BigQuery查询GSheets：UI成功客户端失败，已授权限仍报Drive凭证拒绝

1. 确认服务账号所在项目的Drive API状态 #

• Cloud Composer和DBeaver使用的服务账号所属项目，必须启用Google Drive API。控制台查询可能自动关联已启用的API，但客户端调用需手动确认：
  • 进入Google Cloud控制台API库，搜索"Google Drive API"，检查是否已启用，未启用则直接开启。

2. 验证服务账号的权限授予方式 #

• 即便已添加Drive和BQ权限，需确认：
  • Drive权限是直接授予服务账号，而非通过组或间接权限。组权限同步可能有延迟，直接给服务账号添加Editor或Viewer权限（按需选择）更可靠。
  • 检查BigQuery外部表定义，是否指定了正确的服务账号（若使用自定义账号）。Cloud Composer的Airflow任务默认使用环境服务账号，需确认该账号已在目标GSheet的共享列表中。

3. DBeaver身份配置检查 #

• 若使用服务账号密钥文件连接：
  • 确认密钥文件对应已授权的服务账号，且密钥未过期。
  • 检查BigQuery连接配置，是否勾选"Enable Google Drive integration"选项（部分版本需手动开启）。
• 若使用个人账号OAuth登录：
  • 确认OAuth授权时请求了drive.readonly或drive权限范围。默认OAuth流程可能仅请求BigQuery权限，需重新授权并勾选Drive相关权限。

4. Cloud Composer Airflow任务配置核对 #

• 使用BigQueryOperator时：
  • 确保任务配置中service_account参数指向正确的账号（若未用Composer默认账号）。
  • 检查Airflow连接配置（Conn），BigQuery连接是否包含Drive权限范围或启用了Drive集成。
  • 确认Composer环境服务账号已被添加到目标GSheet的共享列表中，而非仅在项目IAM中授权。

5. 处理权限同步与缓存问题 #

• Google Cloud IAM权限存在5-10分钟同步延迟，刚授权后需等待一段时间再测试。
• DBeaver可能缓存旧权限信息，尝试重启软件或在连接设置的"Advanced"选项中清除缓存。
• Cloud Composer的Airflow Worker可能需重启才能加载新权限，可尝试重启环境的Worker节点。

6. 核对作业身份主体 #

• 在BigQuery控制台Job History中，对比成功的控制台作业与失败的客户端作业的"身份"字段：
  • 确认两者使用完全相同的主体（个人账号邮箱或服务账号邮箱）。若主体不同，说明客户端调用时使用了错误身份，需调整客户端身份配置。

内容的提问来源于stack exchange，提问作者JadenJelu