GCP BigQuery授权视图访问外部表为何仍需GCS存储桶权限？

你的预期没错，授权视图确实可以实现有限数据访问，但你遗漏了外部表访问GCS时的核心权限逻辑，导致Alice仍需存储桶权限，具体原因和解决方法如下：

为什么会出现权限错误？ #

授权视图的权限传递规则对BQ内部表和**外部表（GCS数据源）**存在差异：

• 针对BQ内部表，授权视图会让访问者（Alice）通过视图的权限间接访问源表，无需用户直接拥有源表或底层存储的权限。
• 针对GCS作为数据源的外部表，默认情况下BigQuery会以**执行查询的用户身份（Alice）**访问GCS资源：
  1. 即便视图加了筛选条件，BigQuery需要先列出GCS路径下匹配的文件（gs://bucket-path/*.parquet.gz），因此必须拥有storage.objects.list权限。
  2. 读取筛选后的数据时，还需要对应文件的storage.objects.get权限。

你之前仅完成了授权视图的跨数据集权限传递，但未处理外部表访问GCS的身份问题，所以Alice仍需直接访问GCS的权限。

正确的实现方式 #

要让授权视图真正隔离GCS权限，需让BigQuery使用数据集的服务账号而非用户身份访问GCS，步骤如下：

1. 获取数据集A的BigQuery服务账号
   服务账号格式为：service-<你的项目编号>@bigquery-json.iam.gserviceaccount.com，可在数据集A的「共享」设置中找到该账号。

2. 给该服务账号赋予GCS权限
   为这个账号添加Storage Object Viewer角色（或更细粒度的storage.objects.list+storage.objects.get权限）到目标GCS存储桶或指定子目录。

3. 修改外部表的访问配置
   创建或更新外部表时，启用「使用数据集服务账户访问存储」选项：

   • 控制台操作：编辑外部表，在「高级选项」中勾选「使用数据集服务账户访问存储」。
   • 命令行操作：使用bq update命令添加--use_service_account参数：

     bq update --use_service_account=true datasetA.external_table
     

完成以上配置后，Alice查询授权视图时，BigQuery会用数据集A的服务账号访问GCS，Alice仅需拥有数据集B中视图的读取权限，无需直接访问GCS存储桶。

内容的提问来源于stack exchange，提问作者SlowTuna91