Un servizio App Engine distribuito con l'account di servizio App Engine predefinito necessita dell'accesso in lettura a un set di dati BigQuery in un progetto di un altro team a cui non è possibile accedere. Cosa si dovrebbe fare?

L'account di servizio predefinito di App Engine opera nel progetto in cui è distribuita l'applicazione. Per accedere a risorse in un altro progetto, è necessario che l'altro progetto conceda le autorizzazioni necessarie a tale account di servizio. Il ruolo BigQuery Data Viewer fornisce l'accesso in sola lettura ai set di dati BigQuery, che è esattamente ciò che è richiesto ("accesso in lettura"). L'opzione "BigQuery Job User" è errata perché questo ruolo consente di eseguire job BigQuery, ma non fornisce l'accesso per leggere i dati stessi. Le opzioni che suggeriscono di configurare IAM nel proprio progetto sono errate perché le autorizzazioni per accedere ai dati si trovano nel progetto proprietario dei dati. L'opzione di concedere un ruolo a un account di servizio dell'altro team è irrilevante per la necessità della propria applicazione di leggere i dati.