Les magasins de données managés sont l'endroit où un engagement GCP porte ses fruits, et les atteindre se ramène à deux mouvements qui reviennent dans chaque service traité ici. Soit le plan de données est exposé directement (une IP publique, un réseau autorisé trop large, une liaison roles/*.dataViewer trop permissive), soit un service s'exécute sous un compte de service attaché que vous pouvez piloter, et le job devient alors à la fois du calcul et un chemin vers le jeton de ce compte. Les services d'analytique et de ML en particulier font aussi office de calcul et sont référencés de manière croisée dans identity, là où le compte de service est le butin.
Ce qui est regroupé ici#
- Cloud SQL : le SQL Auth Proxy, l'IP publique et les réseaux autorisés, et les utilisateurs de base de données intégrés.
- BigQuery : lecture des datasets, exfiltration par requête et export, et IAM des datasets.
- Vertex AI : comptes de service des notebooks et des jobs d'entraînement, et vol de modèles et de datasets.
- Dataproc : le compte de service du cluster, la soumission de jobs et les données stagées.
- Dataflow : le compte de service worker et les données sources et de destination du pipeline.
- Firestore : les collections via un IAM de base de données trop large ou des failles de règles de sécurité.
- Spanner : les bases de données via l'accès
spanner.databases. - Bigtable : les tables via l'accès
bigtable.tables.