使用服务账号操作Google Cloud BigQuery时仅DML更新失败，插入删除正常的权限问题排查

你遇到的问题核心在于BigQuery不同操作的权限模型差异：

你代码里的create_table、upload_rows_to_bq用的是BigQuery客户端的直接资源操作API（比如创建表、批量插入行），这些操作对应的是bigquery.tables.create、bigquery.tables.insert这类资源级权限，你的服务账号已经拥有这些权限所以能正常执行。

但update_bq_ads_status_removed里的UPDATE是DML语句，这类SQL操作是通过**提交查询作业（Job）**来执行的，BigQuery要求执行这类操作的账号必须拥有项目级的bigquery.jobs.create权限——这就是你报错User does not have bigquery.jobs.create permission in project ABC的原因。

下面是具体的解决步骤：

• 检查并添加必要权限：
  登录Google Cloud IAM控制台，找到你的服务账号，在项目ABC的IAM权限中，给它授予包含bigquery.jobs.create权限的角色。推荐的角色有：

  • BigQuery Data Editor：这个角色包含了数据编辑和作业创建的完整权限，适合大多数数据操作场景；
  • 如果你需要更细粒度的权限控制，可以组合BigQuery Job User（提供作业创建权限） + BigQuery Table Data Editor（仅用于表数据修改）。

• 确认权限绑定层级：
  注意bigquery.jobs.create是项目级权限，必须在项目ABC的IAM设置中绑定，而不是数据集或表层级，否则权限不会生效。

• 验证权限生效：
  权限变更后可能需要几分钟时间同步，等待后重新测试你的UPDATE操作。也可以在IAM控制台直接查看服务账号的权限列表，确认bigquery.jobs.create已经被包含在内。

• 可选：自定义角色优化权限：
  如果担心默认角色权限过宽，可以创建自定义IAM角色，仅包含bigquery.tables.updateData（用于修改表数据）和bigquery.jobs.create（用于提交作业）两个权限，最小化权限范围。

内容的提问来源于stack exchange，提问作者Elad Benda