BigQueryの利用ユーザに個別のデータセットやテーブルへのアクセス制御をしてみた(Cloud Console編)

BigQueryの利用ユーザに対して許可したデータセット/テーブルのみを表示させてアクセスさせるための設定を、少ない権限で実現するための方法。

#Google Cloud (GCP)

#IAM Role

#Google BigQuery

村田一紘

2023.11.08

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

BigQueryを利用する際、特定のデータセットやテーブルへのアクセスを利用ユーザに制限したい場合はどうすればよいでしょうか？

この記事では、BigQueryの利用ユーザに対して許可したデータセット/テーブルのみを表示させてアクセスさせるための設定を少ない権限で実現するための方法について記します。

検証の前提条件と準備

本検証では「事前定義ロール」を利用したアクセス制御を確認します。最低限必要な「権限」を「カスタムロール」でアクセス制御する方法については本記事で言及していません。
Cloud Consoleを利用した検証となります。
BigQuery上にデータセットとテーブルが事前に用意されているものとします。
「管理者」と「ユーザ」のIAMユーザをそれぞれ用意します。本検証において、それぞれのIAMユーザは以下を実現する役割を持つものとします。

管理者：ユーザに対してBigQueryへのアクセス権限を付与する

ユーザ：許可されたデータセットやテーブルにアクセスし、クエリなどジョブを実行する

上記役割を実現するうえで管理者に最低限必要なロールは、

プロジェクトに対するアクセス権付与のための Project IAM管理者roles/resourcemanager.projectIamAdmin
BigQueryの特定のデータセットやテーブルへのアクセス権付与のための BigQuery データオーナー roles/bigquery.dataOwner

となりますが、本検証では基本ロールである オーナー roles/ownerを付与しています。

ユーザへのロール割り当ては以降の手順で説明します。

本検証を実施するにあたり参照したドキュメント

データセットへのアクセスの制御 | BigQuery | Google Cloud

テーブルおよびビューへのアクセスの制御 | BigQuery | Google Cloud

BigQuery での IAM の概要 | Google Cloud

検証のパターンと設定内容

ユーザに対して実現したいアクセス制御の内容に関して2つの検証パターンを試します。

それぞれのパターンに対して設定するロールについても、以下の表で先に纏めました。

検証パターン	ユーザに対して実現したいアクセス制御内容	①プロジェクトに対するアクセス権付与のためのロール	②特定のデータセットに対するアクセス権付与のためのロール	③特定のテーブルに対するアクセス権付与のためのロール
パターン1	・許可したデータセットのみ表示させる・許可したテーブルのみアクセスできる・許可したテーブルに対してジョブの実行ができる	BigQueryジョブユーザー `roles/bigquery.jobUser`	BigQuery ユーザー `roles/bigquery.user`	BigQuery データ閲覧者 `roles/bigquery.dataViewer`
パターン2	・許可したテーブルのみアクセスできる・許可したテーブルに対してジョブの実行ができる・データセットの情報にはアクセスさせない	BigQueryジョブユーザー `roles/bigquery.jobUser`	-	BigQuery データ閲覧者 `roles/bigquery.dataViewer`

検証パターン１

検証パターン1ではユーザに対して以下のアクセス制御を実現します。

許可したデータセットのみ表示させる
許可したテーブルのみアクセスできる
許可したテーブルに対してジョブの実行ができる

パターン1 ①プロジェクトに対するアクセス権付与

「管理者」アカウントにてCloud Consoleにログインします。

[IAMと管理] → [IAM] より、アクセス制御したい「ユーザ」のプリンシパルの編集ボタンをクリックします。

[ロール] に [BigQueryジョブユーザー] を割り当て、[保存] をクリックする。

パターン1 ②特定のデータセットに対するアクセス権付与

[BigQuery] → [BigQuery Studio] をクリックします。

ここでは対象プロジェクト配下のデータセットである「dataset_1」にのみアクセス権を付与し、「dataset_2」にはアクセス権を付与しないこととします。[エクスプローラ]より「dataset_1」をクリックし、[共有] → [権限] をクリックします。

[プリンシパルを追加]をクリックします。

[新しいプリンシパル]にアクセス制御したい「ユーザ」のプリンシパルを設定し、[ロール] に [BigQueryユーザー] を指定し、[保存] をクリックします。

※データセットに適用するBigQueryユーザーには以下の権限が含まれます。

データセットのメタデータへのアクセスと読み取り
データセット内のテーブルの一覧表示

※BigQueryユーザの最低適用対象はデータセットであり、データセット配下のテーブルには継承されません。最低適用対象がテーブルである BigQueryデータ閲覧者 といったロールをデータセットに適用すると、データセット配下の全てのテーブルに継承されるため、個別のテーブルへのアクセス制御はできなくなります。

[BigQueryユーザー] にアクセス制御したい「ユーザ」のプリンシパルが追加されていることを確認します。