Google에서 권장하는 IAM 관행에 따라 사용자가 BigQuery 데이터세트를 쿼리할 수 있도록 허용하되 데이터세트 삭제는 방지해야 합니다. 어떻게 해야 할까요?

사용자가 BigQuery 데이터세트를 쿼리할 수 있도록 허용하되 삭제는 방지하려면, 삭제 권한이 없는 커스텀 역할을 생성하는 것이 가장 안전하고 세분화된 방법입니다. 이 커스텀 역할을 사용자 개인이 아닌 그룹에 할당하면, IAM 관리가 간소화되고 일관성이 유지됩니다. 'roles/bigquery.dataOwner'는 데이터세트에 대한 모든 권한(삭제 포함)을 부여하므로 부적절합니다. 'roles/bigquery.user'는 쿼리 권한만 제공하지만, 데이터세트 수정 권한이 필요한 경우 제한적일 수 있습니다. 'roles/bigquery.dataEditor'는 데이터 수정 권한을 포함하지만 삭제 권한도 포함될 수 있어 요구사항에 부합하지 않습니다. 커스텀 역할을 생성하여 필요한 권한만 부여하고, 이를 그룹에 적용하는 것이 최소 권한 원칙을 따르면서 효율적인 관리 방법입니다.