透過資料無塵室共用機密資料

資料無塵室提供安全強化環境，多方可共用、彙整及分析資料資產，不必移動或揭露基礎資料。

BigQuery 資料無塵室是以 BigQuery sharing (舊稱 Analytics Hub) 平台為基礎建構而成。標準的資料交換服務可讓您大規模跨機構共用資料，而資料無塵室則有助於處理機密和受保護的資料共用用途。資料無塵室提供額外的安全控管措施，有助於保護基礎資料，並強制執行資料擁有者定義的分析規則。

主要用途如下：

• 廣告活動規劃和目標對象洞察。讓兩方 (例如賣家和買家) 混合第一方資料，並以注重隱私權的方式改善資料充實度。
• 評估和歸因分析。比對顧客和媒體成效資料，進一步瞭解行銷活動的成效，並做出更明智的業務決策。
• 啟用。結合顧客資料和其他方的資料，進一步瞭解顧客，提升區隔功能並更有效地啟用媒體。

除了行銷產業，資料無塵室還有許多其他用途：

• 零售和民生消費用品業 (CPG)。整合零售商的銷售點資料和 CPG 公司的行銷資料，進一步提升行銷和宣傳活動成效。
• 金融服務。結合其他金融和政府機構的機密資料，提升詐欺偵測成效。彙整多間銀行的顧客資料，建立信用風險評分。
• 醫療照護。與醫生和藥物研究人員分享資料，瞭解患者對治療的反應。
• 供應鏈、物流和運輸。結合供應商和行銷人的資料，全面瞭解產品在整個生命週期的表現。

角色

BigQuery 資料無塵室有三種主要角色：

• 資料無塵室擁有者：使用者可管理專案中一或多個資料無塵室的權限、可見度和成員資格。這個角色等同於 Analytics Hub 管理員。
• 資料貢獻者：由資料無塵室擁有者指派，負責將資料發布至資料無塵室的使用者。在許多情況下，資料無塵室擁有者也是資料提供者。這個角色類似於 Analytics Hub 發布者。
• 訂閱者：由資料無塵室擁有者指派，可訂閱資料無塵室中發布的資料，並對資料執行查詢。這個角色相當於Analytics Hub 訂閱者和 Analytics Hub 訂閱項目擁有者的組合。

架構

BigQuery 資料無塵室是根據 BigQuery 資料的發布及訂閱模式建構而成。BigQuery 架構可將運算和儲存空間分開，讓資料貢獻者分享資料，不必建立多個資料副本。下圖是 BigQuery 資料無塵室架構的總覽：

資料無塵室

資料無塵室是共用機密資料的環境，可防止原始存取，並強制執行查詢限制。只有加入資料無塵室並成為訂閱者的使用者或群組，才能訂閱共用資料。資料無塵室擁有者可以在「共用」中建立任意數量的資料無塵室。

共用資源

共用資源是資料無塵室中的資料共用單位。資源必須是 BigQuery 資料表或檢視區塊。資料貢獻者可以在專案中建立或使用現有的 BigQuery 資源，並與訂閱者分享。

清單

資料貢獻者將資料新增至資料無塵室時，系統會建立清單。 當中包含資料提供者共用資源的參照，以及有助於訂閱者使用資料的說明資訊。資料貢獻者可以建立項目，並加入說明、範例查詢和文件連結等資訊，供訂閱者參考。

已連結的資料集

連結的資料集是唯讀 BigQuery 資料集，做為資料無塵室中所有資料的符號連結。訂閱者查詢連結資料集中的資源時，系統會傳回共用資源中的資料，並符合資料提供者設定的分析規則。訂閱資料無塵室後，系統會在專案中建立連結的資料集。系統不會建立資料副本，訂閱者也無法查看特定中繼資料，例如檢視定義。

分析規則

資料提供者可在資料無塵室中，對共用的資源設定分析規則。分析規則可防止未經授權存取基礎資料，並強制執行查詢限制。舉例來說，資料無塵室支援匯總門檻分析規則，訂閱者只能透過匯總查詢分析資料。

資料輸出控制項

系統會自動啟用資料輸出控制項，防止訂閱者從資料無塵室複製及匯出原始資料。資料貢獻者可以設定其他控制項，防止訂閱者複製及匯出查詢結果。

限制

BigQuery 資料無塵室有下列限制：

• 您只能在檢視區塊中設定分析規則，無法在資料表或具體化檢視區塊中設定。因此，如果資料貢獻者直接將資料表或具體化檢視表 (或沒有數據分析規則的檢視表) 分享到資料無塵室，訂閱者就能以原始格式存取這些資源中的資料。
• 資料無塵室是以共用平台為基礎，因此適用所有共用限制。
• 資料無塵室僅適用於資料共用區域。
• 訂閱者無法在 Dataplex Universal Catalog 或 Data Catalog 中搜尋共用資源。
• 訂閱者無法查詢連結資料集中的INFORMATION_SCHEMA檢視區塊。
• 資料提供者無法直接將整個資料集發布至資料淨室。
• 資料貢獻者無法將模型或常式發布至資料淨室。
• 每個資料無塵室最多可新增 100 個共用資源。如要提高這項上限，請傳送電子郵件至 bq-dcr-feedback@google.com。

事前準備

授予身分與存取權管理 (IAM) 角色，讓使用者具備執行本文中各項工作所需的權限，啟用 Analytics Hub API，並將 Analytics Hub 管理員角色指派給資料無塵室擁有者 (也就是建立資料無塵室的使用者)。

所需權限

如要取得使用資料無塵室所需的權限，請要求管理員授予您 BigQuery 資料編輯者 (roles/bigquery.dataEditor) IAM 角色。如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和機構的存取權」。

這個預先定義的角色具備使用資料無塵室所需的權限。如要查看確切的必要權限，請展開「必要權限」部分：

您或許還可透過自訂角色或其他預先定義的角色取得這些權限。

如要進一步瞭解 BigQuery 中的 IAM 角色和權限，請參閱「IAM 簡介」。

啟用 Analytics Hub API

如要啟用 Analytics Hub API，請選取下列其中一個選項：

gcloud services enable analyticshub.googleapis.com

啟用 Analytics Hub API 後，您就能存取「Sharing (Analytics Hub)」頁面。

指派 Analytics Hub 管理員角色

資料無塵室擁有者必須具備 Analytics Hub 管理員角色 (roles/analyticshub.admin)。如要瞭解如何將這個角色授予其他使用者，請參閱「建立 Analytics Hub 管理員」。

資料無塵室擁有者工作流程

資料無塵室擁有者可以執行下列操作：

• 建立資料無塵室。
• 更新資料無塵室屬性。
• 刪除資料無塵室。
• 管理資料貢獻者。
• 管理訂閱者。
• 共用資料無塵室。

其他資料無塵室擁有者權限

您必須在專案中擁有 Analytics Hub 管理員角色 (roles/analyticshub.admin)，才能執行資料無塵室擁有者工作。如果適用，也可以在資料夾或機構層級指派這個角色。

建立資料無塵室

  curl -H "Authorization: Bearer $(gcloud auth print-access-token)" -H "Content-Type: application/json" -L -X POST https://analyticshub.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/dataExchanges?data_exchange_id=CLEAN_ROOM_ID -d
  '{
    display_name: "CLEAN_ROOM_NAME",
    sharing_environment_config: {dcr_exchange_config: {}}
  }'

更新資料無塵室

curl -H "Authorization: Bearer $(gcloud auth print-access-token)" -H "Content-Type: application/json" -L -X PATCH https://analyticshub.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/dataExchanges/CLEAN_ROOM_ID?updateMask=UPDATEMASK -d
'{
  display_name: "CLEAN_ROOM_NAME",
  sharing_environment_config: {dcr_exchange_config: {}}
}'

刪除資料無塵室

curl -H "Authorization: Bearer $(gcloud auth print-access-token)" -H "Content-Type: application/json" -L -X DELETE https://analyticshub.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/dataExchanges?data_exchange_id=CLEAN_ROOM_ID

刪除資料無塵室後，當中的所有房源都會一併刪除。 但共用資源和連結的資料集不會刪除。連結的資料集會與來源資料集取消連結，因此訂閱者開始無法查詢資料無塵室中的資源。

管理資料貢獻者

資料無塵室擁有者可以管理哪些使用者能將資料新增至資料無塵室 (即資料貢獻者)。如要允許使用者在資料無塵室中新增資料，請在特定資料無塵室中授予他們 Analytics Hub 發布者角色 (roles/analyticshub.publisher)：

curl -H "Authorization: Bearer $(gcloud auth print-access-token)" -H "Content-Type: application/json" -L -X POST https://analyticshub.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/dataExchanges/CLEAN_ROOM_ID:setIamPolicy -d
'{
  "policy": {
    "bindings": [
      {
        "members": [
          "my-service-account@my-project.iam.gserviceaccount.com"
        ],
        "role": "roles/analyticshub.publisher"
      }
    ]
  }
}'

您可以從 IAM 頁面授予整個專案的 Analytics Hub 發布者角色，讓使用者有權在專案中的任何資料無塵室新增資料。不過，我們不建議這麼做，因為這可能會導致使用者擁有過於寬鬆的存取權。

管理訂閱者

資料無塵室擁有者可以管理哪些使用者能訂閱資料無塵室 (即訂閱者)。如要允許使用者訂閱資料無塵室，請在特定資料無塵室中授予「Analytics Hub 訂閱者」(roles/analyticshub.subscriber) 和「Analytics Hub 訂閱擁有者」(roles/analyticshub.subscriptionOwner) 角色：

curl -H "Authorization: Bearer $(gcloud auth print-access-token)" -H "Content-Type: application/json" -L -X POST https://analyticshub.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/dataExchanges/CLEAN_ROOM_ID:setIamPolicy -d
'{
  "policy": {
    "bindings": [
      {
        "members": [
          "user:mike@example.com"
        ],
        "role": "roles/analyticshub.subscriptionOwner"
      },
      {
        "members": [
          "user:mike@example.com"
        ],
        "role": "roles/analyticshub.subscriber"
      }
    ]
  }
}'

您可以從 IAM 頁面授予整個專案的 Analytics Hub 訂閱者和 Analytics Hub 訂閱擁有者角色，讓使用者有權訂閱專案中的任何資料無塵室。不過，我們不建議這麼做，因為這可能會導致使用者擁有過於寬鬆的存取權。

共用資料無塵室

您可以直接與訂閱者共用資料無塵室：

1. 前往 Google Cloud 控制台的「Sharing (Analytics Hub)」(共用 (Analytics Hub)) 頁面。

   前往「共用」(Analytics Hub)

2. 在要共用的資料無塵室資料列中，依序點選 more_vert「更多動作」>「複製共用連結」。

3. 將複製的連結分享給訂閱者，讓他們查看及訂閱資料無塵室。

資料貢獻者工作流程

資料貢獻者可以執行下列操作：

• 建立資料集，將資料新增至資料無塵室。
• 更新房源資訊。
• 刪除房源資訊。
• 共用資料無塵室。
• 監控商家資訊。

其他資料投稿者權限

如要執行資料貢獻者工作，您必須在資料無塵室中具備 Analytics Hub 發布者角色 (roles/analyticshub.publisher)。

此外，您還需要資料集 bigquery.datasets.link 權限，才能在資料無塵室中列出資源。如要查看貴機構中不屬於目前專案的資料淨室，您也需要 resourcemanager.organization.get 權限。

建立商家資訊 (新增資料)

如要使用分析規則準備資料，並以清單形式發布至資料無塵室，請按照下列步驟操作：

  curl -H "Authorization: Bearer $(gcloud auth print-access-token)" -H "Content-Type: application/json" -H 'x-goog-user-project:DCR_PROJECT_ID' -X POST https://analyticshub.googleapis.com/v1/projects/DCR_PROJECT_ID/locations/LOCATION/dataExchanges/CLEAN_ROOM_ID/listings?listingId=LISTING_ID -d
  '{"bigqueryDataset":{"dataset":"projects/PROJECT_ID/datasets/DATASET_ID","selectedResources":[{"table":"projects/PROJECT_ID/datasets/DATASET_ID/tables/VIEW_ID"}],},"displayName":LISTING_NAME"}'

在資料無塵室中列出資源，即表示您授予所有現有和未來的資料無塵室訂閱者，存取共用資源中資料的權限。

如果嘗試使用沒有分析規則的共用資源建立項目，系統會顯示警告，提醒訂閱者可以存取該資源的原始資料。如果您確認要發布這類資源，且不使用分析規則，仍可建立商家資訊。

如果收到 Failed to save listing 錯誤訊息，請確認您具備執行資料貢獻者工作的必要權限。

更新產品資訊

curl -H "Authorization: Bearer $(gcloud auth print-access-token)" -H "Content-Type: application/json" -H 'x-goog-user-project:DCR_PROJECT_ID' -X PATCH https://analyticshub.googleapis.com/v1/projects/DCR_PROJECT_ID/locations/LOCATION/dataExchanges/CLEAN_ROOM_ID/listings/listingId=LISTING_ID?updateMask=displayName -d
'{"displayName":LISTING_NAME"}'

建立房源後，就無法變更來源資源或資料輸出控管設定。

刪除商家資訊

curl -H "Authorization: Bearer $(gcloud auth print-access-token)" -H "Content-Type: application/json" -H 'x-goog-user-project:DCR_PROJECT_ID' -X DELETE https://analyticshub.googleapis.com/v1/projects/DCR_PROJECT_ID/locations/LOCATION/dataExchanges/CLEAN_ROOM_ID/listings?listingId=LISTING_ID

刪除房源後，系統不會刪除共用資源和連結的資料集。連結資料集會與來源資料集取消連結，因此訂閱者開始無法查詢該資料集中的資料。

共用資料無塵室

您可以直接與訂閱者共用資料無塵室：

1. 前往 Google Cloud 控制台的「Sharing (Analytics Hub)」(共用 (Analytics Hub)) 頁面。

   前往「共用」(Analytics Hub)

2. 在要共用的資料無塵室資料列中，依序點選 more_vert「更多動作」>「複製共用連結」。

3. 將複製的連結分享給訂閱者，讓他們查看及訂閱資料無塵室。

監控房源

如要查看您在資料無塵室中分享的資源，其來源資料集的用量指標，請查詢 INFORMATION_SCHEMA.SHARED_DATASET_USAGE 檢視區塊。

如要查看訂閱者，請按照下列步驟操作：

1. 前往 Google Cloud 控制台的「Sharing (Analytics Hub)」(共用 (Analytics Hub)) 頁面。

   前往「共用」(Analytics Hub)

2. 按一下資料無塵室的顯示名稱。

3. 在要查看的商品資訊列中，依序點選 more_vert「更多動作」>「查看訂閱項目」。

訂閱者工作流程

訂閱者可以查看及訂閱資料無塵室。訂閱資料無塵室後，系統會在訂閱者的專案中建立一個連結的資料集。每個連結的資料集都與資料無塵室同名。

您無法訂閱資料無塵室中的特定資料清單，您只能訂閱資料無塵室本身。

其他訂閱者權限

您必須在資料無塵室中具備 Analytics Hub 訂閱者 (roles/analyticshub.subscriber) 和 Analytics Hub 訂閱項目擁有者 (roles/analyticshub.subscriptionOwner) 角色，才能執行訂閱者工作。

此外，訂閱資料無塵室時，您必須在專案中具備 bigquery.datasets.create 權限，才能建立連結的資料集。

訂閱資料無塵室

訂閱資料無塵室後，您就能在專案中建立連結的資料集，並查詢商家資訊中的資料。如要訂閱資料清淨室，請按照下列步驟操作：

  curl -H "Authorization: Bearer $(gcloud auth print-access-token)" -H "Content-Type: application/json" -L -X POST https://analyticshub.googleapis.com/v1/projects/DCR_PROJECT_ID/locations/LOCATION/dataExchanges/CLEAN_ROOM_ID:subscribe  --data '{"destination":"projects/SUBSCRIBER_PROJECT_ID/locations/LOCATION","subscription":"SUBSCRIPTION"}'

連結的資料集現已新增至您指定的專案，並可供查詢。

訂閱者可以編輯連結資料集的某些中繼資料，例如說明和標籤。您也可以為連結的資料集設定權限。 不過，連結資料集的變更不會影響來源資料集。您也無法查看檢視定義。

連結資料集中包含的資源為唯讀。訂閱者無法編輯連結資料集中資源的資料或中繼資料。您也無法為連結資料集中的個別資源指定權限。

如要取消訂閱資料無塵室，請刪除連結的資料集。

查詢連結資料集中的資料

如要查詢連結資料集中的資料，請使用 SELECT WITH AGGREGATION_THRESHOLD 語法，對強制執行分析規則的檢視區塊執行查詢。如需此語法的範例，請參閱「查詢匯總門檻分析規則 - 強制執行的檢視畫面」。

範例情境：廣告主和發布商歸因分析

某廣告主想追蹤行銷廣告活動的成效，廣告主擁有顧客的第一方資料，包括購買記錄、受眾特徵和興趣。發布商擁有網站資料，包括向訪客顯示的廣告和轉換。

廣告主和發布商同意使用資料無塵室合併資料，並評估廣告活動成效。在此情況下，發布商會建立資料無塵室，並提供資料給廣告主進行分析。歸因報表會顯示哪些廣告最能有效提高銷售量。廣告主可以運用這項資訊，改善日後的行銷廣告活動。

廣告主和發布商會透過下列程序，協調 BigQuery 資料無塵室：

建立資料無塵室 (發布商)

1. 發布商機構的資料無塵室擁有者在 BigQuery 專案中啟用 Analytics Hub API，並將使用者 A 指派為資料無塵室擁有者 (Analytics Hub 管理員)。
2. 使用者 A 建立名為「Campaign Analysis」的資料無塵室，並指派下列權限：
   • 資料貢獻者 (Analytics Hub 發布者)：使用者 B，發布者機構的資料工程師。
   • 訂閱者 (Analytics Hub 訂閱者和訂閱項目擁有者)： 使用者 C，廣告主機構的行銷分析師。

將資料新增至資料無塵室 (發布商)

1. 使用者 B 在資料無塵室中建立名為 Publisher Conversion Data 的新項目。建立商家資訊時，系統會建立含有分析規則的新檢視畫面。

訂閱資料無塵室 (廣告主)

1. 使用者 C 訂閱資料無塵室，系統會為資料無塵室中的所有房源建立連結的資料集，包括「Publisher Conversion Data」房源。
2. 使用者 C 現在可以執行匯總查詢，將這個已連結資料集的資料與第一方資料合併，評估廣告活動成效。

實體解析

資料無塵室的應用情境通常需要連結資料提供者和訂閱者資料集中的實體，但這些資料集不包含通用 ID。訂閱者和資料貢獻者可能會在多個資料集中以不同方式表示相同記錄，原因可能是資料集來自不同資料來源，或是資料集使用不同命名空間的 ID。

在資料準備過程中，BigQuery 中的實體解析功能會執行下列操作：

• 對於資料貢獻者，系統會使用所選通用供應商的 ID，在共用資源中重複資料並解決記錄。這個程序可讓不同貢獻者加入。
• 對於訂閱者，這項服務會將第一方資料集中的記錄去重複化並解析，然後連結至資料提供者資料集中的實體。這個程序可讓訂閱者和資料貢獻者資料之間進行聯結。

如要使用所選的 IDP 設定實體解析，請參閱「在 BigQuery 中設定及使用實體解析」。

探索資料無塵室資產

如要找出您有權存取的所有資料無塵室，請按照下列步驟操作：

• 資料無塵室擁有者和資料貢獻者可以在Google Cloud 控制台中前往「共用 (Analytics Hub)」頁面。

  前往「共用」(Analytics Hub)

  系統會列出您可存取的所有資料無塵室。

• 訂閱者請按照下列步驟操作：

  1. 前往 Google Cloud 控制台的「BigQuery」頁面。

     前往 BigQuery

  2. 在「Explorer」窗格中，按一下 add_box 「新增資料」。

  3. 選取「Sharing (Analytics Hub)」。系統隨即會開啟探索頁面。

  4. 如要顯示您有權存取的資料無塵室，請在篩選器清單中選取「資料無塵室」。

如要找出專案中由資料無塵室建立的所有連結資料集，請在指令列環境中執行下列指令：

PROJECT=PROJECT_ID \
for dataset in $(bq ls --project_id $PROJECT | tail +3); \
do [ "$(bq show -d --project_id $PROJECT $dataset | egrep LINKED)" ] \
&& echo $dataset; done

請將 PROJECT_ID 改成包含已連結資料集的專案。

定價

資料貢獻者只需支付資料儲存費用。訂閱者只有在執行查詢時，才需要支付運算 (分析) 費用。

後續步驟

• 如果您是 VPC Service Controls 使用者，請參閱「VPC Service Controls」。
• 使用分析規則限制資料存取權。
• 分享簡介。