Asegurar bases de datos reflejadas con Microsoft Fabric procedentes de Google BigQuery

Esta guía le ayuda a establecer la seguridad de los datos en BigQuery reflejada en Microsoft Fabric.

Consideraciones de seguridad

Necesita permisos de usuario para la base de datos de BigQuery que contenga los permisos siguientes:

• bigquery.datasets.create
• bigquery.tables.list
• bigquery.tables.create
• bigquery.tables.export
• bigquery.tables.get
• bigquery.tables.getData
• bigquery.tables.updateData
• bigquery.routines.get
• bigquery.routines.list
• bigquery.jobs.create
• storage.buckets.create
• storage.buckets.list
• storage.objects.create
• storage.objects.delete
• storage.objects.list
• iam.serviceAccounts.signBlob

Recuperar metadatos de tabla y configuración del historial de cambios (obligatorio)

Los roles BigQueryAdmin y StorageAdmin deben incluir estos permisos. Los permisos siguientes son necesarios para determinar si el historial de cambios está habilitado y para recuperar la clave principal o la información de clave compuesta.

El usuario debe tener al menos un rol asignado que permita el acceso a la instancia de BigQuery. Compruebe los requisitos de red para acceder al origen de datos de BigQuery. Si usa la creación de reflejos para Google BigQuery para la puerta de enlace de datos local (OPDG), debe tener opDG versión 3000.286.6 o superior para habilitar la creación de reflejo correcta.

Permisos necesarios

Para establecer manualmente cubos (y evitar la necesidad de conceder el permiso storage.buckets.create), puede usar:

• bigquery.tables.get
• bigquery.tables.list
• bigquery.routines.get
• bigquery.routines.list

1. Vaya a Almacenamiento en la nube en la consola de Google y seleccione Cubos.
2. Seleccione Crear y asigne un nombre al cubo en este formato (distingue mayúsculas de minúsculas): <projectid>_fabric_staging_bucket
3. Asegúrese de que la ubicación/región del bucket sea la misma que el proyecto de GCP que planea reflejar.
4. Selecciona Crear. El sistema de réplica detectará automáticamente el bucket.

Se podrían requerir más permisos en función del caso de uso. Los permisos mínimos necesarios son para trabajar con el historial de cambios y controlar varias tablas de tamaño (tablas de más de 10 GB). Incluso si no trabaja con tablas superiores a 10 GB, habilite todos estos permisos mínimos para garantizar el éxito del uso del Espejo.

Recuperar el historial de cambios y los datos de tabla (obligatorios)

Para obtener más información sobre los permisos, consulte la documentación de Google BigQuery sobre los privilegios necesarios para los datos de streaming, los permisos necesarios para el acceso al historial de cambios y los permisos necesarios para escribir los resultados de la consulta.

Los permisos siguientes son necesarios para leer el historial de cambios y los datos de la tabla.

Permisos necesarios

• bigquery.tables.getData
• bigquery.jobs.create
• bigquery.jobs.get
• bigquery.jobs.list
• bigquery.readsessions.create
• bigquery.readsessions.getData

Habilitación de las funcionalidades del historial de cambios (obligatorio)

El historial de cambios debe estar habilitado en las tablas bigQuery de origen mediante una de las siguientes opciones.

Opción 1: Habilitar permiso

• bigquery.tables.update

Permite habilitar el historial de cambios en las tablas.

Opción 2: Habilitar la opción de tabla en GCP

Asegúrese de que la siguiente opción de tabla esté establecida en TRUE:

• enable_change_history

Exportación de datos a Google Cloud Storage para almacenamiento provisional y copia en OneLake (obligatorio)

Los permisos siguientes son necesarios para exportar datos de BigQuery a Google Cloud Storage para el almacenamiento provisional y copiarlos en OneLake.

Permisos necesarios

• bigquery.tables.export
• storage.objects.create
• storage.objects.list
• storage.buckets.get
• iam.serviceAccounts.signBlob

Cubo de almacenamiento en la nube de Google para almacenamiento provisional (obligatorio)

Se requiere un cubo de Google Cloud Storage para exportar datos de tabla bigQuery para el almacenamiento provisional.

Opciones de creación de cubos

Siga uno de estos procedimientos:

Opción 1: Permitir la creación automática de cubos

Conceda el permiso siguiente:

• storage.buckets.create

Opción 2: Crear manualmente el cubo de almacenamiento provisional

Cree un cubo con la siguiente convención de nomenclatura: <your_project_id_in_lowercase>_fabric_staging_bucket

Requisitos del bucket

• El cubo debe estar en la misma ubicación o región que el conjunto de datos de BigQuery.
• El sistema de creación de reflejo detectará automáticamente el cubo una vez que exista.

Enumerar conjuntos de datos (obligatorios)

Permisos necesarios

• bigquery.datasets.get

Enumerar proyectos (obligatorios)

Permisos necesarios

• resourcemanager.projects.get

Requisitos de rol y acceso

Los roles Administrador de BigQuery y Administrador de almacenamiento suelen incluir los permisos enumerados anteriormente.

Al usuario se le debe asignar al menos un rol que conceda acceso al proyecto y los conjuntos de datos de BigQuery de destino.

Requisitos de red y puerta de enlace

Compruebe los requisitos de red para acceder al origen de datos de BigQuery.

Si está utilizando Reflejo para Google BigQuery con la puerta de enlace de datos (OPDG) en las instalaciones, debe usar:

• OPDG versión 3000.286.6 o posterior

Notas adicionales

Es posible que se necesiten más permisos en función del caso de uso. Los permisos enumerados anteriormente representan el mínimo necesario para:

• Trabajar con el historial de cambios
• Control de tablas de varios tamaños, incluidas las tablas de más de 10 GB

Incluso si actualmente no está trabajando con tablas de más de 10 GB, se recomienda habilitar todos los permisos mínimos para garantizar la creación de reflejo correcta.

Para obtener más información, consulte:

• Privilegios necesarios para datos de streaming
• Permisos necesarios para el acceso al historial de cambios
• Permisos necesarios para escribir resultados de consulta

Características de protección de datos

Puede asegurar los filtros de columna y los filtros de fila basados en predicados de las tablas para roles y usuarios en Microsoft Fabric.

• Seguridad de nivel de fila en el almacenamiento de datos de Fabric
• Seguridad de nivel de columna en el almacenamiento de datos de Fabric

También puede enmascarar datos confidenciales de usuarios que no son administradores mediante el enmascaramiento dinámico de datos:

• Enmascaramiento dinámico de datos en el almacenamiento de datos de Fabric

Contenido relacionado

• Introducción a la creación de reflejos de Google BigQuery
• Tutorial para configurar la creación de reflejos para Google BigQuery