Zusammenfassung

  • Testläufe über Tabellen mit Sicherheit auf Zeilenebene liefern stets null Byte. Google schützt damit Daten vor Rückschlüssen; eine Kostenschätzung liefert diese Null nicht.
  • Auch nach der Ausführung bleiben bestimmte Nutzungswerte verborgen. Leere Felder als null zu verbuchen, kann die interne Kostenverteilung verfälschen.

Eine Kostenstelle liebt Belege. BigQuery kann ihr aus gutem Grund einen Teil davon vorenthalten. Das Problem beginnt, wenn die Kostenstelle daraus schließt, es habe nichts zu bezahlen gegeben.

Bei Tabellen mit Sicherheit auf Zeilenebene meldet ein Testlauf, ein sogenannter Dry Run, immer null Byte. Der Zweck ist, Rückschlüsse auf geschützte Daten aus dem erwarteten Verarbeitungsumfang zu verhindern. Die Anleitung zur Abfrageausführung sagt ausdrücklich, dass sich damit keine verlässlichen Abfragekosten schätzen lassen.

Der Testlauf selbst ist kostenlos und belegt keine Rechenslots. Eine anschließend ausgeführte Abfrage unterliegt ihrem jeweiligen Preismodell. Zwischen diesen beiden Sätzen liegt die ganze Budgetfrage. Eine Null, die Informationen verbergen soll, ist kein Preisversprechen.

Die Rechnung ist da, der Verteilungsschlüssel fehlt

Zeilensicherheit erlaubt es, eine Tabelle gemeinsam zu verwenden und einzelnen Nutzern nur bestimmte Datensätze zu zeigen. Die Abschirmung muss aber über das eigentliche Ergebnis hinausgehen. Auch verarbeitete Mengen, Laufzeiten und Fehlermeldungen können etwas über verborgene Daten verraten.

Nach den Sicherheitsempfehlungen von Google blendet BigQuery bei Abfragen auf solchen Tabellen unter anderem verarbeitete Bytes und Partitionen, abgerechnete Bytes sowie Stufen des Abfrageplans aus. Warten bis zum Ende der Abfrage macht diese Angaben nicht automatisch sichtbar.

In INFORMATION_SCHEMA.JOBS bleiben total_bytes_billed und total_bytes_processed leer, wenn die Abfrage Tabellen mit Zeilenzugriffsrichtlinien liest. Ein offizielles Beispiel zur Kostenschätzung zählt möglicherweise betroffene Jobs mit, weist aber darauf hin, dass deren abrechenbare Nutzung fehlt. Die Zahl verschlossener Umschläge sagt wenig über die Summe ihrer Rechnungen.

Man stelle sich eine interne Auswertung vor, die leere Werte vor der Addition durch null ersetzt. Bei der Verteilung auf Teams würden gerade die Arbeiten billig aussehen, deren Statistik nicht zugänglich ist. Das ist ein hypothetisches Beispiel, kein dokumentierter Kundenfall. Der Fehler ist dennoch präzise: Aus fehlender Kenntnis wird fehlender Verbrauch.

Eine solche Auswertung könnte die vermeintlich sparsamste Abteilung auszeichnen. Die Sicherheitsfunktion hätte ihren Auftrag erfüllt; das Controlling hätte seinen Preis für besonders unsichtbaren Verbrauch verliehen.

Mehr Rechte sind nicht bloß eine Finanzfrage

Der Reflex auf fehlende Angaben lautet häufig: Administrator fragen. Die Dokumentation trennt die Möglichkeiten genauer.

Projektinhaber können verarbeitete Bytes in den zugehörigen Audit-Logs einsehen. Die verborgenen Abrechnungsmetadaten erscheinen dadurch nicht in den Jobdetails; laut Google gibt es auch keine spezielle Berechtigung oder Rolle, die sie dort freischaltet. Die Rolle Cloud Billing Viewer wiederum erlaubt Einsicht in Abrechnungsinformationen.

Google rät davon ab, solche Einsicht Personen einzuräumen, die nur gefilterte Zeilen sehen sollen. Denn auch Abrechnung kann sensible Informationen preisgeben. Das Unternehmen kann Kostenverantwortung deshalb nicht einfach mit maximaler Kostentransparenz für jeden Nutzer gleichsetzen.

Es braucht jemanden, der zum Abgleich der übergreifenden Rechnung befugt ist, und einen festgelegten Umfang der Rückmeldung an die einzelnen Teams. Wer nur einen Teil der Daten sehen darf, soll trotzdem brauchbare Hinweise für seine Entscheidungen bekommen. Diese Übersetzungsarbeit zwischen Datenschutz und Budget ist eine echte betriebliche Leistung. Sie erledigt sich nicht durch eine zusätzliche Spalte im Dashboard.

Weniger Sicht ist nicht automatisch weniger Verarbeitung

Auch die Annahme, dass ein kleiner Datenausschnitt proportional weniger kostet, führt in die Irre. Google erklärt, dass Filter in Zeilenzugriffsrichtlinien nicht am Pruning von Partitionen oder geclusterten Tabellen teilnehmen. Eine Partitionsspalte in der Richtlinie bringt diesen Verarbeitungsvorteil also nicht schon durch ihre Nennung. Filter in der eigentlichen Abfrage sind davon zu unterscheiden.

Die Rechtevergabe begrenzt den sichtbaren Inhalt. Sie ist kein Rabattmodell für die gelesenen Bytes.

Laut BigQuery-Preisliste richtet sich die Abrechnung auf Abruf nach verarbeiteten Bytes, während kapazitätsbasierte Modelle Rechenkapazität und Zeit berechnen. Bei gemeinsam genutzten Daten trägt zudem das abrechnungsgebundene Projekt, das die Abfrage ausführt, die Abfragekosten. Der Eigentümer der Daten zahlt nicht allein deshalb, weil ihm die Tabelle gehört.

Sichtbarkeit, Verarbeitung und Zahlungszuständigkeit haben damit drei verschiedene Grenzen. Wer sie in der Budgetplanung deckungsgleich zeichnet, spart sich eine Erklärung auf Kosten ihrer Richtigkeit.

Die Hinweise zur Kostenbegrenzung beschreiben für das Abrufmodell tägliche Kontingente und eine Obergrenze abrechenbarer Bytes je Abfrage. Die eingesehenen Unterlagen beschreiben nicht sämtliche Wechselwirkungen dieser Obergrenze mit der durch Zeilensicherheit verdeckten Null-Schätzung; das Verhalten muss für den konkreten Fall mit entsprechender Berechtigung geprüft werden. Aus der Anzeige folgt weder ein automatischer Freifahrtschein noch eine umfassende Budgetgarantie.

Für eine bezifferte Fehlverteilung fehlen hier Kundenrechnungen und interne Abrechnungsdaten. Die dokumentierte Mechanik reicht aber aus, um die Zuständigkeit zu bestimmen: Das Unternehmen muss die Lücke zwischen zugänglicher Statistik und tatsächlichem Aufwand selbst organisieren.

Dazu gehört zunächst, unbekannte Werte unbekannt zu lassen. Dann folgen autorisierter Rechnungsabgleich, eine erklärte Verteilung gemeinsamer Kosten und Rückmeldungen, die zur Datenberechtigung der Empfänger passen. Ein Geheimnis darf den Zähler verdecken. Es sollte nicht gleichzeitig den Namen des Verantwortlichen verdecken.