio di dati. |
bigquery.dataPolicies.list |
Elenca i criteri relativi ai dati in un progetto. |
bigquery.dataPolicies.maskedGet |
Visualizza i dati mascherati di una colonna a cui è associato un tag di criteri a un criterio dei dati. |
bigquery.dataPolicies.setIamPolicy |
Impostare le autorizzazioni IAM di un criterio relativo ai dati. |
bigquery.dataPolicies.update |
Aggiornare i metadati per un criterio relativo ai dati. |
bigquery.datasets.create |
Crea nuovi set di dati vuoti. |
bigquery.datasets.createTagBinding |
Crea associazioni di tag risorsa su un set di dati. |
bigquery.datasets.delete |
Eliminare un set di dati. |
bigquery.datasets.deleteTagBinding |
Elimina le associazioni di tag risorsa su un set di dati. |
bigquery.datasets.get |
Recupera i metadati e le autorizzazioni relativi a un set di dati.
Per visualizzare le autorizzazioni nella console Google Cloud è necessaria anche l'autorizzazione bigquery.datasets.getIamPolicy . |
bigquery.datasets.getIamPolicy |
Richiesto dalla console Google Cloud per offrire all'utente la possibilità di ottenere le autorizzazioni IAM di un set di dati. Apertura non riuscita. La possibilità di eseguire effettivamente l'operazione
per ottenere le autorizzazioni è controllata dall'autorizzazione
bigquery.datasets.get . |
bigquery.datasets.link |
Crea un set di dati collegato. |
bigquery.datasets.listTagBindings |
Elenca le associazioni di tag risorsa su un set di dati. |
bigquery.datasets.setIamPolicy |
Richiesto dalla console Google Cloud per offrire all'utente la possibilità di impostare le autorizzazioni IAM di un set di dati. Apertura non riuscita. La possibilità di eseguire effettivamente l'operazione
di impostazione delle autorizzazioni è controllata dall'autorizzazione
bigquery.datasets.update . |
bigquery.datasets.update |
Aggiornare i metadati e le autorizzazioni per un set di dati.
La concessione delle autorizzazioni nella console Google Cloud richiede anche l'autorizzazione bigquery.datasets.setIamPolicy . |
bigquery.datasets.updateTag |
Aggiorna i tag di Data Catalog per un set di dati. |
bigquery.jobs.create |
Eseguire job (incluse le query) all'interno del progetto. |
bigquery.jobs.get |
Ottieni dati e metadati per qualsiasi job.1 |
bigquery.jobs.list |
Elenca tutti i job e recupera i metadati su qualsiasi job inviato da qualsiasi utente. Per i job inviati da altri utenti, i dettagli e i metadati vengono oscurati. |
bigquery.jobs.listAll |
Elenca tutti i job e recupera i metadati su qualsiasi job inviato da qualsiasi utente. |
bigquery.jobs.listExecutionMetadata |
Elenca tutti i metadati di esecuzione dei job (senza informazioni sensibili) in qualsiasi job inviato da qualsiasi utente. Può essere applicato solo a livello di organizzazione ed è utilizzato dall'interfaccia utente amministratore. |
bigquery.jobs.delete |
Elimina i metadati per un job. |
bigquery.jobs.update |
Annulla qualsiasi lavoro.1 |
bigquery.models.create |
Creare nuovi modelli di machine learning. |
bigquery.models.delete |
Eliminare i modelli di machine learning. |
bigquery.models.getData |
Recuperare i dati del modello di machine learning. Per ottenere i metadati del modello, è necessario
bigquery.models.getMetadata . |
bigquery.models.getMetadata |
Recupera i metadati del modello di machine learning. Per ottenere i dati del modello, è necessario
bigquery.models.getData . |
bigquery.models.list |
Elencare modelli di machine learning e metadati relativi ai modelli. |
bigquery.models.updateData |
Aggiornare i dati del modello di machine learning. Per aggiornare i metadati del modello, è necessario
bigquery.models.updateMetadata . |
bigquery.models.updateMetadata |
Aggiorna i metadati del modello di machine learning. Per aggiornare i dati del modello, è necessario
bigquery.models.updateData . |
bigquery.models.export |
Esporta i modelli di machine learning. |
bigquery.models.updateTag |
Aggiorna i tag di Data Catalog per un modello. |
bigquery.readsessions.create |
Crea una nuova sessione di lettura utilizzando l'API Storage Read. |
bigquery.readsessions.getData |
Leggere i dati di una sessione di lettura utilizzando l'API Storage Read. |
bigquery.readsessions.update |
Aggiorna una sessione di lettura utilizzando l'API Storage Read. |
bigquery.reservations.create |
Crea una prenotazione di slot in un progetto di amministrazione. |
bigquery.reservations.delete |
Eliminare una prenotazione di slot. |
bigquery.reservations.get |
Recupera i dettagli di una prenotazione di slot. |
bigquery.reservations.list |
Elenca tutte le prenotazioni di slot in un progetto di amministrazione. |
bigquery.reservations.update |
Aggiorna le proprietà di una prenotazione di slot. |
bigquery.reservationAssignments.create |
Crea un'assegnazione di prenotazione.
Questa autorizzazione è obbligatoria per il progetto del proprietario e la risorsa dell'assegnatario. |
bigquery.reservationAssignments.delete |
Elimina un'assegnazione di prenotazione.
Questa autorizzazione è obbligatoria per il progetto del proprietario e la risorsa dell'assegnatario. |
bigquery.reservationAssignments.list |
Elencare tutte le assegnazioni di prenotazione in un progetto. |
bigquery.reservationAssignments.search |
Trova un'assegnazione di prenotazione per un progetto, una cartella o un'organizzazione specifici. |
bigquery.rowAccessPolicies.create |
Crea un nuovo criterio di accesso a livello di riga in una tabella. |
bigquery.rowAccessPolicies.delete |
Eliminare un criterio di accesso a livello di riga da una tabella. |
bigquery.rowAccessPolicies.getFilteredData |
Ottieni in una tabella i dati che vuoi che siano visibili solo alle entità nell'elenco dei beneficiari di un criterio di accesso a livello di riga. Ti consigliamo di concedere questa autorizzazione solo per una risorsa del criterio di accesso a livello di riga. |
bigquery.rowAccessPolicies.list |
Elenca tutti i criteri di accesso a livello di riga in una tabella. |
bigquery.rowAccessPolicies.overrideTimeTravelRestrictions |
Accedi ai dati storici di una tabella che dispone o ha avuto in precedenza criteri di accesso a livello di riga. |
bigquery.rowAccessPolicies.getIamPolicy |
Recupera le autorizzazioni IAM di un criterio di accesso alle righe. |
bigquery.rowAccessPolicies.setIamPolicy |
Imposta le autorizzazioni IAM del criterio di accesso alle righe. |
bigquery.rowAccessPolicies.update |
Ricrea un criterio di accesso a livello di riga. |
bigquery.routines.create |
Creare nuove routine (funzioni e stored procedure). |
bigquery.routines.delete |
Elimina le routine. |
bigquery.routines.get |
Recupera le definizioni delle routine e i metadati. |
bigquery.routines.list |
Elencare routine e metadati relativi a routine. |
bigquery.routines.update |
Aggiornare i metadati e le definizioni delle routine. |
bigquery.routines.updateTag |
Aggiorna i tag di Data Catalog per una routine. |
bigquery.savedqueries.create |
Creare query salvate. |
bigquery.savedqueries.delete |
Eliminare le query salvate. |
bigquery.savedqueries.get |
Recuperare i metadati sulle query salvate. |
bigquery.savedqueries.list |
Elenca le query salvate. |
bigquery.savedqueries.update |
Aggiornare le query salvate. |
bigquery.tables.create |
Creare nuove tabelle. |
bigquery.tables.createIndex |
Creare indici di ricerca nelle tabelle. |
bigquery.tables.createSnapshot
|
Creare nuovi snapshot di tabelle. |
bigquery.tables.createTagBinding
|
Crea associazioni di tag risorsa in una tabella. |
bigquery.tables.delete |
Elimina tabelle. |
bigquery.tables.deleteIndex |
Elimina gli indici di ricerca nelle tabelle. |
bigquery.tables.deleteSnapshot
|
Elimina gli snapshot delle tabelle. |
bigquery.tables.deleteTagBinding
|
Elimina le associazioni di tag risorsa in una tabella. |
bigquery.tables.export |
Esporta i dati delle tabelle da BigQuery. |
bigquery.tables.get |
Recupera i metadati della tabella. Per ottenere i dati della tabella, hai bisogno di bigquery.tables.getData . |
bigquery.tables.getData |
Recupera i dati della tabella. Questa autorizzazione è necessaria per eseguire query sui dati delle tabelle. Per ottenere i metadati della tabella, è necessario bigquery.tables.get . |
bigquery.tables.getIamPolicy |
Legge il criterio IAM di una tabella. |
bigquery.tables.list |
Elenca tabelle e metadati nelle tabelle. |
bigquery.tables.replicateData |
Replica i dati della tabella. Questa autorizzazione è necessaria per creare una replica delle viste materializzate. |
bigquery.tables.restoreSnapshot
|
Ripristina snapshot di tabella. |
bigquery.tables.setCategory |
Imposta i tag di criteri nello schema della tabella. |
bigquery.tables.setIamPolicy |
Modificare il criterio IAM di una tabella. |
bigquery.tables.update |
Aggiorna i metadati della tabella. |
bigquery.tables.updateData |
Aggiorna i dati della tabella. |
bigquery.tables.updateTag |
Aggiorna i tag di Data Catalog per una tabella. |
bigquery.transfers.get |
Recupera i metadati di trasferimento. |
bigquery.transfers.update |
Creare, aggiornare ed eliminare i trasferimenti. |
1 Per ogni job che crei, hai automaticamente l'equivalente delle autorizzazioni bigquery.jobs.get
e bigquery.jobs.update
per il job.
Autorizzazioni per le attività BigQuery ML
La seguente tabella descrive le autorizzazioni necessarie per le attività BigQuery ML comuni.
Autorizzazione | Descrizione |
---|---|
bigquery.jobs.create bigquery.models.create bigquery.models.getData bigquery.models.updateData |
Crea un nuovo modello utilizzando l'istruzione CREATE MODEL |
bigquery.jobs.create bigquery.models.create bigquery.models.getData bigquery.models.updateData bigquery.models.updateMetadata |
Sostituisci un modello esistente utilizzando l'istruzione CREATE OR REPLACE MODEL |
bigquery.models.delete |
Elimina il modello utilizzando l'API models.delete |
bigquery.jobs.create bigquery.models.delete |
Elimina il modello utilizzando l'istruzione DROP MODEL |
bigquery.models.getMetadata |
Recupero dei metadati del modello utilizzando l'API models.get |
bigquery.models.list |
Elenco di modelli e metadati sui modelli utilizzando l'API models.list |
bigquery.models.updateMetadata |
Aggiorna i metadati del modello utilizzando l'API models.delete. Se per il modello imposti o aggiorni una scadenza diversa da zero, è necessaria anche l'autorizzazione bigquery.models.delete |
bigquery.jobs.create bigquery.models.getData
|
Esegui valutazione, previsione e ispezioni di modelli e funzionalità utilizzando funzioni come ML.EVALUATE , ML.PREDICT , ML.TRAINING_INFO e ML.WEIGHTS . |
bigquery.jobs.create bigquery.models.export
|
Esportazione di un modello |
bigquery.models.updateTag |
Aggiorna i tag di Data Catalog per un modello. |
Passaggi successivi
- Per saperne di più sull'assegnazione dei ruoli a livello del set di dati, consulta Controllo dell'accesso ai set di dati.
- Per saperne di più sull'assegnazione dei ruoli a livello di tabella o vista, consulta Controllo dell'accesso a tabelle e viste.