请求明确BigQuery通配符查询所需的具体权限

问题背景 #

使用BigQuery通配符查询时，已配置以下权限但仍触发权限错误：

• 通过自定义角色授予数据集级别bigquery.tables.list + bigquery.datasets.get权限
• 为通配符匹配到的每张表单独授予roles/bigquery.dataViewer权限

手动将匹配表做联合查询可正常运行，说明通配符查询存在官方文档未明确的额外权限要求，且该权限无法从roles/bigquery.dataViewer的权限列表中推断。需求是仅让用户访问通配符匹配的特定表，而非整个数据集的所有表，因此不想授予数据集级别的roles/bigquery.dataViewer。

关键缺失权限 #

通配符查询除已配置权限外，还需要数据集级别的bigquery.tables.get权限。

原因在于：通配符查询执行时，BigQuery会先通过bigquery.tables.list获取数据集内的所有表列表，随后需要对列表中的每张表调用tables.get接口，校验表名是否匹配通配符规则、获取表元数据（如Schema信息）。仅给单个匹配表授予表级权限无法覆盖这个遍历校验过程，必须在数据集级别授予bigquery.tables.get权限，才能让BigQuery完成通配符的解析逻辑。

权限配置方案 #

调整自定义角色，在数据集级别补充bigquery.tables.get权限，保留原有配置：

• 自定义角色包含：数据集级bigquery.tables.list、bigquery.datasets.get、bigquery.tables.get
• 通配符匹配到的每张表单独授予roles/bigquery.dataViewer（或仅表级bigquery.tables.getData权限）

该方案既满足通配符查询的元数据解析需求，又能限制用户仅访问指定的匹配表，避免授予整个数据集的访问权限。

内容的提问来源于stack exchange，提问作者Adam Cunnington