如何在特定的BigQuery数据集中设置运行查询和创建表的权限？

Question

我试图限制用户只能在BigQuery中看到特定的数据集。我希望用户只能运行查询和创建表。所以我共享数据集权限，并给他们角色BigQuery Data Viewer（查看数据）和BigQuery User（运行查询和创建表）。但是每当我运行查询时，我都会得到以下错误：

拒绝访问：项目xxx:用户没有bigquery。乔布斯。在项目xxx中创建权限。

我检查了文档，BigQuery用户角色应该有BigQuery。乔布斯。创建权限。我错过了什么？

Answer 1

我们有相同的用例，对于我假设的相当常见的场景来说，要正确地设置它是非常复杂的。我们希望为BigQuery临时使用配置一个项目，该项目将根据需要授予内部高级用户。

通过我们的配置，我们希望允许用户只看到他们自己的数据集，但希望他们在自己的数据集中拥有完全的控制权。作为BQ管理员，我可以为他们创建一个数据集，然后直接在数据集中为他们分配BigQuery数据编辑器角色，但仍然存在两个问题。

>

更重要的是，用户不能从任何来源创建不是另一个BQ表的表！！这是因为必须在项目级别授予bigquery.jobs.create权限。

最后，为了满足我们的用例需求和良好的用户体验，我们需要做三件事。

>

为用户创建BQ数据集，并授予他们对该数据集的BigQuery数据编辑器权限。

为用户创建GCS存储桶，并授予他们对存储桶的云存储对象管理员权限。

创建一个新的自定义项目IAM角色，并将其分配给最终用户，我们称之为“BigQuery Adhoc User”，并授予以下权限：

bigquery。乔布斯。创建
bigquery。乔布斯。获取
bigquery。乔布斯。列出
存储。水桶。列表

这反过来又为我们提供了用户体验和数据安全性，用户只能访问自己的数据，但仍包含在一个项目中。用户在项目级别需要IAM角色，只是为了从GCS或直接上传创建表，这似乎是一个糟糕的设计。

Answer 2

Share Dataset中对BigQuery用户的描述如下：

应用于项目时，可以访问运行查询、创建数据集、读取数据集元数据和列表表。当应用于数据集时，访问读取数据集内的元数据和列表表的数据集。

因此，您需要在项目级别将BigQuery作业用户分配给帐户。

Answer 3

请参考为特定资源的服务号授予角色留档，在那里您可以通过使用IAM找到5个步骤来实现您的目标

您还可以使用命令行创建新的服务号并授予其权限：

创建新服务帐户：

gcloud iam service-accounts create <NAME>

授予权限：

gcloud projects add-iam-policy-binding <YOUR_PROJECT_ID> --member "serviceAccount:<NAME>@<YOUR_PROJECT_ID>.iam.gserviceaccount.com" --role "roles/bigquery.jobUser"

此外，使用此命令检查您是否已授予服务帐户权限：

gcloud projects get-iam-policy <YOUR_PROJECT_ID>

让我知道结果。我希望有帮助。