BigQuery - 角色與許可權

在 BigQuery Studio UI 中執行查詢非常簡單。由於開發人員已登入其 Google Cloud Platform 帳戶，因此**無需進行身份驗證**。但是，在後臺，某些**限制**和防護措施確保開發人員只能在專案中執行某些操作。

身份訪問和管理 (IAM) 角色

這些限制或指定被稱為**角色和許可權**。在 GCP 中，這些被稱為**身份訪問和管理**(IAM) 角色。

總的來說，這些角色分為 3 個層級 -

BigQuery 管理員可以在專案中執行任何操作，例如建立或刪除表格以及啟動和停止作業的執行 - 即使是由其他使用者發起的作業。

BigQuery 資料編輯器的許可權略少。雖然他們可以讀取、更新和刪除表格或檢視，但他們缺乏專案級別的控制權和許可權，並且無法控制其他使用者的作業。

BigQuery 使用者是 BigQuery IAM 角色的最低層級。在訪問和操作資源方面，他們的許可權非常有限。他們有限的能力包括：列出表格和訪問元資料。

自己使用 BigQuery 不需要了解任何這些角色或許可權。但是，當您使用企業級資料時，瞭解角色和許可權可以幫助加速解決訪問問題，或者在配置服務帳戶時派上用場。

就像 BigQuery 管理員可以授予許可權並影響擁有較低級別訪問許可權的使用者一樣，他們還可以控制個人可以檢視和互動的資料。這可以透過使用**策略標籤**來實現。

策略標籤本質上是組織資料的審查機制。管理員可以應用此標籤來阻止組織內的使用者訪問敏感資料。雖然確定什麼構成敏感資料在某種程度上是主觀的，但也存在客觀的定義。

在資料治理中，敏感資料被稱為**個人身份資訊**(PII)。PII 包括任何可用於立即且密切識別特定個人的屬性。它包括以下資訊 -

以上任何一項都被認為是極其敏感的資訊，必須小心保管。為了指導保護，GCP 在其資料治理產品 Data Loss Prevention 的文件中確定了 150 多個 PII 屬性。

策略標籤也可以用於保護組織免受不應訪問業務關鍵資訊（如收入資料）的內部使用者的侵害。

策略標籤可以透過以下方式在 BigQuery 中配置和應用 -

開發人員可以透過在表格架構中欄位名稱旁邊顯示為灰色框來判斷是否已應用此類標籤。

列印頁面