如何为服务账号授予BigQuery TABLE_STORAGE_BY_ORGANIZATION细粒度权限？

你没法直接给TABLE_STORAGE_BY_ORGANIZATION视图单独授予roles/bigquery.dataViewer角色，但可以通过以下两种方式实现细粒度权限控制，避免给服务账号开放组织内所有表的访问权限：

1. 自定义IAM角色+IAM条件限制 #

默认的roles/bigquery.dataViewer权限范围太广，你可以创建一个仅包含查询该视图所需最小权限的自定义角色，再通过IAM条件限制权限仅作用于该视图：

步骤： #

• 创建自定义IAM角色，包含以下必要权限：
  • bigquery.tables.getData：允许读取视图数据
  • bigquery.tables.list：允许列出视图（部分场景需要）
• 给这个自定义角色添加IAM条件，限制权限仅适用于TABLE_STORAGE_BY_ORGANIZATION视图：

  resource.name.endsWith("INFORMATION_SCHEMA.TABLE_STORAGE_BY_ORGANIZATION")
  

• 可选：添加额外条件限制到特定项目，比如：

  resource.name.startsWith("projects/你的项目ID/")
  

• 将这个自定义角色绑定到你的DBT服务账号（组织级或项目级绑定均可，根据条件范围调整）。

Terraform配置示例： #

# 创建自定义角色
resource "google_organization_iam_custom_role" "bq_table_storage_viewer" {
  org_id     = "你的组织ID"
  role_id    = "bigqueryTableStorageViewer"
  title      = "BigQuery Table Storage Viewer"
  description = "仅允许查询TABLE_STORAGE_BY_ORGANIZATION视图"
  permissions = [
    "bigquery.tables.getData",
    "bigquery.tables.list",
  ]
}

# 绑定角色到服务账号，带条件限制
resource "google_organization_iam_member" "dbt_service_account_binding" {
  org_id = "你的组织ID"
  role   = google_organization_iam_custom_role.bq_table_storage_viewer.name
  member = "serviceAccount:你的DBT服务账号邮箱"
  condition {
    title       = "Restrict to TABLE_STORAGE_BY_ORGANIZATION"
    description = "Only allow access to the TABLE_STORAGE_BY_ORGANIZATION view"
    expression  = "resource.name.endsWith('INFORMATION_SCHEMA.TABLE_STORAGE_BY_ORGANIZATION') && resource.name.startsWith('projects/你的项目ID/')"
  }
}

2. 创建授权代理视图 #

通过在特定项目中创建一个**授权视图（Authorized View）**来包装TABLE_STORAGE_BY_ORGANIZATION，然后仅给服务账号这个代理视图的访问权限：

步骤： #

• 使用一个拥有组织级查询权限的账号，在你的目标项目中创建一个自定义视图，SQL示例：

  SELECT * FROM `region-us.INFORMATION_SCHEMA.TABLE_STORAGE_BY_ORGANIZATION`
  -- 可选：添加WHERE子句过滤你需要的项目/数据集，缩小数据范围
  WHERE project_id IN ('项目1', '项目2')
  

• 将这个自定义视图配置为授权视图：在BigQuery数据集的权限设置中，允许该视图使用创建者的权限访问原TABLE_STORAGE_BY_ORGANIZATION视图。
• 给你的DBT服务账号授予该代理视图所在数据集的roles/bigquery.dataViewer角色（仅项目级，无需组织级）。

Terraform配置示例： #

# 创建数据集
resource "google_bigquery_dataset" "proxy_dataset" {
  dataset_id = "table_storage_proxy"
  project    = "你的项目ID"
  location   = "US"
}

# 创建代理视图
resource "google_bigquery_table" "storage_proxy_view" {
  dataset_id = google_bigquery_dataset.proxy_dataset.dataset_id
  table_id   = "table_storage_by_organization_proxy"
  project    = google_bigquery_dataset.proxy_dataset.project
  view {
    query = <<-SQL
      SELECT * FROM `region-us.INFORMATION_SCHEMA.TABLE_STORAGE_BY_ORGANIZATION`
      WHERE project_id IN ('项目1', '项目2')
    SQL
    use_legacy_sql = false
  }
}

# 给DBT服务账号授予数据集的dataViewer权限
resource "google_bigquery_dataset_iam_member" "dbt_service_account" {
  dataset_id = google_bigquery_dataset.proxy_dataset.dataset_id
  project    = google_bigquery_dataset.proxy_dataset.project
  role       = "roles/bigquery.dataViewer"
  member     = "serviceAccount:你的DBT服务账号邮箱"
}

关于视图依赖表的权限说明 #

如果使用授权视图方案，你的DBT服务账号不需要直接访问TABLE_STORAGE_BY_ORGANIZATION视图依赖的底层表——授权视图会使用其创建者的权限来查询原视图和底层数据，服务账号仅需访问代理视图的权限即可。

内容的提问来源于stack exchange，提问作者MiniYuuzhan