从Google Bucket加载CSV至BigQuery时出现Access Denied错误求助

• 确认凭据对应服务账号正确性
  先验证当前Jupyter会话使用的服务账号是否为你分配了角色的那个，执行以下代码：

  from google.cloud import bigquery
  client = bigquery.Client()
  print(client.service_account_email)
  

  输出的邮箱需和你配置权限的服务账号一致，若不一致，检查代码中加载凭据的路径是否正确，或环境变量GOOGLE_APPLICATION_CREDENTIALS指向的文件是否错误。

• 检查角色作用范围与权限覆盖

  1. 登录GCS控制台，定位到test_bucket，进入「权限」页面，确认目标服务账号已被添加，且角色为Storage Legacy Object Owner（或更明确的Storage Object Admin，后者包含完整的对象读写权限）。
  2. 注意存储桶的权限可能被项目级权限覆盖，若项目级未给该账号相关权限，需确保存储桶级别权限已明确授予。

• 验证单个对象的ACL权限
  存储桶权限正常不代表单个文件权限没问题。找到Subscription.txt文件，查看其「权限」设置，确认服务账号拥有该文件的读取权限（如storage.objects.get权限）。

• 用gsutil直接验证权限
  通过命令行测试服务账号能否访问目标文件，排除BigQuery配置干扰：

  1. 设置凭据环境变量：export GOOGLE_APPLICATION_CREDENTIALS="/path/to/your/credential.json"
  2. 执行读取命令：gsutil cat gs://test_bucket/Subscription.txt
     若命令失败，说明问题出在GCS权限配置而非BigJob；若成功，需检查服务账号是否拥有BigQuery相关权限（如BigQuery Job User和BigQuery Data Editor）。

• 排查VPC Service Controls限制
  若你的GCP项目启用了VPC服务控制，需确认服务账号在允许的访问范围内，且GCS、BigQuery服务均已纳入VPC边界，避免跨边界访问被拦截。

• 检查LoadJobConfig中的身份配置
  若你的job_config中指定了service_account_email参数，需确保该账号拥有GCS读取和BigQuery写入权限，而非仅依赖当前会话的凭据账号。

内容的提问来源于stack exchange，提问作者Ku9feld