Se connecter à SAP Datasphere

En tant qu'administrateur BigQuery, vous pouvez créer une connexion permettant d'accéder aux données SAP Datasphere. Cette connexion permet aux analystes de données d'interroger des données dans SAP Datasphere.

Avant de commencer

1. Activez l'API BigQuery Connection.

   Activer l'API

2. Créez un utilisateur de base de données SAP Datasphere. Notez le nom d'utilisateur, le mot de passe, le nom d'hôte et le port auxquels BigQuery doit se connecter.

3. Configurez votre locataire SAP Datasphere pour qu'il accepte le trafic provenant de vos adresses IP sélectionnées en effectuant l'une des opérations suivantes :

   • Ajoutez toutes les plages d'adresses IP Google à la liste d'autorisation "Adresses IP de confiance" dans SAP Datasphere.
   • Ouvrez le locataire SAP Datasphere aux connexions provenant de toutes les adresses IP en ajoutant 0.0.0.0/0 à la liste d'autorisation.

   • Configurez votre connexion avec des pièces jointes réseau afin que BigQuery ouvre la connexion à partir d'une adresse IP statique.

   Pour en savoir plus sur la configuration de votre locataire SAP Datasphere, consultez Ajouter une adresse IP à la liste d'autorisation d'adresses IP.

Rôles requis

Pour obtenir les autorisations nécessaires pour vous connecter à SAP Datasphere, demandez à votre administrateur de vous accorder les rôles IAM suivants :

• Pour créer une connexion : Administrateur de connexion BigQuery (roles/bigquery.connectionAdmin) sur le projet
• Pour configurer des rattachements de réseau : Administrateur de Compute (roles/compute.admin) sur le projet

Pour en savoir plus sur l'attribution de rôles, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.

Vous pouvez également obtenir les autorisations requises avec des rôles personnalisés ou d'autres rôles prédéfinis.

Configurer un rattachement de réseau

Étant donné que les requêtes fédérées établissent une connexion directe à votre base de données à l'aide de l'API BigQuery Connection, vous devez autoriser le trafic depuis Google Cloud vers votre moteur de base de données. Pour renforcer la sécurité, vous ne devez autoriser que le trafic provenant de vos requêtes BigQuery. Cette restriction de trafic peut être effectuée de deux manières :

• En définissant une adresse IP statique utilisée par une connexion BigQuery et en l'ajoutant aux règles de pare-feu de la source de données externe.
• En créant un VPN entre BigQuery et votre infrastructure interne, et en l'utilisant pour vos requêtes.

Ces deux techniques sont compatibles grâce à l'utilisation de pièces jointes réseau.

Limites

Les connexions avec des rattachements de réseau sont soumises aux limitations suivantes :

• Pour les régions standards, les rattachements de réseau doivent se trouver dans la même région que la connexion. Pour les connexions dans la zone multirégionale US, le rattachement de réseau doit se trouver dans la région us-central1. Pour les connexions dans la zone multirégionale EU, le rattachement de réseau doit se trouver dans la région europe-west4.
• Vous ne pouvez pas modifier votre rattachement de réseau après l'avoir créé. Pour modifier votre configuration, vous devez recréer le rattachement de réseau.
• Les rattachements de réseau ne peuvent être supprimés que si BigQuery supprime les ressources allouées. Pour lancer le processus de suppression, contactez l'assistance BigQuery.

Créer un rattachement de réseau

Lorsque vous créez une connexion pour la fédération de requêtes, vous pouvez spécifier un rattachement de réseau facultatif qui fournit une connectivité au réseau de votre base de données. Vous pouvez créer un rattachement de réseau en définissant une adresse IP statique ou en créant un VPN. Quelle que soit l'option choisie, procédez comme suit :

1. Si vous n'en avez pas encore, créez un réseau et un sous-réseau VPC.

2. Selon la méthode de routage choisie, effectuez l'une des opérations suivantes :

   • Pour une adresse IP statique : créez une passerelle Cloud NAT avec une adresse IP statique en utilisant le réseau, la région et le sous-réseau que vous avez créés.
   • Pour un VPN : créez un VPN connecté à votre réseau privé.

3. Créez un rattachement de réseau en utilisant le réseau, la région et le sous-réseau que vous avez créés.

4. Facultatif : En fonction des règles de sécurité de votre organisation, vous pourriez avoir besoin de configurer votre pare-feu Google Cloud pour autoriser les sorties en créant une règle de pare-feu avec les paramètres suivants :

   • Définissez le paramètre Cibles sur Toutes les instances du réseau.
   • Définissez Plages IPv4 de destination sur l'ensemble de la plage d'adresses IP.
   • Définissez Protocoles et ports spécifiés sur le port utilisé par votre base de données.

5. Configurez votre pare-feu interne pour autoriser l'entrée à partir de l'adresse IP statique que vous avez créée. Ce processus varie selon la source de données.

Connecter BigQuery à SAP Datasphere

Vous pouvez connecter BigQuery à SAP Datasphere dans la console Google Cloud ou dans l'outil de ligne de commande bq.

  bq mk \
  --connection \
  --location=LOCATION \
  --project_id=PROJECT_ID \
  --connector_configuration '{
    "connector_id": "saphana",
    "endpoint": {
      "host_port": "HOST_PORT"
    },
    "authentication": {
      "username_password": {
        "username": "USERNAME",
        "password": {
          "plaintext": "PASSWORD"
        }
      }
    },
    "network": {
      "private_service_connect": {
        "network_attachment": "NETWORK_ATTACHMENT"
      }
    }
  }' \
  CONNECTION_ID

Remarque : Si vous avez configuré votre connexion pour utiliser un rattachement de réseau, vous devez exécuter une requête fédérée initiale pour synchroniser votre projet avec le rattachement de réseau avant qu'il ne devienne entièrement actif.

Partager des connexions avec les utilisateurs

Vous pouvez attribuer les rôles suivants pour permettre aux utilisateurs d'interroger des données et de gérer les connexions :

• roles/bigquery.connectionUser permet aux utilisateurs de se connecter à des sources de données externes et d'y exécuter des requêtes.

• roles/bigquery.connectionAdmin permet aux utilisateurs de gérer les connexions.

Pour en savoir plus sur les rôles et les autorisations IAM dans BigQuery, consultez la page Rôles prédéfinis et autorisations.

Sélectionnez l'une des options suivantes :

import com.google.api.resourcenames.ResourceName;
import com.google.cloud.bigquery.connection.v1.ConnectionName;
import com.google.cloud.bigqueryconnection.v1.ConnectionServiceClient;
import com.google.iam.v1.Binding;
import com.google.iam.v1.Policy;
import com.google.iam.v1.SetIamPolicyRequest;
import java.io.IOException;

// Sample to share connections
public class ShareConnection {

  public static void main(String[] args) throws IOException {
    // TODO(developer): Replace these variables before running the sample.
    String projectId = "MY_PROJECT_ID";
    String location = "MY_LOCATION";
    String connectionId = "MY_CONNECTION_ID";
    shareConnection(projectId, location, connectionId);
  }

  static void shareConnection(String projectId, String location, String connectionId)
      throws IOException {
    try (ConnectionServiceClient client = ConnectionServiceClient.create()) {
      ResourceName resource = ConnectionName.of(projectId, location, connectionId);
      Binding binding =
          Binding.newBuilder()
              .addMembers("group:example-analyst-group@google.com")
              .setRole("roles/bigquery.connectionUser")
              .build();
      Policy policy = Policy.newBuilder().addBindings(binding).build();
      SetIamPolicyRequest request =
          SetIamPolicyRequest.newBuilder()
              .setResource(resource.toString())
              .setPolicy(policy)
              .build();
      client.setIamPolicy(request);
      System.out.println("Connection shared successfully");
    }
  }
}

Tarifs

• La tarification standard des requêtes fédérées s'applique.
• L'utilisation du VPC est soumise aux tarifs du cloud privé virtuel.
• L'utilisation de Cloud VPN est soumise aux tarifs de Cloud VPN.
• L'utilisation de Cloud NAT est soumise aux tarifs de Cloud NAT.

Étapes suivantes

• Découvrez les différents types de connexions.
• Découvrez comment gérer les connexions.
• En savoir plus sur les requêtes fédérées.
• Découvrez comment interroger des données SAP Datasphere.