L'ensemble de données 'customers' utilise un modèle de tag Data Catalog 'gdpr' avec un champ booléen obligatoire has_sensitive_data. Tous les employés doivent pouvoir rechercher des tables par cette valeur de tag, mais seul le groupe RH peut lire les données de la table lorsque has_sensitive_data=true. Tous les employés ont déjà les rôles bigquery.metadataViewer et bigquery.connectionUser sur l'ensemble de données. Pour minimiser la configuration, que faites-vous ensuite ?

La visibilité publique du modèle de tag 'gdpr' permet à tous les employés de rechercher les tables par la valeur du tag hassensitivedata, répondant ainsi à l'exigence de recherche. Attribuer le rôle bigquery.dataViewer au groupe RH sur les tables sensibles leur donne l'autorisation de lire ces données, tout en respectant la restriction que seul le groupe RH peut le faire. Les options avec visibilité privée du modèle de tag empêcheraient les employés de rechercher les tags, et l'attribution de rôles datacatalog.tagTemplateViewer n'est pas nécessaire pour la recherche de tags publics, ni pour la lecture des données, qui est gérée par bigquery.dataViewer.