Routine autorizzate

Le routine autorizzate ti consentono di condividere i risultati di una query con utenti o gruppi specifici senza concedere loro l'accesso alle tabelle sottostanti che hanno generato i risultati. Ad esempio, una routine autorizzata può calcolare un'aggregazione sui dati o cercare il valore di una tabella e utilizzarlo in un calcolo.

Per impostazione predefinita, se un utente richiama una routine, deve avere accesso in lettura i dati nella tabella. In alternativa, puoi autorizzare la routine ad accedere al set di dati contenente la tabella a cui si fa riferimento. Una routine autorizzata può eseguire query sulle tabelle del set di dati, anche se l'utente che richiama la routine non può eseguire query direttamente su queste tabelle.

È possibile autorizzare i seguenti tipi di routine:

• Funzioni di tabella
• Funzioni definite dall'utente (UDF)
• Procedure memorizzate

Autorizzare le routine

Per autorizzare una routine, utilizza la console Google Cloud, lo strumento a riga di comando bq o l'API REST:

Quote e limiti

Le routine autorizzate sono soggette a limiti di set di dati. Per ulteriori informazioni, vedi Limiti dei set di dati.

Esempio di routine autorizzata

Di seguito è riportato un esempio end-to-end di creazione e utilizzo di una funzione definita dall'utente autorizzata.

1. Crea due set di dati denominati private_dataset e public_dataset. Per maggiori informazioni informazioni sulla creazione di un set di dati, consulta Creazione di un set di dati.

2. Esegui la seguente istruzione per creare una tabella denominata private_table in private_dataset:

   CREATE OR REPLACE TABLE private_dataset.private_table
   AS SELECT key FROM UNNEST(['key1', 'key1','key2','key3']) key;
   

3. Esegui la seguente istruzione per creare una UDF denominata count_key in public_dataset. La UDF include un'istruzione SELECT su private_table.

   CREATE OR REPLACE FUNCTION public_dataset.count_key(input_key STRING)
   RETURNS INT64
   AS
   ((SELECT COUNT(1) FROM private_dataset.private_table t WHERE t.key = input_key));
   

4. Concedi il ruolo bigquery.dataViewer a un utente in public_dataset del set di dati. Questo ruolo include l'autorizzazione bigquery.routines.get, che permette all'utente di chiamare la routine. Per informazioni su come assegnare i controlli di accesso a un set di dati, consulta Controllo dell'accesso ai set di dati.

5. A questo punto, l'utente ha l'autorizzazione per chiamare la routine count_key, ma non può accedere alla tabella in private_dataset. Se l'utente tenta di chiamare la routine, riceve un messaggio di errore simile al seguente:

   Access Denied: Table myproject:private_dataset.private_table: User does
   not have permission to query table myproject:private_dataset.private_table.
   

6. Con lo strumento a riga di comando bq, esegui il comando show come segue:

   bq show --format=prettyjson private_dataset > dataset.json

   L'output viene salvato in un file locale denominato dataset.json.

7. Modifica dataset.json per aggiungere il seguente oggetto JSON a access array:

   {
    "routine": {
      "datasetId": "public_dataset",
      "projectId": "PROJECT_ID",
      "routineId": "count_key"
    }
   }

   Sostituisci PROJECT_ID con l'ID progetto per public_dataset.

8. Utilizzando lo strumento a riga di comando bq, esegui il comando update come segue:

   bq update --source dataset.json private_dataset

9. Per verificare che la funzione UDF abbia accesso a private_dataset, l'utente può eseguire la seguente query:

   SELECT public_dataset.count_key('key1');