Set di dati autorizzati
Questo documento descrive come utilizzare i set di dati autorizzati in BigQuery. Un set di dati autorizzato consente di autorizzare tutte le viste di un set di dati specificato ad accedere ai dati in un secondo set di dati. Con un set di dati autorizzato, non è necessario configurare singole viste autorizzate.
Puoi creare un set di dati autorizzato in BigQuery utilizzando quanto segue:
- Nella console Google Cloud
- Il comando
bq update
- Il metodo API
datasets.update
Panoramica
Una vista in BigQuery è una tabella virtuale definita da una query SQL. Ad esempio, la query di una vista potrebbe restituire solo un sottoinsieme delle colonne di una tabella, escluse le colonne che contengono informazioni che consentono l'identificazione personale (PII). Per eseguire una query su una vista, un utente deve avere accesso alle risorse a cui accede la vista.
Se vuoi consentire agli utenti di eseguire query su una vista senza concedere loro l'accesso diretto alle risorse a cui fa riferimento, puoi utilizzare una vista autorizzata. Una visualizzazione autorizzata ti consente, ad esempio, di condividere dati più limitati in una vista con gruppi o utenti (entità) specificati, senza concedere loro l'accesso a tutti i dati sottostanti. Per farlo, devi concedere alle entità l'accesso alla visualizzazione e al set di dati che contiene i dati sottostanti.
Se vuoi concedere a una raccolta di viste l'accesso a un set di dati, senza dover autorizzare ogni singola vista, puoi raggruppare le viste in un set di dati e quindi concedere al set di dati contenente le viste l'accesso al set di dati che contiene i dati. Puoi quindi concedere alle entità l'accesso al set di dati con il gruppo di viste o alle singole viste nel set di dati, se necessario. Un set di dati che ha accesso a un altro set di dati si chiama set di dati autorizzato. Il set di dati che autorizza un altro set di dati ad accedere ai suoi dati è denominato set di dati condiviso.
Autorizzazioni e ruoli richiesti
Per autorizzare un set di dati o revocare l'autorizzazione di un set di dati, devi disporre delle seguenti autorizzazioni IAM (Identity and Access Management), che ti consentono di aggiornare l'elenco di controllo dell'accesso dell'accesso per il set di dati che stai condividendo.
Dopo che un set di dati è stato autorizzato, hai bisogno di queste stesse autorizzazioni se vuoi creare o aggiornare viste nel set di dati autorizzato. Per maggiori informazioni, consulta Creare o aggiornare una vista in un set di dati autorizzato.
Autorizzazione | Risorsa |
---|---|
bigquery.datasets.get
|
Il set di dati che stai condividendo. |
bigquery.datasets.update
|
Il set di dati che stai condividendo. |
I seguenti ruoli IAM predefiniti forniscono le autorizzazioni richieste.
Role | Risorsa |
---|---|
bigquery.dataOwner
|
Il set di dati che stai condividendo. |
bigquery.admin
|
Il set di dati che stai condividendo. |
Quote e limiti
I set di dati autorizzati sono soggetti a limiti. Per ulteriori informazioni, consulta Limiti dei set di dati.
Autorizza un set di dati
Puoi autorizzare le viste attuali e future di un set di dati ad accedere a un altro set di dati aggiungendo il set di dati che vuoi autorizzare all'elenco di accesso del set di dati che vuoi condividere, come segue:
Console
Nella console Google Cloud, vai alla pagina BigQuery.
Nel riquadro Explorer, espandi il progetto e seleziona il set di dati contenente i dati che vuoi condividere.
Fai clic sull'icona Azioni
e seleziona Apri.Nel riquadro dei dettagli visualizzato, fai clic su Condivisione e seleziona l'opzione Autorizza set di dati.
Nel riquadro Set di dati autorizzato visualizzato, inserisci l'ID set di dati del set di dati che vuoi autorizzare nel seguente formato:
PROJECT.AUTHORIZED_DATASET
Ad esempio:
myProject.myDataset
Fai clic su Aggiungi autorizzazione e poi su Chiudi.
bq
Apri Cloud Shell:
Scrivi i metadati esistenti (incluso l'elenco di controllo dell'accesso dell'accesso) per il set di dati che vuoi condividere in un file JSON utilizzando il comando
bq show
.bq show --format=prettyjson PROJECT:SHARED_DATASET > FILE_PATH
Utilizza un editor di testo per aggiungere il set di dati che vuoi autorizzare nella sezione
access
esistente del file JSON creato in FILE_PATH.Ad esempio:
"access": [ ... { "dataset": { "dataset": { "project_id": "PROJECT", "dataset_id": "AUTHORIZED_DATASET" }, "target_types": "VIEWS" } } ]
Aggiorna il set di dati condiviso utilizzando il comando
bq update
. Ad esempio:bq update --source FILE_PATH PROJECT:SHARED_DATASET
Per verificare che sia stato aggiunto il set di dati autorizzato, inserisci di nuovo il comando
bq show
. Ad esempio:bq show --format=prettyjson PROJECT:SHARED_DATASET
API
Recupera i metadati attuali per il set di dati che vuoi condividere chiamando il metodo
datasets.get
, come segue:GET https://bigquery.googleapis.com/bigquery/v2/projects/PROJECT/datasets/SHARED_DATASET
Il corpo della risposta restituisce una risorsa
Dataset
contenente metadati JSON per il set di dati.Aggiungi il set di dati che vuoi autorizzare nella sezione
access
dei metadati JSON restituiti nella risorsaDataset
come segue:"access": [ ... { "dataset": { "dataset": { "project_id": "PROJECT", "dataset_id": "AUTHORIZED_DATASET" }, "target_types": "VIEWS" } } ]
Utilizza il metodo
datasets.update
per aggiornare il set di dati con l'autorizzazione aggiunta:PUT https://bigquery.googleapis.com/bigquery/v2/projects/PROJECT/datasets/SHARED_DATASET
Includi la risorsa
Dataset
aggiornata nel corpo della richiesta.Puoi verificare che il set di dati autorizzato sia stato aggiunto richiamando di nuovo il metodo
datasets.get
.
Revocare l'autorizzazione di un set di dati
Quando elimini un set di dati autorizzato ad accedere a un altro set di dati di origine, potrebbero essere necessarie fino a 24 ore prima che la modifica si rifletta completamente negli elenchi di controllo dell'accesso (ACL) del set di dati di origine. Durante questo periodo:
- Non potrai accedere ai dati di origine tramite il set di dati eliminato.
- Il set di dati eliminato potrebbe ancora essere visualizzato nell'ACL del set di dati di origine e venire conteggiato ai fini di qualsiasi limite del set di dati autorizzato. Questo potrebbe impedirti di creare nuovi set di dati autorizzati fino all'aggiornamento dell'ACL.
Per revocare l'accesso concesso alle viste in un set di dati autorizzato, rimuovi il set di dati autorizzato dall'elenco per gli accessi del set di dati condiviso come segue:
Console
Nella console Google Cloud, vai alla pagina BigQuery.
Nel riquadro Explorer, espandi il progetto e seleziona il set di dati condiviso.
Fai clic sull'icona Azioni
e seleziona Apri.Nel riquadro dei dettagli visualizzato, fai clic su Condivisione e seleziona l'opzione Autorizza set di dati.
Nel riquadro Set di dati autorizzato visualizzato, individua la voce relativa al set di dati autorizzato nella sezione Set di dati attualmente autorizzati.
Fai clic sull'icona di eliminazione accanto al set di dati autorizzato che vuoi rimuovere, poi fai clic su Chiudi.
bq
Apri Cloud Shell:
Scrivi i metadati esistenti (incluso l'elenco di controllo dell'accesso#39;accesso) per il set di dati condiviso in un file JSON utilizzando il comando
bq show
.bq show --format=prettyjson PROJECT:SHARED_DATASET > FILE_PATH
Utilizza un editor di testo per rimuovere il set di dati autorizzato dalla sezione
access
del file JSON creato in FILE_PATH, come segue:{ "dataset": { "dataset": { "project_id": "PROJECT", "dataset_id": "AUTHORIZED_DATASET" }, "target_types": "VIEWS" } }
Aggiorna il set di dati condiviso utilizzando il comando
bq update
. Ad esempio:bq update --source FILE_PATH PROJECT:SHARED_DATASET
Per verificare che il set di dati autorizzato sia stato rimosso, inserisci di nuovo il comando
bq show
. Ad esempio:bq show --format=prettyjson PROJECT:SHARED_DATASET
API
Recupera i metadati attuali per il set di dati condiviso chiamando il metodo
datasets.get
, come segue:GET https://bigquery.googleapis.com/bigquery/v2/projects/PROJECT/datasets/SHARED_DATASET
Il corpo della risposta restituisce una risorsa
Dataset
contenente metadati JSON per il set di dati.Rimuovi il set di dati autorizzato dalla sezione
access
del JSON che è stato restituito nella risorsaDataset
, ad esempio:{ "dataset": { "dataset": { "project_id": "PROJECT", "dataset_id": "AUTHORIZED_DATASET" }, "target_types": "VIEWS" } }
Utilizza il metodo
datasets.update
per aggiornare il set di dati con l'autorizzazione rimossa:PUT https://bigquery.googleapis.com/bigquery/v2/projects/PROJECT/datasets/SHARED_DATASET
Includi la risorsa
Dataset
aggiornata nel corpo della richiesta.Puoi verificare che il set di dati autorizzato sia stato rimosso richiamando di nuovo il metodo
datasets.get
.
Creare o aggiornare una vista in un set di dati autorizzato
Per creare o aggiornare una vista che si trova in un set di dati autorizzato, devi disporre delle autorizzazioni per il set di dati condiviso elencate in Autorizzazioni e ruoli obbligatori, oltre alle autorizzazioni necessarie per creare o aggiornare una vista in un set di dati standard.
La seguente tabella riassume le autorizzazioni IAM (Identity and Access Management) necessarie per creare o aggiornare una vista che si trova in un set di dati autorizzato:
Autorizzazione | Risorsa |
---|---|
bigquery.datasets.get
|
Il set di dati che stai condividendo. |
bigquery.datasets.update
|
Il set di dati che stai condividendo. |
bigquery.tables.getData
|
Qualsiasi tabella o vista del set di dati condiviso a cui viene fatto riferimento nella nuova vista che stai creando o aggiornando. |
bigquery.tables.create
|
Il set di dati autorizzato in cui stai creando una vista. |
bigquery.tables.update
|
Il set di dati autorizzato in cui stai aggiornando una vista. |
Non hai bisogno di autorizzazioni aggiuntive per eliminare una vista da un set di dati autorizzato.
Esegui una query su una vista in un set di dati autorizzato
Per eseguire una query su una vista in un set di dati autorizzato, un utente deve avere accesso alla vista, ma l'accesso al set di dati condiviso non è richiesto.
Per maggiori informazioni, consulta Visualizzazioni autorizzate.
Esempio di set di dati autorizzato
L'esempio seguente descrive come creare e utilizzare un set di dati autorizzato.
Supponi di avere due set di dati, denominati private_dataset
e public_dataset
.
Il set di dati private_dataset
contiene una tabella denominata private_table
. Il set di dati public_dataset
contiene una vista denominata private_table_filtered
. La visualizzazione private_table_filtered
si basa su una query che restituisce alcuni dei campi nella tabella private_table
, ma non tutti.
Puoi concedere a un utente l'accesso ai dati restituiti dalla vista private_table_filtered
, ma non a tutti i dati nella tabella private_table
, come indicato di seguito:
Concedi il ruolo
bigquery.dataViewer
all'utente per il set di datipublic_dataset
. Questo ruolo include l'autorizzazionebigquery.tables.getData
, che consente all'utente di eseguire query sulle viste nel set di datipublic_dataset
. Per informazioni su come concedere un ruolo a un utente per un set di dati, consulta Controllo dell'accesso ai set di dati.L'utente ora dispone dell'autorizzazione per eseguire query sulle viste in
public_dataset
, ma non può ancora accedere alla tabellaprivate_table
inprivate_dataset
. Se l'utente prova a interrogare direttamente la tabellaprivate_table
o se tenta di accedere indirettamente alla tabellaprivate_table
eseguendo una query sulla vistaprivate_table_filtered
, riceverà un messaggio di errore simile al seguente:Access Denied: Table PROJECT:private_dataset.private_table: User does not have permission to query table PROJECT:private_dataset.private_table.
Nella pagina BigQuery della console Google Cloud, apri il
private_dataset
set di dati, fai clic su Condivisione e poi seleziona Autorizza set di dati.Nel riquadro Set di dati autorizzato visualizzato, inserisci
PROJECT.public_dataset
nel campo ID set di dati, quindi fai clic su Aggiungi autorizzazione.Il set di dati
public_dataset
viene aggiunto all'elenco di controllo dell'accesso del set di datiprivate_dataset
, autorizzando le viste nel set di datipublic_dataset
a eseguire query sui dati nel set di datiprivate_dataset
.Ora l'utente può eseguire query sulla vista
private_table_filtered
nel set di datipublic_dataset
, che accede indirettamente al set di datiprivate_dataset
, senza avere autorizzazioni per accedere direttamente ai dati nel set di datiprivate_dataset
.
Passaggi successivi
Per informazioni su come autorizzare una singola vista ad accedere ai dati in un set di dati, consulta Visualizzazioni autorizzate.
Per informazioni su come autorizzare una funzione di tabella o una funzione definita dall'utente;utente ad accedere ai dati in un set di dati, consulta Funzioni autorizzate.