Chiavi Cloud KMS gestite dal cliente
Per impostazione predefinita, BigQuery cripta i contenuti archiviati inattivi. BigQuery gestisce la crittografia predefinita senza che tu debba fare altro. In primo luogo, i dati in una tabella BigQuery vengono criptati utilizzando una chiave di crittografia dei dati. Queste chiavi di crittografia dei dati vengono quindi criptate con chiavi di crittografia della chiave, note come crittografia busta. Le chiavi di crittografia delle chiavi non criptano direttamente i tuoi dati, ma vengono utilizzate per criptare le chiavi di crittografia dei dati utilizzate da Google per criptare i tuoi dati.
Se vuoi controllare personalmente la crittografia, puoi utilizzare le chiavi di crittografia gestite dal cliente (CMEK) per BigQuery. Anziché lasciare che sia Google a possedere e gestire le chiavi di crittografia della chiave che proteggono i tuoi dati, puoi controllare e gestire le chiavi di crittografia delle chiavi in Cloud KMS. Questo documento fornisce dettagli su questa tecnica.
Scopri di più sulle opzioni di crittografia su Google Cloud. Per informazioni specifiche su CMEK, inclusi i vantaggi e le limitazioni, consulta Chiavi di crittografia gestite dal cliente.
Prima di iniziare
Tutti gli asset di dati che si trovano nello spazio di archiviazione gestito in BigQuery supportano CMEK. Tuttavia, se esegui anche query su dati archiviati in un'origine dati esterna, ad esempio Cloud Storage con dati criptati con CMEK, la crittografia dei dati viene gestita da Cloud Storage. Ad esempio, le tabelle BigLake supportano i dati criptati con CMEK in Cloud Storage.
Le tabelle BigQuery e BigLake non supportano le chiavi di crittografia fornite dal cliente (CSEK).
Decidi se eseguire BigQuery e Cloud KMS nello stesso progetto Google Cloud o in progetti diversi. Ai fini della documentazione di esempio, viene utilizzata la seguente convenzione:
PROJECT_ID
: l'ID del progetto che esegue BigQueryPROJECT_NUMBER
: il numero del progetto che esegue BigQueryKMS_PROJECT_ID
: l'ID del progetto che esegue Cloud KMS (anche se si tratta dello stesso progetto che esegue BigQuery)
BigQuery viene abilitato automaticamente nei nuovi progetti. Se utilizzi un progetto preesistente per eseguire BigQuery, abilita l'API BigQuery.
Per il progetto Google Cloud che esegue Cloud KMS, abilita l'API Cloud Key Management Service.
Una chiamata di decriptazione viene eseguita utilizzando Cloud KMS una volta per query su una tabella criptata con CMEK. Per ulteriori informazioni, consulta i prezzi di Cloud KMS.
Specifica della crittografia
Le chiavi Cloud KMS utilizzate per proteggere i dati in BigQuery sono chiavi AES-256. Queste chiavi vengono utilizzate come chiavi di crittografia della chiave in BigQuery, in quanto criptano le chiavi di crittografia dei dati che criptano i tuoi dati.
Creazione manuale o automatica delle chiavi
Puoi creare le chiavi CMEK manualmente o utilizzare Cloud KMS Autokey (anteprima). Autokey semplifica la creazione e la gestione delle chiavi CMEK automatizzando il provisioning e l'assegnazione. Con Autokey, non è necessario eseguire in anticipo il provisioning di keyring, chiavi e account di servizio. Vengono invece generati on demand nell'ambito della creazione di risorse BigQuery. Per maggiori informazioni, consulta la panoramica di Autokey.
Crea manualmente keyring e chiave
Per il progetto Google Cloud che esegue Cloud KMS, crea un keyring e una chiave come descritto in Creazione di keyring e chiavi. Crea il keyring in una località corrispondente a quella del tuo set di dati BigQuery:
I set di dati multiregionali devono utilizzare un keyring multiregionale di una località corrispondente. Ad esempio, un set di dati nella regione
US
deve essere protetto con un keyring della regioneus
, mentre un set di dati nella regioneEU
deve essere protetto con un keyring della regioneeurope
.I set di dati regionali devono utilizzare chiavi regionali corrispondenti. Ad esempio, un set di dati nella regione
asia-northeast1
deve essere protetto con un keyring della regioneasia-northeast1
.Non puoi utilizzare la regione
global
durante la configurazione di CMEK per BigQuery nella console Google Cloud. Tuttavia, puoi utilizzare la regioneglobal
durante la configurazione di CMEK per BigQuery utilizzando lo strumento a riga di comando bq o GoogleSQL.
Per ulteriori informazioni sulle località supportate per BigQuery e Cloud KMS, consulta Località cloud.
Concedi l'autorizzazione per crittografia e decriptazione
Per proteggere i tuoi dati BigQuery con una chiave CMEK, concedi all'account di servizio BigQuery l'autorizzazione per criptare e decriptare utilizzando la chiave. Il ruolo Autore crittografia/decrittografia CryptoKey Cloud KMS concede questa autorizzazione.
Assicurati che l'account di servizio sia stato creato, quindi utilizza la console Google Cloud per determinare l'ID account di servizio BigQuery. Successivamente, fornisci all'account di servizio il ruolo appropriato per criptare e decriptare utilizzando Cloud KMS.
Creazione del trigger dell'account di servizio
L'account di servizio BigQuery non viene creato inizialmente quando crei un progetto. Per attivare la creazione del tuo account di servizio, inserisci un comando che lo utilizzi, ad esempio il comando bq show --encryption_service_account
, oppure chiama il metodo API
projects.getServiceAccount. Ad esempio:
bq show --encryption_service_account --project_id=PROJECT_ID
Determinare l'ID account di servizio
L'ID dell'account di servizio BigQuery ha il seguente formato:
bq-PROJECT_NUMBER@bigquery-encryption.iam.gserviceaccount.com
Le seguenti tecniche mostrano come determinare l'ID account di servizio BigQuery per il tuo progetto.
Console
Vai alla pagina Dashboard nella console Google Cloud.
Nella parte superiore della pagina, fai clic sull'elenco a discesa Seleziona da. Nella finestra Seleziona da visualizzata, seleziona il tuo progetto.
L'ID e il numero del progetto sono entrambi visualizzati nella scheda Informazioni sul progetto della dashboard del progetto:
Nella stringa seguente, sostituisci PROJECT_NUMBER con il numero del tuo progetto. La nuova stringa identifica l'ID dell'account di servizio BigQuery.
bq-PROJECT_NUMBER@bigquery-encryption.iam.gserviceaccount.com
bq
Usa il comando bq show
con il flag --encryption_service_account
per determinare l'ID dell'account di servizio:
bq show --encryption_service_account
Il comando visualizza l'ID dell'account di servizio:
ServiceAccountID ------------------------------------------------------------- bq-PROJECT_NUMBER@bigquery-encryption.iam.gserviceaccount.com
Assegna il ruolo Autore crittografia/decrittografia
Assegna il ruolo Autore crittografia/decrittografia CryptoKey Cloud KMS all'account di servizio di sistema BigQuery che hai copiato negli appunti. Questo account ha il seguente formato:
bq-PROJECT_NUMBER@bigquery-encryption.iam.gserviceaccount.com
Console
Apri la pagina Chiavi di crittografia nella console Google Cloud.
Fai clic sul nome del keyring che contiene la chiave.
Fai clic sulla casella di controllo in corrispondenza della chiave di crittografia a cui vuoi aggiungere il ruolo. Si apre la scheda Autorizzazioni.
Fai clic su Aggiungi membro.
Inserisci l'indirizzo email dell'account di servizio,
bq-PROJECT_NUMBER@bigquery-encryption.iam.gserviceaccount.com
.- Se l'account di servizio è già nell'elenco dei membri, significa che ha dei ruoli esistenti. Fai clic sull'elenco a discesa del ruolo attuale per
l'account di servizio
bq-PROJECT_NUMBER@bigquery-encryption.iam.gserviceaccount.com
.
- Se l'account di servizio è già nell'elenco dei membri, significa che ha dei ruoli esistenti. Fai clic sull'elenco a discesa del ruolo attuale per
l'account di servizio
Fai clic sull'elenco a discesa per Seleziona un ruolo, fai clic su Cloud KMS e poi sul ruolo Autore crittografia/decrittografia CryptoKey Cloud KMS.
Fai clic su Salva per applicare il ruolo all'account di servizio
bq-PROJECT_NUMBER@bigquery-encryption.iam.gserviceaccount.com
.
gcloud
Puoi utilizzare Google Cloud CLI per assegnare il ruolo:
gcloud kms keys add-iam-policy-binding \ --project=KMS_PROJECT_ID \ --member serviceAccount:bq-PROJECT_NUMBER@bigquery-encryption.iam.gserviceaccount.com \ --role roles/cloudkms.cryptoKeyEncrypterDecrypter \ --location=KMS_KEY_LOCATION \ --keyring=KMS_KEY_RING \ KMS_KEY
Sostituisci quanto segue:
KMS_PROJECT_ID
: l'ID del progetto Google Cloud che esegue Cloud KMSPROJECT_NUMBER
: il numero del progetto (non l'ID) del tuo progetto Google Cloud che esegue BigQueryKMS_KEY_LOCATION
: il nome della località della chiave Cloud KMSKMS_KEY_RING
: il nome del keyring della tua chiave Cloud KMSKMS_KEY
: il nome della chiave della chiave Cloud KMS
ID risorsa della chiave
L'ID risorsa per la chiave Cloud KMS è obbligatorio per l'utilizzo di CMEK, come mostrato negli esempi. Questa chiave è sensibile alle maiuscole e nel formato:
projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY
Recupera l'ID risorsa della chiave
Apri la pagina Chiavi di crittografia nella console Google Cloud.
Fai clic sul nome del keyring che contiene la chiave.
In corrispondenza della chiave di cui stai recuperando l'ID risorsa, fai clic su Altro more_vert.
Fai clic su Copia nome risorsa. L'ID risorsa della chiave viene copiato negli appunti. L'ID risorsa è chiamato anche nome risorsa.
Crea una tabella protetta da Cloud KMS
Per creare una tabella protetta da Cloud KMS:
Console
Apri la pagina BigQuery nella console Google Cloud.
Nel riquadro Spazio di esplorazione, espandi il progetto e seleziona un set di dati.
Espandi l'opzione
Azioni e fai clic su Apri.Nel riquadro dei dettagli, fai clic su Crea tabella
.Nella pagina Crea tabella, inserisci le informazioni necessarie per creare una tabella vuota con una definizione di schema. Prima di fare clic su Crea tabella, imposta il tipo di crittografia e specifica la chiave Cloud KMS da utilizzare con la tabella:
- Fai clic su Opzioni avanzate.
- Fai clic su Chiave gestita dal cliente.
- Seleziona la chiave. Se la chiave che vuoi utilizzare non è presente nell'elenco, inserisci l'ID risorsa per la chiave.
Fai clic su Crea tabella.
SQL
Utilizza l'istruzione CREATE TABLE
con l'opzione kms_key_name
:
Nella console Google Cloud, vai alla pagina BigQuery.
Nell'editor query, inserisci la seguente istruzione:
CREATE TABLE DATASET_ID.TABLE_ID ( name STRING, value INT64 ) OPTIONS ( kms_key_name = 'projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY');
Fai clic su
Esegui.
Per ulteriori informazioni su come eseguire le query, vedi Eseguire una query interattiva.
bq
Puoi utilizzare lo strumento a riga di comando bq con il flag --destination_kms_key
per creare la tabella. Il flag --destination_kms_key
specifica l'ID risorsa della chiave da utilizzare con la tabella.
Per creare una tabella vuota con uno schema:
bq mk --schema name:string,value:integer -t \ --destination_kms_key projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY \ DATASET_ID.TABLE_ID
Per creare una tabella da una query:
bq query --destination_table=DATASET_ID.TABLE_ID \ --destination_kms_key projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY \ "SELECT name,count FROM DATASET_ID.TABLE_ID WHERE gender = 'M' ORDER BY count DESC LIMIT 6"
Per ulteriori informazioni sullo strumento a riga di comando bq, consulta Utilizzo dello strumento a riga di comando bq.
Terraform
Utilizza la risorsa google_bigquery_table
.
Per eseguire l'autenticazione in BigQuery, configura le credenziali predefinite dell'applicazione. Per maggiori informazioni, consulta Configurare l'autenticazione per le librerie client.
L'esempio seguente crea una tabella denominata mytable
e utilizza anche le risorse google_kms_crypto_key
e google_kms_key_ring
per specificare una chiave Cloud Key Management Service per la tabella.
Per eseguire questo esempio, devi abilitare l'API Cloud Resource Manager e l'API Cloud Key Management Service.
Per applicare la tua configurazione Terraform a un progetto Google Cloud, completa i passaggi nelle sezioni seguenti.
Prepara Cloud Shell
- Avvia Cloud Shell.
-
Imposta il progetto Google Cloud predefinito a cui vuoi applicare le configurazioni Terraform.
Devi eseguire questo comando una sola volta per progetto e puoi eseguirlo in qualsiasi directory.
export GOOGLE_CLOUD_PROJECT=PROJECT_ID
Le variabili di ambiente vengono sostituite se imposti valori espliciti nel file di configurazione Terraform.
Prepara la directory
Ogni file di configurazione Terraform deve avere la propria directory (chiamata anche modulo principale).
-
In Cloud Shell, crea una directory e un nuovo file al suo interno. Il nome del file deve avere l'estensione
.tf
, ad esempiomain.tf
. In questo tutorial, il file è denominatomain.tf
.mkdir DIRECTORY && cd DIRECTORY && touch main.tf
-
Se stai seguendo un tutorial, puoi copiare il codice campione in ogni sezione o passaggio.
Copia il codice campione nel nuovo oggetto
main.tf
.Facoltativamente, copia il codice da GitHub. Questa opzione è consigliata se lo snippet Terraform fa parte di una soluzione end-to-end.
- Esamina e modifica i parametri di esempio da applicare al tuo ambiente.
- Salva le modifiche.
-
Inizializza Terraform. Devi eseguire questa operazione una sola volta per directory.
terraform init
Facoltativamente, per utilizzare la versione più recente del provider Google, includi l'opzione
-upgrade
:terraform init -upgrade
Applica le modifiche
-
Esamina la configurazione e verifica che le risorse che Terraform creerà o aggiornerà soddisfino le tue aspettative:
terraform plan
Apporta le correzioni necessarie alla configurazione.
-
Applica la configurazione Terraform eseguendo questo comando e inserendo
yes
al prompt:terraform apply
Attendi finché in Terraform non viene visualizzato il messaggio "Applicazione completata!".
- Apri il progetto Google Cloud per visualizzare i risultati. Nella console Google Cloud, vai alle risorse nella UI per assicurarti che Terraform le abbia create o aggiornate.
Go
Prima di provare questo esempio, segui le istruzioni per la configurazione di Go nella guida rapida di BigQuery sull'utilizzo delle librerie client. Per maggiori informazioni, consulta la documentazione di riferimento dell'API Go di BigQuery.
Per eseguire l'autenticazione su BigQuery, configura Credenziali predefinite dell'applicazione. Per maggiori informazioni, consulta Configurare l'autenticazione per le librerie client.
Java
Prima di provare questo esempio, segui le istruzioni per la configurazione di Java nella guida rapida di BigQuery sull'utilizzo delle librerie client. Per maggiori informazioni, consulta la documentazione di riferimento dell'API Java di BigQuery.
Per eseguire l'autenticazione su BigQuery, configura Credenziali predefinite dell'applicazione. Per maggiori informazioni, consulta Configurare l'autenticazione per le librerie client.
Python
Prima di provare questo esempio, segui le istruzioni per la configurazione di Python nella guida rapida di BigQuery sull'utilizzo delle librerie client. Per maggiori informazioni, consulta la documentazione di riferimento dell'API Python di BigQuery.
Per eseguire l'autenticazione su BigQuery, configura Credenziali predefinite dell'applicazione. Per maggiori informazioni, consulta Configurare l'autenticazione per le librerie client.
Proteggi una nuova tabella con una chiave di crittografia gestita dal cliente impostando la proprietà Table.encryption_configuration su un oggetto EncryptionConfiguration prima di creare la tabella.Query su una tabella protetta da una chiave Cloud KMS
Non sono necessari accordi speciali per eseguire query su una tabella protetta da Cloud KMS. BigQuery archivia il nome della chiave utilizzata per criptare i contenuti della tabella e la utilizza quando viene eseguita una query su una tabella protetta da Cloud KMS.
Tutti gli strumenti esistenti, la console BigQuery e lo strumento a riga di comando bq vengono eseguiti come le tabelle criptate per impostazione predefinita, purché BigQuery abbia accesso alla chiave Cloud KMS utilizzata per criptare i contenuti della tabella.
Proteggi i risultati delle query con una chiave Cloud KMS
Per impostazione predefinita, i risultati delle query vengono archiviati in una tabella temporanea criptata con una chiave di proprietà di Google. Se il progetto dispone già di una chiave predefinita, la chiave viene applicata alla tabella dei risultati delle query temporanei (predefinita). Per utilizzare una chiave Cloud KMS per criptare i risultati della query, seleziona una delle seguenti opzioni:
Console
Apri la pagina BigQuery nella console Google Cloud.
Fai clic su Crea nuova query.
Inserisci una query GoogleSQL valida nell'area di testo della query.
Fai clic su Altro, poi su Impostazioni query e infine su Opzioni avanzate.
Seleziona Crittografia gestita dal cliente.
Seleziona la chiave. Se la chiave che vuoi utilizzare non è presente nell'elenco, inserisci l'ID risorsa per la chiave.
Fai clic su Salva.
Fai clic su Esegui.
bq
Specifica il flag --destination_kms_key
per proteggere la tabella di destinazione o i risultati delle query (se utilizzi una tabella temporanea) con la chiave Cloud KMS.
Il flag --destination_kms_key
specifica l'ID risorsa della chiave da utilizzare con la destinazione o la tabella risultante.
Facoltativamente, utilizza il flag --destination_table
per specificare la destinazione per i risultati della query. Se non viene utilizzato --destination_table
, i risultati della query vengono scritti in una tabella temporanea.
Per eseguire una query su una tabella:
bq query \ --destination_table=DATASET_ID.TABLE_ID \ --destination_kms_key projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY \ "SELECT name,count FROM DATASET_ID.TABLE_ID WHERE gender = 'M' ORDER BY count DESC LIMIT 6"
Per ulteriori informazioni sullo strumento a riga di comando bq, consulta Utilizzo dello strumento a riga di comando bq.
Go
Prima di provare questo esempio, segui le istruzioni per la configurazione di Go nella guida rapida di BigQuery sull'utilizzo delle librerie client. Per maggiori informazioni, consulta la documentazione di riferimento dell'API Go di BigQuery.
Per eseguire l'autenticazione su BigQuery, configura Credenziali predefinite dell'applicazione. Per maggiori informazioni, consulta Configurare l'autenticazione per le librerie client.
Proteggi una nuova tabella con una chiave di crittografia gestita dal cliente impostando la proprietà Table.encryption_configuration su un oggetto EncryptionConfiguration prima di creare la tabella.Java
Prima di provare questo esempio, segui le istruzioni per la configurazione di Java nella guida rapida di BigQuery sull'utilizzo delle librerie client. Per maggiori informazioni, consulta la documentazione di riferimento dell'API Java di BigQuery.
Per eseguire l'autenticazione su BigQuery, configura Credenziali predefinite dell'applicazione. Per maggiori informazioni, consulta Configurare l'autenticazione per le librerie client.
Proteggi una nuova tabella con una chiave di crittografia gestita dal cliente impostando la proprietà Table.encryption_configuration su un oggetto EncryptionConfiguration prima di creare la tabella.Python
Prima di provare questo esempio, segui le istruzioni per la configurazione di Python nella guida rapida di BigQuery sull'utilizzo delle librerie client. Per maggiori informazioni, consulta la documentazione di riferimento dell'API Python di BigQuery.
Per eseguire l'autenticazione su BigQuery, configura Credenziali predefinite dell'applicazione. Per maggiori informazioni, consulta Configurare l'autenticazione per le librerie client.
Proteggi una tabella di destinazione delle query con una chiave di crittografia gestita dal cliente impostando la proprietà QueryJobConfig.destination_encryption_configuration su EncryptionConfiguration ed esegui la query.
Carica una tabella protetta da Cloud KMS
Per caricare un file di dati in una tabella protetta da Cloud KMS:
Console
Proteggi una tabella di destinazione del job di caricamento con una chiave di crittografia gestita dal cliente specificando la chiave quando carichi la tabella.
Apri la pagina BigQuery nella console Google Cloud.
Nel riquadro Spazio di esplorazione, espandi il progetto e seleziona un set di dati.
Nel riquadro dei dettagli, fai clic su Crea tabella.
Specifica le opzioni da utilizzare per caricare la tabella, ma prima di fare clic su Crea tabella, fai clic su Opzioni avanzate.
In Crittografia, seleziona Chiave gestita dal cliente.
Fai clic sull'elenco a discesa Seleziona una chiave gestita dal cliente e seleziona la chiave da utilizzare. Se non vedi chiavi disponibili, inserisci un ID risorsa della chiave.
Fai clic su Crea tabella.
bq
Proteggi una tabella di destinazione dei job di caricamento con una chiave di crittografia gestita dal cliente impostando il flag --destination_kms_key
.
bq --location=LOCATION load \ --autodetect \ --source_format=FORMAT \ --destination_kms_key projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY \ DATASET.TABLE \ path_to_sourceAd esempio:
bq load \ --autodetect \ --source_format=NEWLINE_DELIMITED_JSON \ --destination_kms_key projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY \ test2.table4 \ gs://cloud-samples-data/bigquery/us-states/us-states.json
Go
Prima di provare questo esempio, segui le istruzioni per la configurazione di Go nella guida rapida di BigQuery sull'utilizzo delle librerie client. Per maggiori informazioni, consulta la documentazione di riferimento dell'API Go di BigQuery.
Per eseguire l'autenticazione su BigQuery, configura Credenziali predefinite dell'applicazione. Per maggiori informazioni, consulta Configurare l'autenticazione per le librerie client.
Java
Prima di provare questo esempio, segui le istruzioni per la configurazione di Java nella guida rapida di BigQuery sull'utilizzo delle librerie client. Per maggiori informazioni, consulta la documentazione di riferimento dell'API Java di BigQuery.
Per eseguire l'autenticazione su BigQuery, configura Credenziali predefinite dell'applicazione. Per maggiori informazioni, consulta Configurare l'autenticazione per le librerie client.
Python
Prima di provare questo esempio, segui le istruzioni per la configurazione di Python nella guida rapida di BigQuery sull'utilizzo delle librerie client. Per maggiori informazioni, consulta la documentazione di riferimento dell'API Python di BigQuery.
Per eseguire l'autenticazione su BigQuery, configura Credenziali predefinite dell'applicazione. Per maggiori informazioni, consulta Configurare l'autenticazione per le librerie client.
Proteggi una tabella di destinazione del job di caricamento con una chiave di crittografia gestita dal cliente impostando la proprietà LoadJobConfig.destination_encryption_configuration su EncryptionConfiguration e carica la tabella.
Inserimento di flussi in una tabella protetta da Cloud KMS
puoi trasmettere flussi di dati nella tabella BigQuery protetta da CMEK senza specificare parametri aggiuntivi. Questi dati vengono criptati utilizzando la chiave Cloud KMS nel buffer e nella posizione finale. Prima di utilizzare lo streaming con una tabella CMEK, esamina i requisiti relativi a disponibilità e accessibilità delle chiavi.
Scopri di più sui flussi di dati, consulta Flusso di dati con l'API BigQuery Storage Scrivi.
Cambia la crittografia di una tabella dalla crittografia predefinita alla protezione di Cloud KMS
bq
Puoi utilizzare il comando bq cp
con il flag --destination_kms_key
per copiare una tabella protetta per impostazione predefinita in una nuova tabella o nella tabella originale, protetta da Cloud KMS. Il flag --destination_kms_key
specifica l'ID risorsa della chiave da utilizzare con la tabella di destinazione.
Per copiare una tabella con crittografia predefinita in una nuova tabella con protezione di Cloud KMS:
bq cp \ --destination_kms_key projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY \ SOURCE_DATASET_ID.SOURCE_TABLE_ID DESTINATION_DATASET_ID.DESTINATION_TABLE_ID
Se vuoi copiare una tabella con crittografia predefinita nella stessa tabella con la protezione di Cloud KMS:
bq cp -f \ --destination_kms_key projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY \ DATASET_ID.TABLE_ID DATASET_ID.TABLE_ID
Se vuoi modificare una tabella dalla protezione di Cloud KMS alla crittografia predefinita, copia il file eseguendo bq cp
senza utilizzare il flag --destination_kms_key
.
Per ulteriori informazioni sullo strumento a riga di comando bq, consulta Utilizzo dello strumento a riga di comando bq.
Go
Prima di provare questo esempio, segui le istruzioni per la configurazione di Go nella guida rapida di BigQuery sull'utilizzo delle librerie client. Per maggiori informazioni, consulta la documentazione di riferimento dell'API Go di BigQuery.
Per eseguire l'autenticazione su BigQuery, configura Credenziali predefinite dell'applicazione. Per maggiori informazioni, consulta Configurare l'autenticazione per le librerie client.
Java
Prima di provare questo esempio, segui le istruzioni per la configurazione di Java nella guida rapida di BigQuery sull'utilizzo delle librerie client. Per maggiori informazioni, consulta la documentazione di riferimento dell'API Java di BigQuery.
Per eseguire l'autenticazione su BigQuery, configura Credenziali predefinite dell'applicazione. Per maggiori informazioni, consulta Configurare l'autenticazione per le librerie client.
Python
Prima di provare questo esempio, segui le istruzioni per la configurazione di Python nella guida rapida di BigQuery sull'utilizzo delle librerie client. Per maggiori informazioni, consulta la documentazione di riferimento dell'API Python di BigQuery.
Per eseguire l'autenticazione su BigQuery, configura Credenziali predefinite dell'applicazione. Per maggiori informazioni, consulta Configurare l'autenticazione per le librerie client.
Proteggi la destinazione di una copia di una tabella con una chiave di crittografia gestita dal cliente impostando la proprietà QueryJobConfig.destination_encryption_configuration su EncryptionConfiguration e copia la tabella.
Determina se una tabella è protetta da Cloud KMS
Nella console Google Cloud, fai clic sulla freccia blu a sinistra del set di dati per espanderlo oppure fai doppio clic sul nome del set di dati. Vengono visualizzate le tabelle e le viste nel set di dati.
Fai clic sul nome della tabella.
Fai clic su Dettagli. La pagina Dettagli tabella mostra la descrizione e le informazioni della tabella.
Se la tabella è protetta da Cloud KMS, nel campo Chiave di crittografia gestita dal cliente viene visualizzato l'ID risorsa della chiave.
Per ognuna delle chiavi che hai creato o che proteggono le tue tabelle, puoi vedere quali risorse vengono protette dalla chiave con il monitoraggio dell'utilizzo delle chiavi. Per maggiori informazioni, consulta la pagina Visualizzare l'utilizzo delle chiavi.
Modifica la chiave Cloud KMS per una tabella BigQuery
Per modificare la chiave Cloud KMS di una tabella protetta da CMEK esistente, puoi eseguire una query ALTER TABLE
, utilizzare l'API o utilizzare lo strumento a riga di comando bq.
Esistono due modi per modificare la chiave Cloud KMS utilizzando l'API e lo strumento a riga di comando bq: update
o cp
.
Se utilizzi update
, puoi modificare la chiave Cloud KMS utilizzata per una tabella protetta da CMEK.
Se utilizzi cp
, puoi cambiare la chiave Cloud KMS utilizzata per una tabella protetta da CMEK, modificare una tabella dalla crittografia predefinita alla protezione tramite CMEK o modificare una tabella dalla protezione tramite CMEK alla crittografia predefinita.
Un vantaggio di update
è che è più veloce di cp
e ti consente di utilizzare
decoratori di tabelle.
SQL
Utilizza l'istruzione ALTER TABLE SET OPTIONS
per aggiornare il campo kms_key_name
di una tabella:
Nella console Google Cloud, vai alla pagina BigQuery.
Nell'editor query, inserisci la seguente istruzione:
ALTER TABLE DATASET_ID.mytable SET OPTIONS ( kms_key_name = 'projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY');
Fai clic su
Esegui.
Per ulteriori informazioni su come eseguire le query, vedi Eseguire una query interattiva.
bq
Puoi utilizzare il comando bq cp
con il flag --destination_kms_key
per modificare la chiave di una tabella protetta da Cloud KMS. Il flag --destination_kms_key
specifica l'ID risorsa della chiave da utilizzare con la tabella.
bq update \ --destination_kms_key projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY \ -t DATASET_ID.TABLE_ID
Go
Prima di provare questo esempio, segui le istruzioni per la configurazione di Go nella guida rapida di BigQuery sull'utilizzo delle librerie client. Per maggiori informazioni, consulta la documentazione di riferimento dell'API Go di BigQuery.
Per eseguire l'autenticazione su BigQuery, configura Credenziali predefinite dell'applicazione. Per maggiori informazioni, consulta Configurare l'autenticazione per le librerie client.
Java
Prima di provare questo esempio, segui le istruzioni per la configurazione di Java nella guida rapida di BigQuery sull'utilizzo delle librerie client. Per maggiori informazioni, consulta la documentazione di riferimento dell'API Java di BigQuery.
Per eseguire l'autenticazione su BigQuery, configura Credenziali predefinite dell'applicazione. Per maggiori informazioni, consulta Configurare l'autenticazione per le librerie client.
Python
Cambia la chiave di crittografia gestita dal cliente per una tabella modificando la proprietà Table.encryption_configuration in un nuovo oggetto EncryptionConfiguration e aggiorna la tabella.
Prima di provare questo esempio, segui le istruzioni per la configurazione di Python nella guida rapida di BigQuery sull'utilizzo delle librerie client. Per maggiori informazioni, consulta la documentazione di riferimento dell'API Python di BigQuery.
Per eseguire l'autenticazione su BigQuery, configura Credenziali predefinite dell'applicazione. Per maggiori informazioni, consulta Configurare l'autenticazione per le librerie client.
Imposta una chiave predefinita per il set di dati
Puoi impostare una chiave Cloud KMS predefinita a livello di set di dati che si applichi a tutte le nuove tabelle create all'interno del set di dati, a meno che non venga specificata una chiave Cloud KMS diversa durante la creazione della tabella. La chiave predefinita non si applica alle tabelle esistenti. La modifica della chiave predefinita non modifica le tabelle esistenti e si applica solo alle nuove tabelle create dopo la modifica.
Puoi applicare, modificare o rimuovere una chiave predefinita del set di dati
specificando la chiave predefinita nel campo
EncryptionConfiguration.kmsKeyName
quando chiami i metodidatasets.insert
odatasets.patch
specificando la chiave predefinita nel flag
--default_kms_key
quando esegui il comandobq mk --dataset
.bq mk \ --default_kms_key projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY \ --dataset DATASET_ID
bq update \ --default_kms_key projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY \ --dataset DATASET_ID
Imposta una chiave predefinita per il progetto
Puoi impostare chiavi Cloud KMS predefinite per il progetto che si applicano a tutti i risultati delle query e alle nuove tabelle create nel progetto per quella località, a meno che non specifichi una chiave Cloud KMS diversa. La chiave predefinita non si applica alle tabelle esistenti. La modifica della chiave predefinita non modifica le tabelle esistenti e si applica solo alle nuove tabelle create dopo la modifica.
SQL
Utilizza l'istruzione ALTER PROJECT SET OPTIONS
per aggiornare il campo default_kms_key_name
di un progetto. Puoi trovare il nome risorsa per la chiave nella pagina Cloud KMS.
Nella console Google Cloud, vai alla pagina BigQuery.
Nell'editor query, inserisci la seguente istruzione:
ALTER PROJECT PROJECT_ID SET OPTIONS (
region-<var>LOCATION</var>.default_kms_key_name
= 'projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY');Fai clic su
Esegui.
Per ulteriori informazioni su come eseguire le query, vedi Eseguire una query interattiva.
bq
Puoi utilizzare il comando bq
per eseguire un'istruzione ALTER PROJECT SET OPTIONS
in modo da aggiornare il campo default_kms_key_name
di un progetto:
bq query --nouse_legacy_sql \
'ALTER PROJECT PROJECT_ID
SET OPTIONS (
`region-LOCATION.default_kms_key_name`
="projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY");'
Utilizza CMEK per proteggere i modelli BigQuery ML
BigQuery ML supporta CMEK. Oltre alla crittografia predefinita fornita da BigQuery, puoi utilizzare le tue chiavi di Cloud Key Management Service per criptare i modelli di machine learning, inclusi i modelli TensorFlow importati.
Crea un modello criptato con una chiave Cloud KMS
Per creare un modello criptato, utilizza l'istruzione CREATE MODEL
e specifica KMS_KEY_NAME
nelle opzioni di addestramento:
CREATE MODEL my_dataset.my_model OPTIONS( model_type='linear_reg', input_label_cols=['your_label'], kms_key_name='projects/my_project/locations/my_location/keyRings/my_ring/cryptoKeys/my_key') AS SELECT * FROM my_dataset.my_data
La stessa sintassi si applica anche ai modelli TensorFlow importati:
CREATE MODEL my_dataset.my_model OPTIONS( model_type='tensorflow', path='gs://bucket/path/to/saved_model/*', kms_key_name='projects/my_project/locations/my_location/keyRings/my_ring/cryptoKeys/my_key') AS SELECT * FROM my_dataset.my_data
Limitazioni
Le chiavi di crittografia gestite dal cliente presentano le seguenti limitazioni per la crittografia dei modelli di machine learning:
Le chiavi CMEK della regione
Global
non sono supportate per i seguenti tipi di modelli:Le chiavi CMEK a livello di regione
Global
e le chiavi CMEK a più regioni, ad esempioEU
oUS
, non sono supportate durante la creazione dei modelli AutoML Tables.
Cambia un modello dalla crittografia predefinita alla protezione di Cloud KMS
Puoi utilizzare il comando bq cp
con il flag --destination_kms_key
per copiare un modello protetto dalla crittografia
per impostazione predefinita in un nuovo modello protetto da Cloud KMS.
In alternativa, puoi utilizzare il comando bq cp
con il flag -f
per sovrascrivere un modello protetto per impostazione predefinita e aggiornarlo in modo da utilizzare la protezione di Cloud KMS. Il flag --destination_kms_key
specifica l'ID risorsa della chiave da utilizzare con il modello di destinazione.
Per copiare un modello con crittografia predefinita in un nuovo modello con protezione di Cloud KMS:
bq cp \ --destination_kms_key projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY \ SOURCE_DATASET_ID.SOURCE_MODEL_ID DESTINATION_DATASET_ID.DESTINATION_MODEL_ID
Per sovrascrivere un modello con crittografia predefinita nello stesso modello con la protezione di Cloud KMS:
bq cp -f \ --destination_kms_key projects/KMS_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING/cryptoKeys/KEY \ DATASET_ID.MODEL_ID DATASET_ID.MODEL_ID
Per cambiare un modello dalla protezione di Cloud KMS alla crittografia predefinita:
bq cp -f \ DATASET_ID.MODEL_ID DATASET_ID.MODEL_ID
Per ulteriori informazioni sullo strumento a riga di comando bq, consulta Utilizzo dello strumento a riga di comando bq.
Determina se un modello è protetto da Cloud KMS
Utilizza il comando bq show
per verificare se un modello è protetto dalla chiave Cloud KMS. La chiave di crittografia si trova nel campo kmsKeyName
.
bq show -m my_dataset.my_model
Puoi anche utilizzare la console Google Cloud per trovare la chiave Cloud KMS per un modello criptato. Le informazioni CMEK si trovano nel campo Chiave gestita dal cliente nella sezione Dettagli modello del riquadro Dettagli del modello.
Modifica la chiave Cloud KMS per un modello criptato
Utilizza il comando bq update
con il flag --destination_kms_key
per modificare la chiave di un modello protetto da Cloud KMS:
bq update --destination_kms_key \ projects/my_project/locations/my_location/keyRings/my_ring/cryptoKeys/my_key \ -t my_dataset.my_model
Usa chiavi di progetto o set di dati predefinite
Se hai impostato una chiave Cloud KMS predefinita a livello di progetto o set di dati, BigQuery ML utilizza automaticamente questa chiave durante la creazione dei modelli.
Usa l'istruzione CREATE MODEL
per specificare una chiave diversa per criptare il modello se non vuoi utilizzare la chiave predefinita.
Utilizza le funzioni di BigQuery ML con modelli criptati
Puoi usare tutte le funzioni di BigQuery ML con un modello criptato senza specificare una chiave di crittografia.
Usa CMEK per proteggere l'API BigQuery Connection
Per le connessioni Cloud SQL, puoi proteggere le credenziali dell'API BigQuery Connection utilizzando CMEK.
Per saperne di più su come creare una connessione protetta da CMEK, vedi Creare connessioni Cloud SQL.
Rimuovi l'accesso di BigQuery alla chiave Cloud KMS
Puoi rimuovere l'accesso di BigQuery alla chiave Cloud KMS in qualsiasi momento, revocando l'autorizzazione Identity and Access Management (IAM) per la chiave.
Se BigQuery perde l'accesso alla chiave Cloud KMS, l'esperienza utente può risentirne in modo significativo e può verificarsi una perdita di dati:
Non sarà più possibile accedere ai dati in queste tabelle protette da CMEK:
query
,cp
,extract
etabledata.list
avranno esito negativo.Non è possibile aggiungere nuovi dati a queste tabelle protette da CMEK.
Una volta concesso nuovamente l'accesso, le prestazioni delle query a queste tabelle possono essere ridotte per diversi giorni.
Controlla l'utilizzo di CMEK con il criterio dell'organizzazione
BigQuery si integra con i vincoli dei criteri dell'organizzazione CMEK per consentirti di specificare i requisiti di conformità della crittografia per le risorse BigQuery della tua organizzazione.
Questa integrazione ti consente di:
Richiedono CMEK per tutte le risorse BigQuery in un progetto.
Limita le chiavi Cloud KMS utilizzabili per proteggere le risorse in un progetto.
Richiedono CMEK per tutte le risorse
Un criterio comune è richiedere l'uso di CMEK per proteggere tutte le risorse in un insieme specifico di progetti. Puoi utilizzare il vincolo constraints/gcp.restrictNonCmekServices
per applicare questo criterio in BigQuery.
Se impostato, questo criterio dell'organizzazione fa sì che tutte le richieste di creazione di risorse senza una chiave Cloud KMS specificata non vadano a buon fine.
Una volta impostato, il criterio viene applicato solo alle nuove risorse nel progetto. Tutte le risorse esistenti senza chiavi Cloud KMS impostate continuano a esistere e sono accessibili senza problemi.
Console
Apri la pagina Criteri dell'organizzazione.
Nel campo Filtro, inserisci
constraints/gcp.restrictNonCmekServices
e fai clic su Limita i servizi che possono creare risorse senza CMEK.Fai clic su
Modifica.Seleziona Personalizza, poi Sostituisci e fai clic su Aggiungi regola.
Seleziona Personalizzato e poi fai clic su Rifiuta.
Nel campo Valore personalizzato, inserisci
is:bigquery.googleapis.com
.Fai clic su Fine e poi su Salva.
gcloud
gcloud resource-manager org-policies --project=PROJECT_ID \ deny gcp.restrictNonCmekServices is:bigquery.googleapis.com
Per verificare che il criterio venga applicato correttamente, puoi provare a creare una tabella nel progetto. Il processo non riesce se non specifichi una chiave Cloud KMS.
Questo criterio si applica anche alle tabelle dei risultati delle query nel progetto. Puoi specificare una chiave predefinita di progetto in modo che gli utenti non debbano specificare manualmente una chiave ogni volta che eseguono una query nel progetto.
Limita le chiavi Cloud KMS per un progetto BigQuery
Puoi utilizzare il vincolo constraints/gcp.restrictCmekCryptoKeyProjects
per limitare le chiavi Cloud KMS che puoi utilizzare per proteggere una risorsa in un progetto BigQuery.
Potresti specificare una regola, ad esempio "Per tutte le risorse BigQuery in projects/my-company-data-project, le chiavi Cloud KMS utilizzate in questo progetto devono provenire da projects/my-company-central-keys O projects/team-specific-keys".
Console
Apri la pagina Criteri dell'organizzazione.
Nel campo Filtro, inserisci
constraints/gcp.restrictCmekCryptoKeyProjects
e fai clic su Limita i progetti che potrebbero fornire CryptoKey KMS per CMEK.Fai clic su
Modifica.Seleziona Personalizza, poi Sostituisci e fai clic su Aggiungi regola.
Seleziona Personalizzato e poi fai clic su Consenti.
Nel campo Valore personalizzato, inserisci
under:projects/<var>KMS_PROJECT_ID</var>
.Fai clic su Fine e poi su Salva.
gcloud
gcloud resource-manager org-policies --project=PROJECT_ID \ allow gcp.restrictCmekCryptoKeyProjects under:projects/KMS_PROJECT_ID
Per verificare che il criterio venga applicato correttamente, puoi provare a creare una tabella utilizzando una chiave Cloud KMS di un progetto diverso. Il processo non andrà a buon fine.
Limitazioni dei criteri dell'organizzazione
Esistono delle limitazioni associate all'impostazione di un criterio dell'organizzazione.
Ritardo di propagazione
Dopo aver configurato o aggiornato un criterio dell'organizzazione, l'applicazione del nuovo criterio potrebbe richiedere fino a 15 minuti. BigQuery memorizza i criteri nella cache per non influire negativamente sulla latenza di query e creazione di tabelle.
Autorizzazioni richieste per impostare un criterio dell'organizzazione
Potrebbe essere difficile acquisire l'autorizzazione per impostare o aggiornare il criterio dell'organizzazione a scopo di test. Devi disporre del ruolo Amministratore criteri organizzazione, che può essere concesso solo a livello di organizzazione (anziché a livello di progetto o cartella).
Anche se il ruolo deve essere concesso a livello di organizzazione, è comunque possibile specificare un criterio da applicare solo a un progetto o a una cartella specifici.
Impatto della rotazione della chiave Cloud KMS
BigQuery non ruota automaticamente una chiave di crittografia della tabella quando la chiave Cloud KMS associata alla tabella viene ruotata. Tutti i dati nelle tabelle esistenti continuano a essere protetti dalla versione della chiave con cui sono stati creati.
Tutte le tabelle appena create utilizzano la versione della chiave primaria al momento della creazione.
Per aggiornare una tabella in modo che utilizzi la versione più recente della chiave, modificala in una chiave Cloud KMS diversa e poi torna all'originale.
Impatto sulla fatturazione di Cloud KMS
Quando crei o tronchi una tabella protetta da CMEK, BigQuery genera una chiave di crittografia della chiave intermedia che viene quindi criptata con la chiave Cloud KMS specificata.
Ai fini della fatturazione, ciò significa che né le tue chiamate a Cloud KMS né i relativi costi associati scalano con le dimensioni della tabella. Per le tabelle protette da CMEK,
puoi aspettarti una chiamata a Cloud KMS
cryptoKeys.encrypt
per ogni creazione o troncamento di una tabella e una chiamata a Cloud KMS
cryptoKeys.decrypt
per ogni tabella coinvolta in una query. Entrambi questi metodi appartengono alla categoria Operazioni chiave: crittografia elencata nei prezzi di Cloud KMS.
La lettura o la scrittura in una tabella protetta da CMEK esistente richiama Cloud KMS cryptoKeys.decrypt
perché la chiave intermedia deve essere decriptata.
Limitazioni
Accesso in BigQuery alla chiave Cloud KMS
Una chiave Cloud KMS è considerata disponibile e accessibile da BigQuery nelle seguenti condizioni:
- La chiave è attivata
- L'account di servizio BigQuery dispone di autorizzazioni di crittografia e decriptazione
Le seguenti sezioni descrivono l'impatto sugli inserimenti di flussi di dati e sui dati inaccessibili a lungo termine quando una chiave è inaccessibile.
Impatto sull'inserimento di flussi di dati
La chiave Cloud KMS deve essere disponibile e accessibile per almeno 24 ore consecutive nel periodo di 48 ore successivo a una richiesta di inserimento di flussi di dati. Se la chiave non è disponibile e non è accessibile, i dati trasmessi in flusso potrebbero non essere completamente persi e andare persi. Per ulteriori informazioni sull'inserimento di flussi di dati, consulta Flusso di dati in BigQuery.
Impatto sui dati inaccessibili a lungo termine
Poiché BigQuery fornisce uno spazio di archiviazione gestito, i dati inaccessibili a lungo termine non sono compatibili con l'architettura di BigQuery. Se la chiave Cloud KMS di una determinata tabella BigQuery non è disponibile e non è accessibile per 60 giorni consecutivi, BigQuery potrebbe scegliere di eliminare la tabella e i dati associati. Almeno 7 giorni prima dell'eliminazione dei dati, BigQuery invia un'email all'indirizzo email associato all'account di fatturazione.
Utilizzo di origini dati esterne
Se esegui una query su dati archiviati in un'origine dati esterna, ad esempio Cloud Storage in cui sono presenti dati criptati con CMEK, la crittografia dei dati viene gestita da Cloud Storage. Ad esempio, le tabelle BigLake supportano i dati criptati con CMEK in Cloud Storage.
Le tabelle BigQuery e BigLake non supportano le chiavi di crittografia fornite dal cliente (CSEK).
Passare dalla crittografia protetta da CMEK a quella predefinita e viceversa
Non puoi passare dalla crittografia predefinita alla crittografia CMEK e viceversa da una tabella. Per cambiare la crittografia, copia la
tabella con il set di informazioni della crittografia
della destinazione oppure utilizza una query SELECT *
per selezionare la tabella in se stessa con
la disposizione WRITE_TRUNCATE
.
Utilizzare i decoratori di tabelle
Se proteggi una tabella con Cloud KMS e poi sostituisci i dati nella tabella utilizzando il valore WRITE_TRUNCATE
per un'operazione load
, cp
o query
, i decoratori dell'intervallo non funzionano attraverso il limite di modifica della crittografia. Puoi comunque utilizzare i decoratori di tabelle, inclusi i decoratori di intervalli, per eseguire query sui dati prima o dopo il confine oppure per eseguire query sullo snapshot in un momento specifico.
Query tabella con caratteri jolly
Non è possibile eseguire query sulle tabelle protette da CMEK con un suffisso con caratteri jolly.
Assistenza per le versioni
Il supporto CMEK per BigQuery è disponibile solo per BigQuery Enterprise Plus e BigQuery On Demand. I clienti BigQuery con prenotazioni a costo fisso legacy prima del 5 luglio 2023 mantengono tutto il supporto esistente per CMEK nel livello Enterprise.
Assistenza per BigQuery Studio
Gli asset di codice di BigQuery Studio, tra cui query salvate e notebooks, non supportano CMEK.
Domande frequenti
Chi ha bisogno dell'autorizzazione per la chiave Cloud KMS?
Con le chiavi di crittografia gestite dal cliente, non è necessario specificare ripetutamente le autorizzazioni. Se l'account di servizio BigQuery dispone dell'autorizzazione per utilizzare la chiave Cloud KMS per criptare e decriptare, chiunque disponga dell'autorizzazione per la tabella BigQuery può accedere ai dati, anche se non ha accesso diretto alla chiave di Cloud KMS.
Quale account di servizio viene utilizzato?
L'account di servizio BigQuery associato al progetto Google Cloud della tabella viene utilizzato per decriptare i dati della tabella. Gli account di servizio BigQuery sono univoci per ogni progetto. Per un job che scrive dati in una tabella anonima protetta da Cloud KMS, viene utilizzato l'account di servizio del progetto del job.
Ad esempio, considera tre tabelle protette da CMEK: table1
, table2
e
table3
. Per eseguire query sui dati da {project1.table1, project2.table2}
con
la tabella di destinazione {project3.table3}
:
- Utilizza l'account di servizio
project1
perproject1.table1
- Utilizza l'account di servizio
project2
perproject2.table2
- Utilizza l'account di servizio
project3
perproject3.table3
In quali modi BigQuery può utilizzare la mia chiave Cloud KMS?
BigQuery utilizza la chiave Cloud KMS per decriptare i dati in risposta a una query dell'utente, ad esempio tabledata.list
o jobs.insert
.
BigQuery può utilizzare la chiave anche per attività di manutenzione e ottimizzazione dell'archiviazione dei dati, come la conversione dei dati in un formato ottimizzato per la lettura.
Quali librerie di crittografia vengono utilizzate?
BigQuery si basa sulla funzionalità Cloud KMS per CMEK. Cloud KMS utilizza Tink per la crittografia.
Come posso ricevere ulteriore assistenza?
Se hai domande a cui non hai trovato risposta qui, consulta la pagina relativa al supporto di BigQuery.
Risolvere gli errori
Di seguito sono descritti gli errori comuni e le mitigazioni consigliate.
Errore | Suggerimento |
---|---|
Concedi il ruolo Autore crittografia/decrittografia CryptoKey Cloud KMS | L'account di servizio BigQuery associato al progetto non dispone di autorizzazioni IAM sufficienti per eseguire operazioni sulla chiave Cloud KMS specificata. Segui le istruzioni nell'errore o in questa documentazione per concedere l'autorizzazione IAM adeguata. |
Le impostazioni di crittografia delle tabelle esistenti non corrispondono a quelle specificate nella richiesta | Questo può verificarsi in scenari in cui la tabella di destinazione ha impostazioni di crittografia che non corrispondono a quelle della richiesta. Come mitigazione, utilizza l'istruzione di scrittura TRUNCATE per sostituire la tabella o specificare una tabella di destinazione diversa. |
Questa regione non è supportata | La regione della chiave Cloud KMS non corrisponde a quella del set di dati BigQuery della tabella di destinazione. Come mitigazione, seleziona una chiave in una regione corrispondente al tuo set di dati oppure caricala in un set di dati che corrisponda alla regione della chiave. |
L'amministratore richiede che specifichi una chiave di crittografia per le query nel progetto PROJECT_ID. | Un criterio dell'organizzazione ha impedito la creazione di una risorsa o l'esecuzione di una query. Per saperne di più su questo criterio, vedi Richiedere CMEK per tutte le risorse in un progetto BigQuery. |
L'amministratore impedisce di utilizzare le chiavi KMS del progetto KMS_PROJECT_ID per proteggere le risorse nel progetto PROJECT_ID. | Un criterio dell'organizzazione ha impedito la creazione di una risorsa o l'esecuzione di una query. Per saperne di più su questo criterio, consulta Limitare le chiavi Cloud KMS per un progetto BigQuery. |