Avant le déploiement, testez les autorisations BigQuery d'un compte de service depuis votre machine locale en utilisant la méthode la plus sécurisée recommandée par Google. Que devez-vous faire ?

La méthode la plus sécurisée et recommandée par Google pour tester les autorisations d'un compte de service localement est l'usurpation d'identité (impersonation). En utilisant gcloud auth print-access-token --impersonate-service-account=SERVICEACCOUNTEMAIL, vous pouvez générer un jeton d'accès de courte durée qui agit au nom du compte de service, sans jamais exposer les clés du compte de service sur votre machine locale. Ce jeton peut ensuite être utilisé pour authentifier des requêtes BigQuery. Générer une clé de compte de service à longue durée de vie est déconseillé car cela crée un risque de sécurité si la clé est compromise. Accorder le rôle Administrateur BigQuery est excessif et ne permet pas de tester les autorisations spécifiques requises pour l'application. Configurer les identifiants par défaut de l'application avec votre compte utilisateur testerait vos propres autorisations, et non celles du compte de service.