Um auditor externo precisa de permissões para revisar os Audit Logs e os Data Access logs. Qual atribuição de IAM e orientação você deve fornecer?

A atribuição da role roles/logging.privateLogViewer é a opção mais adequada e segura, pois concede permissões para visualizar todos os logs, incluindo Audit Logs e Data Access logs, sem a necessidade de exportá-los ou criar roles personalizadas complexas. Exportar logs para o Cloud Storage (opções 1 e 3) pode introduzir riscos de segurança adicionais e não é necessário para a simples revisão. Criar uma role personalizada (opções 3 e 4) é excessivamente complexo para esta necessidade e a role privateLogViewer já atende ao requisito. A instrução para revisar alterações de política do Cloud IAM é uma boa prática de segurança adicional, mas não afeta a atribuição de permissão para visualizar os logs.