Permita que os usuários consultem conjuntos de dados do BigQuery, mas impeça a exclusão de conjuntos de dados, seguindo as práticas de IAM recomendadas pelo Google. O que você deve fazer?

A opção correta é criar um papel personalizado e atribuí-lo a um grupo. Isso segue as práticas recomendadas do IAM do Google, que incluem o princípio do menor privilégio e o uso de grupos para gerenciar permissões de forma eficiente. Um papel personalizado permite remover especificamente a permissão de exclusão (bigquery.datasets.delete) enquanto mantém as permissões de consulta. Atribuir a um grupo simplifica a administração, pois você gerencia as permissões para o grupo, não para usuários individuais. Atribuir roles/bigquery.user ou roles/bigquery.dataEditor não é suficiente, pois essas roles predefinidas podem não ter todas as permissões de consulta necessárias ou ainda podem conceder permissões indesejadas que não sejam de exclusão. Criar um papel personalizado sem usar grupos é menos escalável e mais difícil de gerenciar em ambientes maiores.