Управление доступом на уровне набора данных BigQuery через IAM - PullRequest
1 голос
/ 09 февраля 2020

Проблема: в GCP IAM у меня> 30 пользователей, которым назначены предопределенные роли BigQuery Data Viewer и BigQuery Data Editor, и теперь, когда я создаю новый набор данных, он автоматически становится доступным для этих 30+ пользователей из-за «наследования политики» ,

Вопрос: Как администратор проекта BQ, я хочу, чтобы вновь созданный набор данных был доступен только определенным пользователям (небольшая часть из 30+ пользователей). Какой лучший подход для этого? Спасибо!

1 Ответ

1 голос
/ 09 февраля 2020

Вы не можете переопределить разрешения, предоставленные на более высоких уровнях. Поэтому, если вы хотите ограничить доступ на уровне набора данных, лучшим подходом будет:

1) Удалить текущие разрешения BigQuery Data Viewer и BigQuery Data Editor с уровня проекта.

2) Предоставьте разрешения снова, , но только на уровне набора данных

Это также соответствует рекомендуемой наилучшей практике наименьшие привилегии . Также, если это возможно, используйте группы для предоставления разрешений, поскольку ими будет легче управлять.

В дополнение к этому, вы можете использовать другой проект для создания набора данных и предоставления доступа к желаемое подмножество пользователей; однако я бы не рекомендовал такой подход, поскольку он только усложняет обработку данных и пользователей, имеющих к ним доступ.

...