Dataset 'customers' gebruikt een Data Catalog-tagtemplate 'gdpr' met het verplichte booleaanse veld has_sensitive_data. Alle medewerkers moeten tabellen kunnen zoeken op basis van die tagwaarde, maar alleen de HR-groep mag tabelgegevens lezen wanneer has_sensitive_data=true. Alle medewerkers hebben al bigquery.metadataViewer en bigquery.connectionUser op de dataset. Wat doe je hierna om de configuratie te minimaliseren?

De correcte aanpak is om de 'gdpr'-tagtemplate aan te maken met public visibility. Dit zorgt ervoor dat alle medewerkers de tags kunnen zien en zoeken, wat voldoet aan de vereiste dat iedereen tabellen kan zoeken op basis van de tagwaarde. De bigquery.dataViewer-rol moet vervolgens aan de HR-groep worden toegewezen op de specifieke tabellen die gevoelige gegevens bevatten (waar hassensitivedata=true). Dit garandeert dat alleen HR toegang heeft tot de inhoud van deze gevoelige tabellen, terwijl andere medewerkers de tabellen wel kunnen vinden via de tags, maar de gegevens niet kunnen lezen. De andere opties zijn minder efficiënt of incorrect: Private visibility voor de tagtemplate zou betekenen dat niet alle medewerkers de tags kunnen zien of zoeken, tenzij specifieke rollen worden toegekend, wat extra configuratie vereist. Het toewijzen van de datacatalog.tagTemplateViewer-rol aan alle medewerkers is overbodig als de template al public is.