BigQuery管理者 除外設定

Question

実現したいこと

BigQuery管理者を持っているユーザーでも特定のデータセットにアクセスできないようにしたい。

前提

エンジニア等の技術担当者が操作している、または今後操作する可能性があるものとして、BigQueryの全テーブルリスト取得、テーブル、データセットの生成、書き換え、削除等がありますが、ごく一部のテーブルは、これらの技術者サイドでも、例えば人件費に関わるものなど、アクセスを制御したいものがあり、それでデフォルトのBigQuery管理者権限を持っていても閲覧できないようにしたいです。

試したこと

・データセットの権限設定でBigQuery管理者を消そうとしたが継承したポリシーで削除不可
・SQLでREVOKEで消せるか試してみたが削除できなかった。

Answer 1

「BigQuery管理者」とは、「project に対する roles/bigquery.admin」を指しているという前提で回答します。また以下未検証なので間違っていたらすみません。

IAM condition は BigQuery に対応していないので使用できません。

IAM の deny は、最小単位がプロジェクトなので、データセット単位では使用できません(プロジェクトを分けるなら可能)。

プロジェクトを分けるなら承認済みビューなどの方法もありえますね。

ポリシータグで、列単位で制御するならできるかもしれません。

Resource Manager で制御できるかどうかよくわかりません。

そもそも「project に対する roles/bigquery.admin」は「エンジニア等の技術担当者」につけるには強すぎる気はするんですよね。普段は dataViewer を与え、見せたくないデータセットについてはあらかじめ projectViewer を外しておく、作業時のみ強い権限を付与する。見ちゃいけないテーブルを見ていないかは監査ログでチェック、じゃないかなと思います。

Comments

[reo1113]

ご回答ありがとうございます！