Lorsque nous activons l'Open Data pour vous, nous créons automatiquement un groupe Google pour votre organisation. Le compte Google que vous avez fourni au début a le rôle de gestionnaire du groupe par défaut et vous permet de gérer l'accès des utilisateurs à vos jeux de données BigQuery.
Un groupe ne peut pas être le gestionnaire d'un autre groupe.
Toute personne que vous ajoutez à ce groupe d'accès Open Data pourra se connecter à Google Cloud pour exécuter des requêtes et exporter des données.
Vos utilisateurs doivent disposer d'un compte Google pour se connecter à BigQuery. Veillez donc à utiliser des adresses électroniques associées à un compte Google lorsque vous ajoutez des personnes à votre groupe Google.
Vous pouvez ainsi donner accès à vos ensembles de données à des personnes de votre organisation ou à des consultants externes.
Vous n'aurez pas accès aux pages Identity and Access Manager de Google Cloud Platform, à l'exception de la page Administrateur de compte de service, pour des raisons de sécurité.
Octroi de l'accès
Pour ajouter des personnes à votre groupe d'accès Open Data, procédez comme suit :
- eConnectez-vous à Google Groups.
- Cliquez sur Tous les groupes ou Mes groupes si vous êtes administrateur du groupe.
Vue de l'administrateur du groupe :
- Sous le nom du groupe d'accès Open Data que vous souhaitez gérer, cliquez sur Membres.
Si vous êtes responsable du marketing de plusieurs marques ou filiales différentes, il se peut que vous voyiez plus de groupes associés à votre organisation sur cette page.
- Cliquez sur Ajouter des membres dans le menu de gauche.
- Remplissez le formulaire et cliquez sur le bouton Ajouter des membres.
Il arrive que les invitations à des groupes ne soient pas envoyées, c'est pourquoi vous devez utiliser uniquement la fonctionnalité Ajouter un membre. Si vous avez accidentellement ajouté un utilisateur d'une autre manière, vous devez aller dans le menu Membres en attente, choisir l'utilisateur et cliquer sur le bouton Révoquer l'invitation. Vous devriez pouvoir ajouter directement le membre après avoir supprimé l'invitation en attente.
Tous les utilisateurs ajoutés à votre groupe d'accès Open Data hériteront des autorisations suivantes :
- bigquery.jobs.create
- iam.serviceAccountKeys.create
- iam.serviceAccountKeys.delete
- iam.serviceAccountKeys.get
- iam.serviceAccountKeys.list
- iam.serviceAccounts.create
- iam.serviceAccounts.delete
- iam.serviceAccounts.get
- iam.serviceAccounts.getIamPolicy
- iam.serviceAccounts.list
- iam.serviceAccounts.setIamPolicy
- iam.serviceAccounts.update
- resourcemanager.projects.get
- resourcemanager.projects.list
- serviceusage.services.list
- storage.buckets.list
- bigquery.readsessions.*
- bigquery.savedqueries.get
- bigquery.savedqueries.list
- pubsub.subscriptions.consume
- pubsub.subscriptions.create
- pubsub.subscriptions.delete
- pubsub.subscriptions.get
- pubsub.subscriptions.list
- pubsub.subscriptions.update
Pour en savoir plus sur les rôles de Google Cloud Platform, visitez les pages d'assistance de Google.
Révocation de l'accès
Pour retirer une personne de votre groupe d'accès Open Data, procédez comme suit :
- eConnectez-vous à Google Groups.
- Cliquez sur Mes groupes.
- Sélectionnez Faites passer la vue de l'organisation à : emarsys.com.
- Sous le nom du groupe d'accès Open Data que vous souhaitez gérer, cliquez sur Gérer les membres.
- Choisissez le membre que vous souhaitez supprimer.
- Cliquez sur Actions > Supprimer du groupe
Pour en savoir plus sur la gestion de votre groupe Google, consultez les Pages d'assistance de Google.
Octroi de l'accès au gestionnaire
Dans certains cas, il peut être nécessaire de fournir un rôle de gestionnaire de groupe à un autre utilisateur, afin qu'il puisse également gérer l'accès à votre groupe d'accès Open Data. Pour attribuer le rôle de gestionnaire à une personne, procédez comme suit :
- eConnectez-vous à Google Groupesavec un compte Google disposant déjà du rôle de gestionnaire.
- Cliquez sur Mes groupes.
- Sélectionnez Faites passer la vue de l'organisation à : emarsys.com.
- Sous le nom du groupe d'accès Open Data que vous souhaitez gérer, cliquez sur Gérer les membres.
- Choisissez le membre à qui vous souhaitez confier le rôle de gestionnaire.
- Cliquez sur Actions > Ajouter au rôle > Gestionnaire.
Un groupe ne peut pas être le gestionnaire d'un autre groupe.
Révoquer l'accès du gestionnaire
- eConnectez-vous à Google Groupesavec un compte Google disposant déjà du rôle de gestionnaire.
- Cliquez sur Mes groupes.
- Sélectionnez Faites passer la vue de l'organisation à : emarsys.com.
- Sous le nom du groupe d'accès Open Data que vous souhaitez gérer, cliquez sur Gérer les membres.
- Choisissez le membre dont vous voulez révoquer le rôle de gestionnaire. Cliquez sur Actions > Retirer du rôle > Gestionnaire.
Création d'une clé API
Vous pouvez accéder à votre projet Open Data via l'API en utilisant un compte de service que nous préparons lors de la configuration du projet Open Data. Pour créer une clé d'accès, procédez comme suit :
- Ouvrez la console Google Cloud. Assurez-vous d'utiliser un compte qui a été préalablement ajouté à votre groupe d'accès Open Data. Vous pouvez vérifier que le compte est actif dans le coin supérieur droit.
- Sélectionnez votre projet Open Data. Le nom de votre projet suit toujours la convention d'appellation
sap-od-<customer>. - Ouvrez le menu, survolez Identity et sélectionnez Comptes de service.
Vous n'avez pas accès aux pages de gestion de l'identité et des accès Google Cloud, à l'exception de la page Administrateur de compte de service, pour des raisons de sécurité.
- Trouvez le compte de service dont le nom ressemble à ceci :
client-service-account@sap-od-<customer>.iam.gserviceaccount.com.
- Cliquez sur Actions > Créer une clé.
- Choisissez le type de clé et cliquez sur le bouton Créer.
Création d'un compte de service
Si vous souhaitez séparer l'accès programmatique à votre projet Google Cloud Platform, vous pouvez créer plusieurs comptes de service. Pour créer un nouveau compte de service, procédez comme suit :
- Ouvrez la console Google Cloud. Assurez-vous d'utiliser un compte qui a été préalablement ajouté à votre groupe d'accès Open Data. Vous pouvez vérifier que le compte est actif dans le coin supérieur droit.
- Sélectionnez votre projet Open Data. Le nom de votre projet suit toujours la convention d'appellation
sap-od-<customer>. - Ouvrez le menu, survolez IAM et Admin et sélectionnez Comptes de service.
Vous n'avez pas accès aux pages de gestion de l'identité et des accès Google Cloud, à l'exception de la page Administrateur de compte de service, pour des raisons de sécurité.
- Cliquez sur le bouton Créer un compte de service.
- Remplissez le formulaire et cliquez sur le bouton Créer .
- Pour fournir l'accès nécessaire à ce compte de service fraîchement créé, vous devez l'ajouter à votre groupe d'accès Open Data : copiez son adresse et suivez les étapes de la section Octroyer l'accès.
Rotation des clés de votre compte de service
Vous devez changer les clés de votre compte de service tous les 90 jours pour que votre accès soit aussi sûr que possible.
Si les identifiants de votre compte de service Open Data doivent être modifiés, par exemple s'ils ont plus de 90 jours, le Centre de notifications vous envoie un message. Ce message contient un lien vers le tableau de bord du compte de service.
Suivez les étapes suivantes pour mettre à jour vos informations d'identification :
- Cliquez sur votre compte de service.
- Dans l'onglet Clés, cliquez sur Ajouter une clé.
- Sélectionnez votre format (JSON ou p12) et cliquez sur Créer pour télécharger la nouvelle clé.
- Remplacez l'ancienne clé par la nouvelle, quel que soit l'endroit où vous l'utilisez.
- Testez la nouvelle clé pour vérifier qu'elle fonctionne correctement.
- Supprimez l'ancienne clé dans l'onglet Clés du compte de service.
Le nom du fichier contient le début de l'ID de la clé. Il vous permet de savoir plus facilement quand la clé a été créée et de gérer les mises à jour de la clé de service sans dépendre des notifications.
Accéder à un projet Open Data à partir d'un projet externe
Si vous disposez déjà d'un projet Google Cloud Platform pour utiliser un outil tel que Lookerstudio et que vous souhaitez travailler dans ce projet plutôt que dans celui que nous fournissons, vous pouvez connecter votre projet externe à Open Data.
Pour sécuriser vos données, nous utilisons Google VPC Service Controls, ce qui signifie que l'activation d'un projet externe doit passer par un processus en deux étapes :
- Ajoutez le projet à notre périmètre de sécurité.
- Ajouter le projet dans Google.
En ajoutant un projet externe, vous pouvez ensuite exécuter vos requêtes ou travailler directement dans votre propre projet ou outil, plutôt que d'utiliser celui fourni par Emarsys.
Les projets et outils externes de Google Cloud Platform sont détenus et entretenus par vous, le client, ce qui signifie que vous êtes responsable de la fourniture et de la gestion de l'accès à ces ressources externes. Étant donné que ces outils et projets existent en dehors des fonctionnalités de protection des données d'Emarsys, cela signifie que vous devez assumer la responsabilité de tous les aspects liés à la sécurité pour votre projet ou vos outils. Pour cette raison, Emarsys ne peut être tenu responsable d'aucun incident provenant d'un outil ou d'un projet que vous demandez à ajouter à notre périmètre de contrôle du service VPC. Si un trafic malveillant est détecté à partir d'un projet externe (éventuellement compromis), Emarsys suspendra l'accès à ce projet sans notification préalable.
1. Ajouter un projet au périmètre de sécurité d'Emarsys
Pour ajouter un projet à notre périmètre de sécurité, vous devrez obtenir le numéro de projet et le fournir à nos équipes de support technique ou à votre Consultant Implémentation, si vous en avez un.
Ils feront en sorte que ce projet soit associé à votre compte Open Data, puis vous confirmeront que vous pouvez ajouter le projet dans Google.
2. Octroyer l'accès à partir de votre projet Google Cloud Platform
Pour autoriser l'accès à votre projet Open Data depuis votre projet Google Cloud Platform, procédez comme suit :
- Ouvrez la console Google Cloud et ouvrez le projet auquel vous souhaitez octroyer l'accès.
- Naviguez vers Identity/IAM et sélectionnez Comptes de service.
- Copiez l'adresse d'un compte de service auquel vous souhaitez accorder l'accès.
- Ajoutez l'adresse de ce compte à votre groupe d'accès Open Data de la même manière que vous accordez l'accès à un simple utilisateur.
Une fois ces étapes franchies, vous serez en mesure d'accéder de manière programmatique à votre compte Open Data depuis votre propre projet. Si vous souhaitez exécuter des requêtes via le navigateur, vous devez également vous assurer que votre compte d'utilisateur a été configuré avec l'autorisation d'accéder au compte Open Data. Cela est nécessaire parce que le navigateur s'authentifie en tant que compte d'utilisateur connecté, au lieu d'utiliser le compte de service.
Les jeux de données Open Data stockent des données dans l'UE. Si vos données sont stockées dans un autre endroit, vous devrez peut-être copier le jeu de données dans une autre région. Pour en savoir plus sur les emplacements BigQuery, visitez les Pages d assistance de Google.