VM's in project web-applications hebben BigQuery datasettoegang nodig in project crm-databases. Volgens best practices, hoe moet je toegang verlenen tussen projecten?

De correcte aanpak is om de BigQuery dataViewer-rol toe te kennen aan het serviceaccount van de VM's in project web-applications op de specifieke BigQuery-dataset in project crm-databases. Dit volgt het principe van minimale privileges, waarbij alleen de benodigde toegang wordt verleend. De optie om de projecteigenaar van web-applications de juiste rollen te geven op crm-databases is te breed en geeft te veel privileges. Het toekennen van de projecteigenaar-rol aan beide projecten is een ernstige schending van het principe van minimale privileges en creëert onnodige beveiligingsrisico's. De optie om de projecteigenaar aan crm-databases te verlenen en web-applications roles/bigquery.dataViewer te geven, is onjuist omdat de rollen moeten worden toegekend aan het serviceaccount van de VM's, niet aan het project zelf.