Un architecte data GCP fixe la forme de la plateforme avant l'écriture des pipelines. Il range l'organisation Google Cloud en dossiers et en projets, choisit l'édition BigQuery et la répartition des slots, trace les périmètres VPC Service Controls avec le RSSI et décide de la place de Knowledge Catalog, l'ex-Dataplex, pour la gouvernance. En ESN, il intervient souvent sur un cadrage ou une migration depuis Teradata, Greenplum ou Hadoop. Chez un client final, il répond de la facture et de la sécurité sur plusieurs années.
Deux profils se présentent souvent. Le lead data engineer GCP connaît bien BigQuery et Dataflow, moins l'organisation des projets, le réseau et les engagements de capacité. L'architecte cloud généraliste connaît les landing zones, moins la modélisation et le coût d'une requête. Certaines missions ajoutent l'exigence d'un cloud qualifié SecNumCloud. L'entretien doit montrer que la personne a déjà pris ces décisions et sait dire ce qu'elles ont coûté.
Faites chiffrer au candidat une réservation de slots qu'il a dimensionnée et ce qu'elle a changé sur la facture. Le PDF propose l'entretien complet, avec 30 questions sur six axes, un cas de 20 minutes sur la plateforme commune des filiales d'un assureur et une grille de 1 à 4.
Les briques GCP sur lesquelles un architecte data tranche
Organisation, dossiers et projets
La hiérarchie de ressources de Google Cloud : une organisation, des dossiers par direction ou par environnement, des projets qui portent la facturation, les quotas et les droits. Les politiques d'organisation imposent des règles à tout un dossier, comme les régions autorisées. Une hiérarchie mal pensée donne ensuite des droits illisibles et des factures difficiles à répartir.
BigQuery, éditions et réservations
BigQuery se paie au volume lu (à la demande) ou en slots, avec trois éditions : Standard, Enterprise et Enterprise Plus. L'édition change les fonctions disponibles. Standard n'accepte ni VPC Service Controls, ni clés gérées par le client, ni sécurité au niveau des lignes. Les réservations, les engagements sur un ou trois ans et le partage des slots inutilisés relèvent de l'architecte.
VPC Service Controls
Un périmètre autour des projets qui contiennent les données. À l'intérieur, les services communiquent. Vers l'extérieur, la copie d'une table ou d'un fichier est bloquée, même pour une identité qui a les droits IAM. Des règles d'entrée et de sortie ouvrent des passages précis, et le mode simulation montre ce qui serait bloqué avant application.
Réseau : VPC partagé et Private Service Connect
Le VPC partagé centralise le réseau de plusieurs projets. L'accès privé à Google et Private Service Connect permettent de joindre les API sans passer par Internet, et Cloud Interconnect ou un VPN relient le datacenter. L'architecte data s'en sert pour Datastream, Dataflow, Composer et les bases sur site.
Knowledge Catalog (ex-Dataplex)
Le catalogue de métadonnées de Google Cloud, appelé Dataplex Universal Catalog jusqu'en avril 2026. Il réunit la recherche, le glossaire métier, les aspects (métadonnées structurées), le lignage, le profilage et la qualité des données. Les CV et les API parlent encore de Dataplex.
Tables Iceberg et BigLake
Les tables Apache Iceberg gérées par BigQuery stockent les données dans Cloud Storage, au format ouvert, et restent lisibles par Spark. Les tables Iceberg externes lisent un lac existant. L'architecte décide de ce qui reste en stockage natif BigQuery et de ce qui passe en format ouvert, selon les moteurs qui doivent lire les données.
BigQuery sharing (ex-Analytics Hub)
Le partage de jeux de données entre projets ou organisations, sans copie. Le consommateur reçoit un jeu de données lié en lecture seule et paie ses requêtes, le producteur peut interdire l'export. C'est une base pratique pour organiser la plateforme en data products.
Ingestion et traitement
Datastream pour la capture des changements, Pub/Sub et Dataflow pour le temps réel, Dataproc pour Spark, Dataform ou dbt pour les transformations, Composer (rebaptisé Managed Service for Apache Airflow) pour l'orchestration. L'architecte ne les code pas. Il fixe lesquels sont autorisés, et pour quel usage.
Chiffrement, localisation et souveraineté
Clés gérées par le client dans Cloud KMS, données placées en région Paris ou en Europe, policy tags pour les colonnes sensibles, fédération d'identité pour la CI. Quand une mission exige un cloud qualifié SecNumCloud, la question d'une offre de confiance se pose dès le cadrage : PREMI3NS, l'offre de S3NS, filiale de Thales en partenariat avec Google Cloud, est qualifiée SecNumCloud 3.2 depuis décembre 2025, sur un catalogue de services plus restreint que GCP public.
Les offres d'architecte data GCP viennent surtout des ESN et des cabinets qui portent des programmes de plateforme pour de grands comptes, souvent sous le nom de datahub, et des groupes qui sortent d'un entrepôt sur site (Teradata, Greenplum, Oracle) vers BigQuery. Le poste demande de discuter avec l'équipe réseau, le RSSI et la finance autant qu'avec les data engineers. Dans la banque, l'assurance ou le secteur public, la contrainte de souveraineté change les choix dès le départ. Les certifications Professional Cloud Architect et Professional Data Engineer, valables deux ans, attestent la connaissance de la plateforme. Les décisions prises en production se vérifient en entretien.
Six décisions qu'un architecte data GCP doit savoir défendre
- Hiérarchie des ressources et découpage des projets
- Modèle de facturation BigQuery et FinOps
- Périmètres VPC Service Controls et réseau privé
- IAM, chiffrement et localisation des données
- Gouvernance, catalogue et partage de données
- Formats ouverts et migration vers BigQuery
Questions d'architecture GCP, avec la réponse attendue
Chaque question vient avec ce qu'une bonne réponse contient et le signal qui doit vous alerter. Pas besoin d'être technique pour les poser : écoutez si le candidat raconte du vécu.
Question 1 · senior
Vous démarrez une plateforme data GCP pour cinq directions métier. Comment organisez-vous dossiers et projets ?
Une bonne réponseDes dossiers par direction ou par environnement selon ce qu'il faut gouverner, puisque les politiques d'organisation et les droits s'héritent. Des projets séparés pour le stockage des données et pour le calcul de chaque équipe, ce qui répartit la facture des requêtes et les quotas. Un projet d'administration pour les réservations BigQuery, un projet hôte pour le VPC partagé. Il pense dès ce découpage aux périmètres VPC Service Controls, qui se tracent par projet.
Signal d'alerteUn seul projet pour toute la plateforme, ou un projet par personne. Aucune mention de la facturation ni des politiques d'organisation.
Question 2 · senior
Le RSSI veut des périmètres VPC Service Controls et des clés gérées par le client, la finance veut baisser la facture BigQuery. Quelle édition et quel modèle de capacité proposez-vous ?
Une bonne réponseL'édition Standard n'accepte ni VPC Service Controls ni clés gérées par le client (CMEK) : il faut au minimum Enterprise pour les projets concernés. Il part de la consommation mesurée dans INFORMATION_SCHEMA, slots utilisés heure par heure, puis fixe une base de slots et un plafond d'autoscaling, compare avec un engagement d'un ou trois ans pour la part stable et active le partage des slots inutilisés entre réservations. Les charges sont séparées par réservation : traitements nocturnes, analystes, tableaux de bord.
Signal d'alerteChoisir Standard parce que c'est moins cher, sans voir qu'elle exclut VPC-SC et CMEK. Ou un engagement de trois ans signé avant toute mesure.
Question 3 · senior
Vous posez un périmètre VPC Service Controls autour des projets de données. Qu'est-ce qui va casser, et comment le préparez-vous ?
Une bonne réponseTout accès venu de l'extérieur du périmètre : outils BI hébergés ailleurs, scripts lancés depuis des postes, comptes de service d'autres projets, copies vers des buckets externes, requêtes croisées vers des projets hors périmètre. Il commence en mode simulation (dry run), lit les journaux de violations, puis écrit des règles d'entrée et de sortie ciblées par identité et par projet, et des niveaux d'accès pour les postes. Il n'oublie ni la CI ni les projets d'administration, et rappelle que VPC-SC complète IAM sans le remplacer.
Signal d'alerteAppliquer le périmètre en production sans simulation, ou le confondre avec un pare-feu réseau.
Question 4 · senior
Les données de santé d'une filiale doivent rester en France, chiffrées avec des clés que l'entreprise contrôle. Que mettez-vous en place ?
Une bonne réponseUne politique d'organisation qui restreint l'emplacement des ressources, des jeux de données BigQuery et des buckets en région Paris (europe-west9) plutôt qu'en multi-région EU. Des clés Cloud KMS gérées par le client, une par domaine ou par jeu de données, avec rotation et séparation entre ceux qui gèrent les clés et ceux qui lisent les données. Il vérifie que toute la chaîne (Dataflow, Composer, sauvegardes, journaux) respecte la région et la clé, et parle de l'hébergement certifié HDS.
Signal d'alerte« Les données sont en Europe » avec une multi-région EU, ou des clés gérées par Google présentées comme contrôlées par l'entreprise.
Question 5 · senior
Spark sur Dataproc et BigQuery doivent lire les mêmes tables sans copie. Quelle architecture de stockage proposez-vous ?
Une bonne réponseDes tables Apache Iceberg gérées par BigQuery, stockées dans Cloud Storage et lisibles par Spark, ou des tables Iceberg externes si le lac existe déjà. Il présente les compromis face au stockage natif BigQuery (fonctions, performance, maintenance des fichiers) et place le contrôle des droits au bon endroit, pour qu'un accès direct au bucket ne contourne pas la sécurité. Le stockage natif reste la règle pour les tables lues uniquement par BigQuery.
Signal d'alerteExporter chaque nuit les tables BigQuery en Parquet pour Spark, ou donner aux jobs Spark un accès complet au bucket sans contrôle des droits.
Recevez la fiche d'entretien complète en PDF
La fiche pour mener l'entretien de bout en bout, prête à imprimer ou à partager avec le manager.
- 30 questions sur 6 axes, avec la bonne réponse, le signal d'alerte et la relance
- Le niveau visé pour chaque question
- Une mise en situation de 20 minutes et ce qu'on attend du candidat
- La grille d'évaluation de 1 à 4, axe par axe
Vos questions sur l'embauche d'un architecte data GCP
Quelle différence entre un architecte data GCP et un lead data engineer GCP ?
Le lead data engineer conçoit et fait tourner les pipelines d'une équipe. L'architecte fixe le cadre commun : hiérarchie des projets, édition BigQuery et réservations, périmètres VPC Service Controls, chiffrement, catalogue, trajectoire de migration. Dans les faits, les deux rôles se recouvrent souvent. Demandez une décision qui engageait plusieurs équipes ou la facture de toute la plateforme. Un lead data engineer répond surtout sur son propre périmètre.
La certification Professional Cloud Architect est-elle utile pour ce poste ?
Elle atteste la conception d'architectures sur Google Cloud, réseau et sécurité compris, et elle est valable deux ans. Elle ne porte pas en particulier sur la donnée, et la Professional Data Engineer la complète. Aucune des deux ne montre une plateforme exploitée. Faites décrire un périmètre VPC-SC posé en production, une migration menée jusqu'à l'arrêt de l'ancien système ou un changement de modèle de facturation BigQuery.
Comment évaluer un architecte data en entretien technique ?
Le format le plus parlant est un cas d'architecture oral. Vous donnez un contexte proche du vôtre, la personne dessine la plateforme en 20 minutes en justifiant chaque choix, puis vous changez une contrainte : budget, souveraineté, délai. Pour un poste d'architecte, un test technique écrit apporte peu. La discussion sur les compromis montre mieux l'expérience. Le PDF de cette page contient un cas complet et sa grille de notation.
Faut-il exiger une expérience SecNumCloud ?
Seulement si vos données l'imposent, ce qui arrive dans certaines administrations et chez des opérateurs sensibles. Une offre de cloud de confiance peut différer de GCP public sur les services disponibles et sur l'exploitation, et un architecte qui l'a pratiquée connaît ces écarts. Pour les autres postes, une bonne maîtrise des périmètres VPC Service Controls, des clés gérées par le client et de la localisation des données suffit.
Pour structurer vos autres entretiens, consultez aussi nos pages sur les questions d'entretien de recrutement, la méthode de l'entretien structuré et la grille d'évaluation d'entretien.
