Masz maszyny wirtualne w projekcie web-applications, które potrzebują dostępu do zbioru danych BigQuery w projekcie crm-databases-proj. Postępując zgodnie z najlepszymi praktykami dotyczącymi dostępu do kont usług między projektami, co powinieneś zrobić?

Prawidłowa odpowiedź to przyznanie roli bigquery.dataViewer w projekcie crm-databases-proj tożsamościom z projektu web-applications oraz przyznanie wymaganych ról w web-applications. Jest to zgodne z zasadą najmniejszych uprawnień (Least Privilege), ponieważ udziela tylko niezbędnych uprawnień do odczytu danych BigQuery w projekcie docelowym, bez nadawania zbędnych uprawnień właściciela. Pozostałe opcje są nieprawidłowe, ponieważ: Przyznawanie roli Project Owner jest niezgodne z zasadą najmniejszych uprawnień i daje zbyt szerokie uprawnienia, co zwiększa ryzyko bezpieczeństwa. Przyznawanie Project Owner w obu projektach jest również nadmierne i niepotrzebne do samego dostępu do danych BigQuery. Przyznawanie Project Owner w crm-databases-proj i bigquery.dataViewer w web-applications jest błędne, ponieważ uprawnienia do danych BigQuery powinny być nadane w projekcie, w którym znajdują się dane (czyli crm-databases-proj), a nie w projekcie źródłowym.