Limitare l'accesso con controllo dell'accesso a livello di colonna

In questa pagina viene spiegato come utilizzare il controllo dell'accesso a livello di colonna di BigQuery per limitare l'accesso ai dati di BigQuery a livello di colonna. Per informazioni generali sul controllo dell'accesso a livello di colonna, consulta Introduzione al controllo dell'accesso a livello di colonna di BigQuery.

Le istruzioni in questa pagina utilizzano sia BigQuery sia Data Catalog.

Devi aggiornare lo schema della tabella per impostare un tag di criteri su una colonna. Puoi utilizzare la console Google Cloud, lo strumento a riga di comando bq e l'API BigQuery per impostare un tag di criteri su una colonna. Inoltre, puoi creare una tabella, specificare lo schema e specificare i tag di criteri all'interno di un'operazione, utilizzando le seguenti tecniche:

• I comandi bq mk e bq load dello strumento a riga di comando bq.
• Il metodo API tables.insert.
• Pagina Crea tabella nella console Google Cloud. Se utilizzi la console Google Cloud, devi selezionare Modifica come testo quando aggiungi o modifichi lo schema.

Nota: non puoi utilizzare l'istruzione DDL CREATE TABLE per specificare i tag di criteri.

Per migliorare controllo dell'accesso a livello di colonna, puoi facoltativamente utilizzare il mascheramento dinamico dei dati. Il mascheramento dei dati ti consente di mascherare i dati sensibili sostituendo contenuti nulli, predefiniti o sottoposti ad hashing al posto del valore effettivo della colonna.

Prima di iniziare

1. Accedi al tuo account Google Cloud. Se non conosci Google Cloud, crea un account per valutare le prestazioni dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $di crediti gratuiti per l'esecuzione, il test e il deployment dei carichi di lavoro.

2. Nella pagina del selettore di progetti della console Google Cloud, seleziona o crea un progetto Google Cloud.

   Nota: se non prevedi di conservare le risorse create in questa procedura, crea un progetto anziché selezionarne uno esistente. Dopo aver completato questi passaggi, puoi eliminare il progetto, rimuovendo tutte le risorse associate.

   Vai al selettore progetti

3. Assicurati che la fatturazione sia attivata per il tuo progetto Google Cloud.

4. Abilita le API Data Catalog and BigQuery Data Policy.

   Abilita le API

5. Nella pagina del selettore di progetti della console Google Cloud, seleziona o crea un progetto Google Cloud.

   Nota: se non prevedi di conservare le risorse create in questa procedura, crea un progetto anziché selezionarne uno esistente. Dopo aver completato questi passaggi, puoi eliminare il progetto, rimuovendo tutte le risorse associate.

   Vai al selettore progetti

6. Assicurati che la fatturazione sia attivata per il tuo progetto Google Cloud.

7. Abilita le API Data Catalog and BigQuery Data Policy.

   Abilita le API

8. BigQuery viene abilitato automaticamente nei nuovi progetti, ma potrebbe essere necessario attivarlo in un progetto preesistente.

   Attiva l'API BigQuery.

   Abilita l'API

Ruoli e autorizzazioni

Esistono diversi ruoli relativi ai tag di criteri per utenti e account di servizio.

• Gli utenti o gli account di servizio che amministrano i tag di criteri devono disporre del ruolo Amministratore tag di criteri di Data Catalog. Il ruolo Amministratore tag di criteri può gestire tassonomie e tag di criteri e può concedere o rimuovere i ruoli IAM associati ai tag di criteri.

• Gli utenti o gli account di servizio che applicano il controllo dell'accesso per il controllo dell'accesso a livello di colonna devono disporre del ruolo Amministratore BigQuery o Proprietario dati BigQuery. I ruoli BigQuery possono gestire i criteri relativi ai dati, utilizzati per applicare controllo dell'accesso a una tassonomia.

• Per accedere a questi dati, gli utenti o gli account di servizio che eseguono query su dati protetti dal controllo dell'accesso dell'accesso a livello di colonna devono disporre del ruolo Lettore granulare Data Catalog.

Per ulteriori informazioni su tutti i ruoli relativi ai tag di criteri, consulta Ruoli utilizzati con il controllo dell'accesso a livello di colonna.

Il ruolo Amministratore tag criteri di Data Catalog

Il ruolo Amministratore tag criteri di Data Catalog può creare e gestire i tag dei criteri dei dati.

Per concedere il ruolo Amministratore tag criteri, devi disporre dell'autorizzazione resourcemanager.projects.setIamPolicy nel progetto per cui vuoi concedere il ruolo. Se non hai l'autorizzazione resourcemanager.projects.setIamPolicy, chiedi a un Proprietario progetto di concederti l'autorizzazione oppure esegui la procedura seguente per te.

1. Nella console Google Cloud, vai alla pagina IAM.

   Apri la pagina IAM

2. Se l'elenco contiene l'indirizzo email dell'utente a cui assegnare il ruolo, selezionalo e fai clic su Modifica (l'icona a forma di matita). Quindi, fai clic su Aggiungi un altro ruolo.

   Se l'indirizzo email dell'utente non è nell'elenco, fai clic su Aggiungi, poi inserisci l'indirizzo email nella casella Nuove entità.

3. Fai clic sull'elenco a discesa Seleziona un ruolo.

4. Fai clic su Data Catalog e poi su Amministratore tag di criteri.

5. Fai clic su Salva.

I ruoli Amministratore di BigQuery e Proprietario dei dati

I ruoli Amministratore di BigQuery e Proprietario dei dati possono gestire i criteri relativi ai dati.

Per concedere uno di questi ruoli, devi disporre dell'autorizzazione resourcemanager.projects.setIamPolicy nel progetto a cui vuoi concedere il ruolo. Se non hai l'autorizzazione resourcemanager.projects.setIamPolicy, chiedi a un Proprietario progetto di concederti l'autorizzazione oppure esegui la procedura seguente per te.

1. Nella console Google Cloud, vai alla pagina IAM.

   Apri la pagina IAM

2. Se l'elenco contiene l'indirizzo email dell'utente a cui assegnare il ruolo, selezionalo e fai clic su Modifica (l'icona a forma di matita). Quindi, fai clic su Aggiungi un altro ruolo.

   Se l'indirizzo email dell'utente non è nell'elenco, fai clic su Aggiungi, poi inserisci l'indirizzo email nella casella Nuove entità.

3. Fai clic sull'elenco a discesa Seleziona un ruolo.

4. Fai clic su BigQuery e poi su Amministratore o Proprietario dati.

5. Fai clic su Salva.

Ruolo Lettore granulare Data Catalog

Gli utenti che devono accedere ai dati protetti con controllo dell'accesso a livello di colonna devono avere il ruolo Lettore granulare Data Catalog. Questo ruolo viene assegnato alle entità durante la configurazione di un tag di criteri.

Per concedere a un utente il ruolo Lettore granulare per un tag di criterio, devi disporre dell'autorizzazione datacatalog.taxonomies.setIamPolicy nel progetto che contiene la tassonomia del tag di criteri. Se non hai l'autorizzazione datacatalog.taxonomies.setIamPolicy, chiedi a un Proprietario progetto di concederti l'autorizzazione o di eseguire l'azione per tuo conto.

Per le istruzioni, consulta Impostare le autorizzazioni per i tag di criteri.

Configurare controllo dell'accesso a livello di colonna

Configura controllo dell'accesso a livello di colonna completando queste attività:

• Crea una tassonomia di tag di criteri.
• Associa le entità ai tag di criteri e concedi alle entità il ruolo Lettore granulare Data Catalog.
• Associa i tag di criteri alle colonne della tabella BigQuery.
• Forzano l'applicazione controllo dell'accesso alla tassonomia contenente i tag di criteri.

Creazione tassonomie

All'account utente o di servizio che crea una tassonomia deve essere concesso il ruolo Amministratore tag di criteri di Data Catalog.

Console

1. Apri la pagina Tassonomie di tag di criteri nella console Google Cloud.

   Apri la pagina Tassonomie tag di criteri

2. Fai clic su Crea tassonomia.

3. Nella pagina Nuova tassonomia:

   1. In Nome tassonomia, inserisci il nome della tassonomia che vuoi creare.
   2. In Descrizione, inserisci una descrizione.
   3. Se necessario, modifica il progetto elencato in Progetto.
   4. Se necessario, cambia la località indicata sotto Località.
   5. In Tag di criteri, inserisci un nome e una descrizione per il tag di criteri.
   6. Per aggiungere un tag di criterio secondario per un tag di criteri, fai clic su Aggiungi sottotag.
   7. Per aggiungere un nuovo tag di criteri allo stesso livello di un altro tag di criteri, fai clic su + Aggiungi tag di criteri.
   8. Continua ad aggiungere tag di criteri e tag di criteri figlio in base alle esigenze della tua tassonomia.
   9. Al termine della creazione dei tag di criteri per la gerarchia, fai clic su Crea.

API

Per utilizzare le tassonomie esistenti, chiama taxonomies.import al posto dei primi due passaggi della procedura seguente.

1. Chiama taxonomies.create per creare una tassonomia.
2. Chiama taxonomies.policytag.create per creare un tag di criteri.

Imposta le autorizzazioni per i tag di criteri

All'account utente o di servizio che crea una tassonomia deve essere concesso il ruolo Amministratore tag di criteri di Data Catalog.

Console

1. Apri la pagina Tassonomie di tag di criteri nella console Google Cloud.

   Apri la pagina Tassonomie tag di criteri

2. Fai clic sul nome della tassonomia che contiene i tag criterio pertinenti.

3. Seleziona uno o più tag di criteri.

4. Se il riquadro Informazioni è nascosto, fai clic su Mostra riquadro informazioni.

5. Nel riquadro Informazioni puoi visualizzare i ruoli e le entità per i tag di criteri selezionati. Aggiungi il ruolo Amministratore tag di criteri agli account che creano e gestiscono i tag di criteri. Aggiungi il ruolo Lettore granulare agli account destinati ad avere accesso ai dati protetti dal controllo dell'accesso a livello di colonna. Puoi usare questo riquadro anche per rimuovere i ruoli dagli account o per modificare altre autorizzazioni.

6. Fai clic su Salva.

API

Chiama taxonomies.policytag.setIamPolicy per concedere l'accesso a un tag di criteri assegnando le entità ai ruoli appropriati.

Imposta tag criterio sulle colonne

L'account utente o di servizio che imposta un tag di criteri deve avere le autorizzazioni datacatalog.taxonomies.get e bigquery.tables.setCategory. datacatalog.taxonomies.get è incluso nei ruoli Amministratore tag criterio di Data Catalog e Visualizzatore progetto. bigquery.tables.setCategory è incluso nei ruoli Amministratore BigQuery (roles/bigquery.admin) e Proprietario dati BigQuery (roles/bigquery.dataOwner).

Nota: puoi assegnare un solo tag di criteri per colonna.

Console

Imposta il tag di criteri modificando uno schema utilizzando la console Google Cloud.

1. Apri la pagina BigQuery nella console Google Cloud.

   Vai alla pagina BigQuery

2. In BigQuery Explorer, individua e seleziona la tabella che vuoi aggiornare. Si apre lo schema della tabella in questione.

3. Fai clic su Modifica schema.

4. Nella schermata Schema corrente, seleziona la colonna di destinazione e fai clic su Aggiungi tag criterio.

5. Nella schermata Aggiungi un tag di criteri, individua e seleziona il tag di criterio che vuoi applicare alla colonna.

6. Fai clic su Seleziona. La schermata dovrebbe essere simile alla seguente:

   

7. Fai clic su Salva.

bq

1. Scrivere lo schema in un file locale.

   bq show --schema --format=prettyjson \
      project-id:dataset.table > schema.json
   

   dove:

   • project-id è l'ID progetto.
   • dataset è il nome del set di dati contenente la tabella che stai aggiornando.
   • table è il nome della tabella che stai aggiornando.

2. Modifica schema.json per impostare un tag di criteri su una colonna. Per il valore del campo names di policyTags, utilizza il nome della risorsa tag di criteri.

   [
    ...
    {
      "name": "ssn",
      "type": "STRING",
      "mode": "REQUIRED",
      "policyTags": {
        "names": ["projects/project-id/locations/location/taxonomies/taxonomy-id/policyTags/policytag-id"]
      }
    },
    ...
   ]
   

3. Aggiorna lo schema.

   bq update \
      project-id:dataset.table schema.json
   

API

Per le tabelle esistenti, chiama tables.patch o, per le nuove tabelle, chiama tables.insert. Utilizza la proprietà schema dell'oggetto Table che passi per impostare un tag di criteri nella definizione dello schema. Consulta lo schema di esempio della riga di comando per vedere come impostare un tag di criteri.

Quando lavori con una tabella esistente, è preferibile il metodo tables.patch, perché il metodo tables.update sostituisce l'intera risorsa della tabella.

Altri modi per impostare i tag di criteri sulle colonne

Puoi impostare i tag di criteri anche quando:

• Utilizza bq mk per creare una tabella. Passa uno schema da utilizzare per la creazione della tabella.
• Utilizza bq load per caricare i dati in una tabella. Passa uno schema da utilizzare quando carichi la tabella.

Per informazioni generali sullo schema, consulta la sezione Specifica di uno schema.

Applica controllo di accesso

Utilizza queste istruzioni per attivare o disattivare l'applicazione forzata del controllo dell'accesso'accesso.

Per applicare controllo dell'accesso è necessario creare un criterio relativo ai dati. Questa operazione viene eseguita automaticamente se applichi il controllo dell'accesso'accesso utilizzando la console Google Cloud. Se vuoi applicare il controllo dell'accesso dell'accesso utilizzando l'API BigQuery Data Policy, devi creare esplicitamente i criteri relativi ai dati.

L'account utente o di servizio che applica controllo dell'accesso'accesso deve disporre del ruolo Amministratore BigQuery o Proprietario dei dati BigQuery. Devono inoltre avere il ruolo Amministratore Data Catalog o Visualizzatore Data Catalog.

Console

Per applicare in modo forzato controllo dell'accesso dell'accesso:

1. Apri la pagina Tassonomie di tag di criteri nella console Google Cloud.

   Apri la pagina Tassonomie tag di criteri

2. Fai clic sulla tassonomia per cui vuoi applicare controllo dell'accesso a livello di colonna.

3. Se l'opzione Applica controllo dell'accesso non è già attiva, fai clic su Applica il controllo dell'accesso per abilitarla.

Per interrompere l'applicazione forzata del controllo dell'accesso se è attiva, fai clic su Applica controllo dell'accesso per attivare/disattivare il controllo.

Se hai criteri relativi ai dati associati a uno dei tag di criteri nella tassonomia, devi eliminare tutti i criteri relativi ai dati nella tassonomia prima di interrompere l'applicazione forzata del controllo dell'accesso'accesso. Se elimini i criteri relativi ai dati utilizzando l'API BigQuery Data Policy, devi eliminare tutti i criteri relativi ai dati con dataPolicyType pari a DATA_MASKING_POLICY. Per ulteriori informazioni, consulta Eliminare i criteri relativi ai dati.

API

Per applicare controllo dell'accesso, chiama create e passa una risorsa DataPolicy in cui il campo dataPolicyType è impostato su COLUMN_LEVEL_SECURITY_POLICY.

Per interrompere l'applicazione del controllo dell'accesso se è attivo, elimina il criterio dei dati associato alla tassonomia. Per farlo, chiama il metodo delete per quel criterio relativo ai dati.

Se hai criteri relativi ai dati associati a uno dei tag di criteri nella tassonomia, non puoi interrompere l'applicazione del controllo dell'accesso'accesso senza prima eliminare tutti i criteri relativi ai dati nella tassonomia. Per ulteriori informazioni, consulta Eliminare i criteri relativi ai dati.

Utilizzare i tag di criteri

Utilizza questa sezione per scoprire come visualizzare, modificare ed eliminare i tag di criteri.

Visualizza tag criterio

Per visualizzare i tag di criteri creati per una tassonomia:

1. Apri la pagina Tassonomie di tag di criteri nella console Google Cloud.

   Apri la pagina Tassonomie tag di criteri

2. Fai clic sulla tassonomia di cui vuoi visualizzare i tag di criteri. La pagina Tassonomie mostra i tag di criteri nella tassonomia.

Visualizza i tag di criteri nello schema

Puoi visualizzare i tag di criteri applicati a una tabella quando esamini lo schema della tabella. Puoi visualizzare lo schema utilizzando la console Google Cloud, lo strumento a riga di comando bq, l'API BigQuery e le librerie client. Per maggiori dettagli su come visualizzare lo schema, vedi Ottenere informazioni sulla tabella.

Visualizza autorizzazioni per i tag di criteri

1. Apri la pagina Tassonomie di tag di criteri nella console Google Cloud.

   Apri la pagina Tassonomie tag di criteri

2. Fai clic sul nome della tassonomia che contiene i tag criterio pertinenti.

3. Seleziona uno o più tag di criteri.

4. Se il riquadro Informazioni è nascosto, fai clic su Mostra riquadro informazioni.

5. Nel riquadro Informazioni puoi visualizzare i ruoli e le entità per i tag di criteri selezionati.

Aggiorna le autorizzazioni per i tag di criteri

All'account utente o di servizio che crea una tassonomia deve essere concesso il ruolo Amministratore tag di criteri di Data Catalog.

Console

1. Apri la pagina Tassonomie di tag di criteri nella console Google Cloud.

   Apri la pagina Tassonomie tag di criteri

2. Fai clic sul nome della tassonomia che contiene i tag criterio pertinenti.

3. Seleziona uno o più tag di criteri.

4. Se il riquadro Informazioni è nascosto, fai clic su Mostra riquadro informazioni.

5. Nel riquadro Informazioni puoi visualizzare i ruoli e le entità per i tag di criteri selezionati. Aggiungi il ruolo Amministratore tag di criteri agli account che creano e gestiscono i tag di criteri. Aggiungi il ruolo Lettore granulare agli account destinati ad avere accesso ai dati protetti dal controllo dell'accesso a livello di colonna. Puoi usare questo riquadro anche per rimuovere i ruoli dagli account o per modificare altre autorizzazioni.

6. Fai clic su Salva.

API

Chiama taxonomies.policytag.setIamPolicy per concedere l'accesso a un tag di criteri assegnando le entità ai ruoli appropriati.

Recuperare i nomi delle risorse dei tag di criteri

Devi avere il nome della risorsa tag di criteri quando applichi il tag di criterio a una colonna.

Per recuperare il nome della risorsa tag di criteri:

1. Visualizza i tag criterio per la tassonomia che contiene il tag di criteri.

2. Trova il tag di criteri di cui vuoi copiare il nome della risorsa.

3. Fai clic sull'icona Copia nome risorsa tag criterio.

   

Cancella tag criterio

Aggiorna lo schema della tabella per cancellare un tag di criteri da una colonna. Puoi utilizzare la console Google Cloud, lo strumento a riga di comando bq e il metodo dell'API BigQuery per cancellare un tag di criteri da una colonna.

Console

Nella pagina Schema corrente, in Tag di criteri, fai clic su X.

bq

Nota: per cancellare un tag di criteri, devi impostare esplicitamente il campo names di policyTags su un elenco vuoto, []. L'eliminazione del campo policyTags non ha alcun effetto sui tag di criteri esistenti. Questo è stato progettato per impedire la rimozione accidentale dei tag di criteri che esporrebbero dati sensibili.

1. Recupera lo schema e salvalo in un file locale.

   bq show --schema --format=prettyjson \
      project-id:dataset.table > schema.json
   

   dove:

   • project-id è l'ID progetto.
   • dataset è il nome del set di dati contenente la tabella che stai aggiornando.
   • table è il nome della tabella che stai aggiornando.

2. Modifica schema.json per cancellare un tag di criteri da una colonna.

   [
    ...
    {
      "name": "ssn",
      "type": "STRING",
      "mode": "REQUIRED",
      "policyTags": {
        "names": []
      }
    },
    ...
   ]
   

3. Aggiorna lo schema.

   bq update \
      project-id:dataset.table schema.json
   

API

Nota: per cancellare un tag di criteri, devi impostare esplicitamente il campo names di policyTags su un elenco vuoto, []. L'eliminazione del campo policyTags non ha alcun effetto sui tag di criteri esistenti. Questo è stato progettato per impedire la rimozione accidentale dei tag di criteri che esporrebbero dati sensibili.

Chiama tables.patch e utilizza la proprietà schema per cancellare un tag di criteri nella definizione dello schema. Per vedere come cancellare un tag di criteri, consulta lo schema di esempio della riga di comando.

Poiché il metodo tables.update sostituisce l'intera risorsa della tabella, è preferibile il metodo tables.patch.

Elimina tag di criteri

Puoi eliminare uno o più tag criterio in una tassonomia oppure eliminare la tassonomia e tutti i tag di criteri che contiene. L'eliminazione di un tag di criteri rimuove automaticamente l'associazione tra il tag di criteri e le colonne a cui era stato applicato.

Quando elimini un tag di criteri a cui è associato un criterio sui dati, l'eliminazione anche del criterio sui dati può richiedere fino a 30 minuti. Puoi eliminare direttamente le norme relative ai dati se vuoi che vengano eliminate immediatamente.

Per eliminare uno o più tag di criteri in una tassonomia, procedi nel seguente modo:

1. Apri la pagina Tassonomie di tag di criteri nella console Google Cloud.

   Apri la pagina Tassonomie tag di criteri

2. Fai clic sul nome della tassonomia contenente i tag da eliminare.
3. Fai clic su Modifica.
4. Fai clic su accanto ai tag di criteri da eliminare.
5. Fai clic su Salva.
6. Fai clic su Conferma.

Per eliminare un'intera tassonomia:

1. Apri la pagina Tassonomie di tag di criteri nella console Google Cloud.

   Apri la pagina Tassonomie tag di criteri

2. Fai clic sul nome della tassonomia contenente i tag da eliminare.
3. Fai clic su Elimina tassonomia tag criterio.
4. Digita il nome della tassonomia e fai clic su Elimina.

Eseguire query sui dati con controllo dell'accesso a livello di colonna

Se un utente ha accesso al set di dati e dispone del ruolo Lettore granulare Data Catalog, i dati della colonna saranno disponibili per l'utente. L'utente esegue una query normalmente.

Se un utente ha accesso al set di dati, ma non dispone del ruolo Lettore granulare Data Catalog, i dati della colonna non saranno disponibili per l'utente. Se un utente di questo tipo esegue SELECT *, riceve un errore in cui vengono elencate le colonne a cui l'utente non può accedere. Per risolvere l'errore, puoi:

• Modifica la query per escludere le colonne a cui l'utente non può accedere. Ad esempio, se l'utente non ha accesso alla colonna ssn, ma ha accesso alle colonne rimanenti, può eseguire la seguente query:

  SELECT * EXCEPT (ssn) FROM ...
  

  Nell'esempio precedente, la clausola EXCEPT esclude la colonna ssn.

• Chiedi a un amministratore di Data Catalog di aggiungere l'utente come lettore granulare di Data Catalog alla classe di dati pertinente. Il messaggio di errore fornisce il nome completo del tag di criteri a cui l'utente deve accedere.

Domande frequenti

La sec a livello di colonna di BigQuery funziona per le viste?

Sì. Le visualizzazioni derivano da una tabella sottostante. Lo stesso controllo dell'accesso a livello di colonna nella tabella viene applicato quando si accede alle colonne protette tramite una vista.

In BigQuery esistono due tipi di viste: le viste logiche e le viste autorizzate. Entrambi i tipi di viste derivano da una tabella di origine ed sono coerenti con il controllo dell'accesso a livello di colonna della tabella.

Controllo dell'accesso a livello di colonna funziona su STRUCT o RECORD colonne?

Sì. Puoi applicare i tag di criterio solo ai campi foglia, che sono protetti.

Posso utilizzare sia SQL precedente sia GoogleSQL?

Puoi utilizzare GoogleSQL per eseguire query su tabelle protette dal controllo dell'accesso a livello di colonna.

Eventuali query SQL precedente vengono rifiutate se sono presenti tag di criteri nelle tabelle di destinazione.

Le query vengono registrate in Cloud Logging?

Il controllo dei tag di criteri viene registrato in Logging. Per ulteriori informazioni, consulta Audit logging per controllo dell'accesso a livello di colonna.

La copia di una tabella è interessata dal controllo dell'accesso a livello di colonna?

Sì. Non puoi copiare colonne se non puoi accedervi.

Le operazioni seguenti verificano le autorizzazioni a livello di colonna.

• SELECT query con tabelle di destinazione
• Job di copia della tabella
• Job di esportazione dati (ad esempio in Cloud Storage)

Quando eseguo la copia dei dati in una nuova tabella, i tag di criteri vengono propagati automaticamente?

Nella maggior parte dei casi no. Se copi i risultati di una query in una nuova tabella, alla nuova tabella non vengono assegnati automaticamente tag di criterio. Quindi la nuova tabella non prevede il controllo dell'accesso a livello di colonna. Lo stesso vale se esporti i dati in Cloud Storage.

Fa eccezione il caso in cui utilizzi un job di copia della tabella. Poiché i job di copia delle tabelle non applicano alcuna trasformazione dei dati, i tag di criteri vengono propagati automaticamente nelle tabelle di destinazione.

Controllo dell'accesso a livello di colonna è compatibile con Virtual Private Cloud?

Sì, controllo dell'accesso a livello di colonna e il VPC sono compatibili e complementari.

VPC sfrutta IAM per controllare l'accesso a servizi come BigQuery e Cloud Storage. Il controllo dell'accesso a livello di colonna offre una sicurezza granulare delle singole colonne all'interno di BigQuery.

Per applicare il VPC per tag di criteri e criteri relativi ai dati per il controllo dell'accesso a livello di colonna e il mascheramento dinamico dei dati, devi limitare le seguenti API nel perimetro:

• API Data Catalog
• API BigQuery
• API BigQuery Data Policy

Risolvere i problemi

Non riesco a visualizzare i ruoli di Data Catalog

Se non riesci a visualizzare ruoli come Lettore granulare Data Catalog, è possibile che tu non abbia abilitato l'API Data Catalog nel progetto. Per scoprire come abilitare l'API Data Catalog, consulta Prima di iniziare. I ruoli Data Catalog dovrebbero essere visualizzati diversi minuti dopo l'abilitazione dell'API Data Catalog.

Non riesco a visualizzare la pagina Tassonomie

Devi disporre di autorizzazioni aggiuntive per visualizzare la pagina Tassonomie. Ad esempio, il ruolo Amministratore tag di criteri di Data Catalog ha accesso alla pagina Tassonomie.

Ho applicato i tag di criteri, ma sembra non funzionare

Se continui a ricevere risultati di query per un account che non dovrebbe avervi accesso, è possibile che l'account stia ricevendo risultati memorizzati nella cache. In particolare, se in precedenza hai eseguito correttamente la query e poi hai applicato i tag di criteri, potresti ottenere risultati dalla cache dei risultati della query. Per impostazione predefinita, i risultati delle query vengono memorizzati nella cache per 24 ore. Se disabiliti la cache dei risultati, la query dovrebbe restituire un errore immediato. Per maggiori dettagli sulla memorizzazione nella cache, consulta Impatto del controllo dell'accesso a livello di colonna.

In generale, la propagazione degli aggiornamenti IAM richiede circa 30 secondi. La propagazione delle modifiche alla gerarchia dei tag di criteri può richiedere fino a 30 minuti.