咨询：通过PowerBI展示BigQuery表并管控GCS文件下载权限的方案

以下是几种既能限制GCS存储桶访问范围，又支持从PowerBI仪表盘下载对应对象的方法：

1. 使用GCS签名URL（Signed URLs） #

• 生成带有效期和权限限制的临时下载链接，替换BigQuery表中原有的GCS原生链接。用户点击签名URL即可直接下载，无需拥有GCS桶的永久权限。
• 实现细节：
  • 用拥有GCS对象读写权限的服务账号，通过gsutil signurl命令或GCS API生成签名URL，可指定有效期（如1小时）和仅下载权限。
  • 在BigQuery中创建视图或预处理任务，自动将原GCS链接替换为签名URL，PowerBI直接拉取处理后的视图数据。
  • 注意：服务账号私钥需妥善保管，可通过Cloud Functions定时刷新签名URL，避免链接过期失效。

2. 基于PowerBI服务账号的代理访问 #

• 让PowerBI的服务账号拥有GCS对象的只读权限，由PowerBI代为获取文件并转发给用户，用户无需直接接触GCS权限。
• 实现细节：
  • 在PowerBI中使用自定义视觉对象或Power Query脚本，调用GCS API（通过服务账号密钥）获取目标文件内容。
  • 在仪表盘中添加下载按钮，触发脚本将文件内容返回给用户。
  • 额外优势：可在PowerBI层面结合角色权限，进一步限制哪些用户能下载哪些文件，实现更细粒度的访问控制。

3. 配置GCS IAM条件权限 #

• 通过IAM条件约束GCS桶的访问范围，仅允许从PowerBI的特定环境或针对特定对象访问。
• 实现细节：
  • 在GCS桶的IAM设置中，给需要下载权限的用户/组添加roles/storage.objectViewer权限，并附加条件：
    • 限制访问来源IP：request.ip() in ['PowerBI服务的公网IP范围']，确保用户只能通过PowerBI环境访问GCS。
    • 限制访问对象：resource.name.startsWith('指定对象前缀')，确保用户只能下载特定目录或前缀的文件。
  • 这种方式保留了原GCS链接的使用，但通过IAM条件大幅缩小了权限范围，避免用户直接访问桶内其他资源。

内容的提问来源于stack exchange，提问作者Naveen