Разрешите пользователям запрашивать наборы данных BigQuery, но запретите удаление наборов данных, следуя рекомендованным Google практикам IAM. Что вы должны сделать?

Правильный ответ — создание пользовательской роли и назначение ее группе. Это соответствует принципу наименьших привилегий и рекомендациям Google по управлению доступом. Создание пользовательской роли позволяет точно определить необходимые разрешения (запрос данных) и исключить нежелательные (удаление наборов данных), что невозможно с предопределенными ролями. Назначение роли группе, а не отдельным пользователям, упрощает управление доступом, особенно в больших организациях. Назначение roles/bigquery.user или roles/bigquery.dataEditor не подходит, так как эти роли либо не предоставляют достаточных прав для запроса данных, либо предоставляют слишком много, включая возможность удаления. Простое создание пользовательской роли без использования групп не является оптимальным подходом, так как управление доступом для каждого пользователя по отдельности становится громоздким.