Informazioni sugli account di servizio in Dataform
Quando crei il tuo primo repository Dataform, Dataform genera automaticamente un account di servizio predefinito. Dataform utilizza l'account di servizio predefinito per interagire con BigQuery per tuo conto. Per impostazione predefinita, all'account di servizio Dataform non vengono concessi ruoli o autorizzazioni BigQuery. Devi concedere l'accesso richiesto all'account di servizio Dataform predefinito.
L'ID account di servizio Dataform predefinito ha il seguente formato:
service-YOUR_PROJECT_NUMBER @gcp-sa-dataform.iam.gserviceaccount.com
Sostituisci YOUR_PROJECT_NUMBER con l'ID numerico del tuo Google Cloud progetto. Puoi trovare il tuo Google Cloud ID progetto nella dashboard della console Google Cloud. Per scoprire di più, consulta la sezione Identificazione dei progetti.
Oltre all'account di servizio Dataform predefinito, puoi utilizzare altri account di servizio per eseguire flussi di lavoro per tuo conto. Puoi configurare account di servizio personalizzati:
A livello di repository, per eseguire tutti i flussi di lavoro in un determinato repository.
Individualmente per ogni configurazione del flusso di lavoro.
Quando crei un repository Dataform o una configurazione del flusso di lavoro, puoi selezionare qualsiasi service account associato al tuo progetto Google Cloud a cui hai accesso. Devi configurare le autorizzazioni richieste per tutti gli account di servizio associati alle risorse Dataform.
Un account di servizio personalizzato associato a un repository Dataform viene utilizzato solo per eseguire i flussi di lavoro da quel repository. Tutte le altre operazioni sul repository vengono comunque eseguite dall'account di servizio Dataform predefinito.
Ruoli richiesti per gli account di servizio Dataform
Gli account di servizio predefiniti e personalizzati utilizzati in Dataform richiedono i seguenti ruoli IAM BigQuery per poter eseguire i flussi di lavoro in BigQuery:
- Editor dati BigQuery nei progetti a cui Dataform deve avere accesso in lettura e scrittura. In genere includono il progetto che ospita il repository Dataform.
- Visualizzatore dati BigQuery nei progetti a cui Dataform deve avere accesso di sola lettura.
- Utente job BigQuery nel progetto che ospita il tuo repository Dataform.
- Proprietario dei dati BigQuery se vuoi eseguire query sui set di dati BigQuery.
- Ruoli BigQuery per il controllo dell'accesso a livello di colonna se vuoi utilizzare i tag di criteri BigQuery.
Inoltre, devi concedere all'account di servizio Dataform predefinito
Creatore token account di servizio(roles/iam.serviceAccountTokenCreator)
accesso a tutti gli account di servizio personalizzati che vuoi utilizzare in Dataform.
Considerazioni sulla sicurezza per gli account di servizio Dataform
La concessione dei ruoli richiesti da Dataform a un account di servizio comporta i seguenti aspetti di sicurezza:
Qualsiasi account di servizio a cui sono stati concessi i ruoli richiesti potrebbe ottenere l'accesso a BigQuery o Secret Manager nel progetto a cui appartiene l'account di servizio, indipendentemente da Controlli di servizio VPC.
Per ulteriori informazioni, consulta Configurare i Controlli di servizio VPC per Dataform.
Qualsiasi utente che dispone dell'autorizzazione IAM
dataform.repositories.createpuò eseguire codice utilizzando l'account di servizio Dataform predefinito e tutte le autorizzazioni concesse a questo account di servizio.Per ulteriori informazioni, consulta Considerazioni sulla sicurezza per le autorizzazioni di Dataform.
Per limitare i dati che un utente o un account di servizio può leggere o scrivere in BigQuery, puoi concedere autorizzazioni IAM di BigQuery granulari a set di dati o tabelle BigQuery selezionati. Per ulteriori informazioni, consulta Controllare l'accesso ai set di dati e Controllare l'accesso a tabelle e viste.
Prima di iniziare
Nella console Google Cloud, vai alla pagina Dataform.
Seleziona o crea un repository.
Concedi i ruoli BigQuery richiesti a un account di servizio utilizzato in Dataform
Per concedere i ruoli IAM BigQuery richiesti al tuo account di servizio Dataform predefinito o a un account di servizio personalizzato che vuoi utilizzare in Dataform:
Nella console Google Cloud, vai alla pagina IAM.
Fai clic su Concedi l'accesso.
Nel campo Nuove entità, inserisci l'ID account di servizio.
Nell'elenco a discesa Seleziona un ruolo, seleziona il ruolo Utente job BigQuery.
Fai clic su Aggiungi un altro ruolo e nell'elenco a discesa Seleziona un ruolo, seleziona il ruolo Editor dati BigQuery.
Fai clic su Aggiungi un altro ruolo e nell'elenco a discesa Seleziona un ruolo, seleziona il ruolo Visualizzatore dati BigQuery.
Fai clic su Salva.
Concedi l'accesso alla creazione di token a un account di servizio personalizzato
Per utilizzare un account di servizio personalizzato in Dataform, l'account di servizio Dataform predefinito deve essere in grado di accedere all'account di servizio personalizzato. Per concedere questo accesso, devi aggiungere l'account di servizio Dataform predefinito come entità all'account di servizio personalizzato con il ruolo Creatore token account di servizio.
Per concedere all'account di servizio Dataform predefinito l'accesso a un account di servizio personalizzato:
Nella console Google Cloud, vai a IAM > Account di servizio.
Seleziona un progetto.
Nella pagina Account di servizio per il progetto "YOUR_PROJECT_NAME", seleziona il tuo account di servizio Dataform personalizzato.
Vai a Autorizzazioni e poi fai clic su Concedi accesso.
Nel campo Nuove entità, inserisci l'ID account di servizio Dataform predefinito.
L'ID account di servizio Dataform predefinito ha il seguente formato:
service-YOUR_PROJECT_NUMBER @gcp-sa-dataform.iam.gserviceaccount.comNell'elenco a discesa Seleziona un ruolo, seleziona il ruolo Creatore token account di servizio.
Fai clic su Salva.
Passaggi successivi
- Per saperne di più su ruoli e autorizzazioni IAM di BigQuery, consulta Controllo dell'accesso con IAM.
- Per scoprire di più su come concedere autorizzazioni granulari ai set di dati BigQuery, consulta Controllo dell'accesso ai set di dati.
- Per scoprire di più su come concedere autorizzazioni granulari alle tabelle di BigQuery, consulta Controllo dell'accesso a tabelle e visualizzazioni.
- Per scoprire come controllare l'accesso a Dataform con i Controlli di servizio VPC, consulta Configurare i Controlli di servizio VPC per Dataform.