跨项目创建BigQuery定时查询遇iam.serviceAccounts.actAs权限403错误

核心问题 #

你遇到的iam.serviceAccounts.actAs permission缺失错误，尽管已授予Service Account User角色，大概率由以下几个原因导致：

1. 角色绑定的目标对象错误 #

确保Service Account User角色是直接绑定在sa2@project2.iam.gserviceaccount.com这个服务账号本身，而非仅在project2的项目级IAM中添加：

• 操作路径：GCP控制台 → IAM与管理 → 服务账号 → 找到sa2 → 点击「权限」标签 → 添加sa1@project1.iam.gserviceaccount.com，授予Service Account User角色。
• 项目级IAM绑定虽可能生效，但直接绑定到服务账号的权限优先级更高，且不易受项目级政策干扰。

2. IAM权限生效延迟 #

GCP跨项目的IAM权限变更通常需要3-10分钟才能完全生效。如果刚配置完权限就执行命令，建议等待一段时间后重试。

• 验证权限是否生效：执行以下命令检查sa2的IAM政策中是否包含sa1的角色：

gcloud iam service-accounts get-iam-policy sa2@project2.iam.gserviceaccount.com --format=json

输出中应包含类似片段：

{
  "bindings": [
    {
      "role": "roles/iam.serviceAccountUser",
      "members": [
        "serviceAccount:sa1@project1.iam.gserviceaccount.com"
      ]
    }
  ]
}

3. 组织级政策限制 #

检查你的GCP组织或project2是否配置了限制服务账号模拟的组织政策：

• 常见限制政策：constraints/iam.serviceAccountActAsRestrictions或constraints/iam.allowedPolicyMemberDomains
• 操作路径：GCP控制台 → IAM与管理 → 组织政策 → 搜索上述政策，确认是否允许sa1所在的project1账号对project2的服务账号执行actAs操作。

4. 兜底权限检查（非直接错误原因） #

创建BigQuery定时查询需确保sa1拥有BigQuery Transfer Admin角色（roles/bigquery.transferAdmin），不过你已授予BigQuery Admin角色，该角色包含transferAdmin的权限，此点可作为兜底验证。

重试建议 #

完成上述检查后，重新执行你的bq mk命令，或用Terraform重新部署。

内容的提问来源于stack exchange，提问作者nathou