> ## Documentation Index
> Fetch the complete documentation index at: https://docs.core.sprocket.bz/llms.txt
> Use this file to discover all available pages before exploring further.

# 接続先の設定

> BigQuery プロジェクト、サービスアカウント、外部ストレージの認証情報、ファイル接続先など、Spumote が外部とつながるための設定画面を説明します。

> この記事は Spumote のソースコードから生成した試験出力です。内容は確認中のため、正式な仕様は担当者に確認してください。

## この機能でできること

接続先の設定は、Spumote が BigQuery やファイル置き場（S3・GCS・SFTP）とつながるための情報をまとめて管理する場所です。画面の説明文は「外部とつなぐための接続情報。」です。

* Spumote が読み書きする BigQuery プロジェクトの設定を確認する
* 組織専用のサービスアカウント（システム同士の接続に使う専用アカウント）を用意し、組織のデータセットを準備する
* 自社や取引先の BigQuery を参照・利用できるようにする（読み取り、クエリ実行の課金先、テーブル単位の登録）
* 組織のデータセットを外部のサービスアカウントに共有する（データセット権限の付与）
* S3・GCS・SFTP の認証情報やファイル接続先を登録・管理する

## 画面の場所

設定 › 接続先

上部のピルで次の画面を切り替えます。

| ピル | 画面の説明 |
| - | - |
| BigQuery プロジェクト | Spumote が読み書きする BigQuery プロジェクト。 |
| サービスアカウント | BigQuery・GCS へアクセスするためのサービスアカウント。 |
| 認証情報 | S3・SFTP など外部ストレージへの接続認証情報。 |
| ファイル接続先 | S3・GCS・SFTP のファイル接続先と鍵の管理。 |

同じ「設定 › 接続先」には、Claude などの AI アシスタントを Spumote につなぐ「AI アシスタント ( MCP )」の案内もあります。

## BigQuery プロジェクト

「BigQuery プロジェクト設定」画面では、GCP プロジェクト全体のグローバルクエリ（クロスリージョン＝東京と US など別の保存場所にまたがるクエリ）の設定を確認できます。この画面は表示専用です。

| 表示 | 意味 |
| - | - |
| 実行 (execution) | そのリージョンで実行するクエリが、別リージョンのテーブルを参照してよいか |
| データアクセス (data access) | 別リージョンで実行されるクエリに、このリージョンのテーブルを読ませてよいか |

東京 ↔ US の双方向でクエリを動かすには、4 項目（東京・US それぞれの実行とデータアクセス）がすべて有効である必要があります。すべて有効なら「Tokyo ↔ US の双方向クロスリージョンクエリが有効です」と表示されます。

## サービスアカウント

「BigQuery 接続サービスアカウント」は、組織ごとに Spumote が用意する専用アカウントです。機密レベルごとに 2 種類あります。

| 種類 | 用途 |
| - | - |
| 通常 | 通常領域データセット（*gnrl*）用 |
| 機密 | 機密領域データセット（*scrt*）用 |

まだ作られていない場合は「SA をプロビジョニング」で作成します。作成済みの場合は、メールアドレス（コピー可）と、次のタイル（設定のまとまり）が表示されます。

### Spumote 内 BigQuery の準備

組織用データセットの作成と、サービスアカウントへの権限付与をまとめて行います。「自動セットアップを実行」を押すと、組織作成時と同じ準備が順に実行されます（何度実行しても安全です）。準備が足りない場合は「⚠ 不完全」と、不足しているデータセットや権限が表示されます。

### カタログ参照プロジェクト ( READER )

自社や取引先の GCP プロジェクトにある BigQuery データセットを、Spumote の画面（データ一覧・プレビュー）で参照できるようにします。読み取りのみで、クエリ実行の課金は発生しません。

1. 「GCPプロジェクトID」を入力して「追加」します。
2. データの持ち主に、対象データセットへサービスアカウントの READER（読み取り）権限を付けてもらいます。タイル内の「▶ 何のためのタイル？ お客様にお願いする手順を見る」を開くと、依頼文のひな形と設定コマンドが用意されています。
3. 登録したプロジェクトごとに、通常（gnrl）・機密（scrt）それぞれのサービスアカウントから見えるデータセットが表示されます。「再照会」で最新の状態を確認できます。見えない場合は「アクセス不可」と表示されます。

### クエリ実行プロジェクト ( jobUser )

クエリ実行の課金先にする、お客様の GCP プロジェクトを登録します。登録時に、そのプロジェクトでクエリを作れるか（BigQuery ジョブユーザー権限があるか）を確認し、確認できない場合は登録できません。登録したプロジェクトは、データ抽出の「実行 PJ:」で選べます。既定のプロジェクトを 1 つ指定できます。

### 個別テーブル ( dataViewer )

データセット単位の共有ができない場合に、テーブル単位で登録します（カタログ参照プロジェクトの補完）。登録時に接続テストを行い、読み取れないテーブルは登録できません（その場合は対象テーブルにデータ閲覧者の権限を付けてもらいます）。

### 組織データセット共有

Spumote が管理する組織のデータセットを、外部のサービスアカウント（他のツールや取引先のシステム）に読み書き共有します。これが「データセット権限の付与」です。

1. 「Dataset」で共有するデータセットにチェックを入れます（「全選択」も可）。
2. 「Service accounts」に共有先のサービスアカウントのメールアドレスを入力します（複数可）。
3. 権限を選びます。「read」（読み取り）、「write」（書き込み。read も含む）。
4. 必要なら「メモ (任意)」を書き、「一括許可」を押します。外すときは「一括剥奪」を使います。

画面には「N datasets x N accounts = N changes」として、変更される組み合わせの数が表示されます。登録済みの共有は一覧に並び、個別に read / write を切り替えたり削除したりできます。

### 機密データセット

機密レベルのロールだけが使える専用データセット（l0\_scrt / l3\_scrt / tmp\_scrt）を、必要な組織だけが任意で有効化するタイルです。有効化・無効化は owner（組織オーナー）のみ操作できます。テーブルが残っているデータセットは無効化（削除）できません。

### Data Connect user\_states

Data Connect の user\_states を、専用のルーティン経由で service\_id 単位に読み書きできるようにするタイルです。service\_id の権限は Spumote 運営側の組織設定から付与され、組織側の画面から自分で追加することはできません。付与済みの件数と、利用するルーティンの呼び出し例を確認できます。

## 認証情報

S3・SFTP など外部ストレージに接続するための認証情報（鍵やパスワード）を管理します。「認証情報を追加」から登録し、一覧の「…」メニューで編集・削除します。

| 項目 | 内容 |
| - | - |
| 名前 | 認証情報の名前 |
| タイプ | GCP SA（GCS 用の鍵）／ AWS S3 ／ SFTP |
| AWS S3 の項目 | アクセスキーID、シークレットアクセスキー、バケット、リージョン、パスプレフィックス |
| SFTP の項目 | ホスト、ポート、ユーザー名、認証方式（パスワード／秘密鍵）、基点パス |
| GCP SA の項目 | サービスアカウント JSON キー、バケット、パスプレフィックス |
| 機密レベル | 一般／機密。機密の認証情報は、機密レベルのロールを持つ利用者だけが使用・閲覧できます |

* 「接続テスト」で実際につながるかを確認でき、結果（テスト手順・所要時間）が表示されます。
* SFTP の「基点パス」を設定すると、エクスプローラーとファイル操作をそのパスの配下に制限できます（例: /org-prefix/）。
* パスプレフィックスを設定すると、S3・GCS でアクセスするフォルダの範囲を絞れます。

## ファイル接続先

S3・GCS・SFTP のファイル接続先と鍵を管理します。画面は次の 2 つの部分でできています。

* **Spumote 管理ストレージ**: 「S3 ストレージ」「GCS ストレージ」「SFTP ストレージ」の 3 枚のカードです。各カードに発行済みの鍵の数（SFTP はアカウント数）が出ており、クリックすると詳細の管理画面が開きます。
* **ファイル操作に使う認証情報**: お客様の外部ストレージと Spumote 管理ストレージ用の認証情報の表です。列は「名前」「タイプ」「提供元」「ステータス」「最終テスト」「操作」で、「提供元」には「Spumote · 一般」「Spumote · 機密」または「外部」と表示されます。右上の「認証情報を追加」から登録します。

Spumote 管理のストレージでは次のことができます。

* **アクセスキー**: 「キーを作成」でキーを発行し、権限（読み書き／読み取り）とラベルを付けます。シークレットは一度だけ表示されます。キーは「無効化」「有効化」「削除」できます。
* **SFTP アカウント**: 「アカウントを追加」で、取引先などが使う SFTP アカウントを作成します。一覧のアカウント名をクリックすると詳細が開き、公開鍵の追加・削除ができます。
* **機密領域 (scrt)**: 機密レベルのロールだけがアクセスできる機密領域を有効化し、機密領域専用の鍵を発行できます（「02-9 機密データの取り扱いと組織データセット」参照）。

ファイルの受け渡しの流れは「02-7 ファイル受け渡し（S3・GCS・SFTP）」を参照してください。

## 活用例

* **取引先の BigQuery を参照する**: 「カタログ参照プロジェクト ( READER )」に取引先のプロジェクト ID を登録し、依頼文のひな形で READER 権限を付けてもらいます。付与後はデータ一覧でテーブルの構造とサンプルを確認できます。
* **BI ツールに組織のデータを見せる**: 「組織データセット共有」で、BI ツールのサービスアカウントに出力層（L3）データセットの read 権限を付けます。
* **クエリ費用を自社の請求に寄せる**: 自社の GCP プロジェクトを「クエリ実行プロジェクト」に登録し、データ抽出の「実行 PJ:」で選びます。

## 注意点・制限

* サービスアカウント画面（作成・削除・接続テスト）は、データ書き込み権限（data:write）を持つ利用者のみ表示・操作できます。
* 「BigQuery プロジェクト設定」は表示専用で、この画面からは変更できません。
* 組織データセット共有の対象に、機密領域（scrt）のデータセットは含まれません。また、Spumote が管理するサービスアカウントは共有先に指定できません。
* 組織データセット共有の一括操作は、1 回あたりデータセット 25 件・共有先 25 件・組み合わせ 100 件までです。
* 認証情報の名前は 256 文字までです。機密レベルの設定・変更は owner（組織オーナー）のみ可能です。
* 機密の認証情報は機密レベルのロールのみが使用・閲覧できますが、BigQuery の機密データセットと異なり、API を迂回した保護はありません（認証情報そのものは扱いに注意してください）。
* サービスアカウントを削除すると、外部からのアクセスが無効になります。

## 関連ページ

* [02-1 データ一覧（BigQuery）](/dsv2/data-catalog)
* [02-2 データ抽出（SQL）と分析レポート](/dsv2/sql-and-reports)
* [02-7 ファイル受け渡し（S3・GCS・SFTP）](/dsv2/file-transfer)
* [02-9 機密データの取り扱いと組織データセット](/dsv2/sensitive-data-and-org-dataset)


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.