您必须按照 Google 最佳实践，为外部审计师启用 BigQuery 中的 IAM 访问审计日志记录。您应该怎么做？

正确的做法是将审计师组添加到 logging.viewer 和 bigquery.dataViewer 预定义 IAM 角色。logging.viewer 角色允许审计师查看日志，包括 BigQuery 的审计日志，这是外部审计的关键需求。bigquery.dataViewer 角色允许审计师查看 BigQuery 数据集中的数据，以便他们可以验证数据完整性和合规性。将用户添加到组是 Google Cloud 推荐的最佳实践，因为它简化了权限管理，而不是单独管理每个用户。 将审计师组添加到两个新的自定义 IAM 角色是次优的，因为自定义角色需要额外维护，并且预定义角色通常已涵盖常见用例。将审计师用户账户添加到这些角色是可行的，但不如使用组进行管理高效和可扩展。