Benutzern das Abfragen von BigQuery-Datasets erlauben, aber das Löschen von Datasets verhindern, gemäß den von Google empfohlenen IAM-Praktiken. Was sollten Sie tun?

Die Erstellung einer benutzerdefinierten Rolle, die Löschberechtigungen entfernt, und die Zuweisung dieser Rolle zu einer Gruppe, der die Benutzer angehören, ist die beste Vorgehensweise. Dies folgt dem Prinzip der geringsten Rechte und den Empfehlungen von Google für die Verwaltung von IAM-Berechtigungen in großem Maßstab. Durch die Verwendung von Gruppen wird die Verwaltung vereinfacht, da Berechtigungen nicht einzeln für jeden Benutzer zugewiesen werden müssen. Die Zuweisung von roles/bigquery.user würde zwar das Löschen verhindern, aber auch das Abfragen von Datasets nicht ermöglichen, da diese Rolle nur das Ausführen von Jobs und das Auflisten von Datasets erlaubt, nicht aber das Abfragen von Daten. Die Rolle roles/bigquery.dataEditor erlaubt das Bearbeiten von Daten, aber nicht das Löschen von Datasets, was dem Ziel teilweise entspricht. Allerdings ist eine benutzerdefinierte Rolle präziser und flexibler, um genau die gewünschten Berechtigungen zu definieren und unerwünschte Aktionen zu unterbinden, während die Verwendung von Gruppen die Verwaltungseffizienz erhöht.