Наборы данных BigQuery находятся в нескольких проектах, но все запросы должны оплачиваться из одного проекта. Проекты с данными не должны нести затраты на запросы, а пользователи должны иметь возможность запрашивать, но не изменять данные. Как следует настроить групповые роли?

Для выполнения запросов в BigQuery требуется разрешение bigquery.jobs.create, которое предоставляется ролью BigQuery Job User. Назначение этой роли в платежном проекте гарантирует, что все затраты на запросы будут отнесены к этому проекту. Роль BigQuery Data Viewer предоставляет разрешение на чтение данных (bigquery.tables.getData, bigquery.tables.list) без возможности их изменения, что соответствует требованию "пользователи должны иметь возможность запрашивать, но не изменять данные". Неправильные варианты: BigQuery User включает разрешения на создание и изменение ресурсов, что не соответствует требованию только для запросов. BigQuery DataViewer в платежном проекте не позволит инициировать запросы, так как не включает bigquery.jobs.create. BigQuery JobUser в проектах с данными приведет к тому, что затраты будут нести проекты с данными, что противоречит условию.