跨GCP项目通过ODBC使用服务账号访问数据遇权限错误

以下是逐步排查和解决方法：

• 确认服务账号角色生效状态
  先检查project1的IAM页面，确保已将roles/bigquery.dataEditor角色正确授予project2的服务账号（格式为sa-name@project2.iam.gserviceaccount.com），而非仅在project2中配置。
  也可用gcloud命令验证：

  gcloud projects get-iam-policy project1 --filter="bindings.members:serviceAccount:sa-name@project2.iam.gserviceaccount.com"
  

  查看返回结果中是否包含roles/bigquery.dataEditor。

• 检查视图底层资源权限
  BigQuery视图的访问依赖底层表/数据集的权限，即使SA有项目级dataEditor角色，如果视图引用的底层数据集/表单独设置了IAM规则且未包含该SA，仍会触发权限错误。
  直接用该SA尝试查询底层表，若同样报错，需给SA授予底层数据集/表的bigquery.dataEditor或bigquery.dataViewer权限。

• 验证ODBC配置的密钥正确性
  检查ODBC驱动连接配置，确保已通过ServiceAccountKeyPath指定了正确的JSON密钥文件路径，或通过ServiceAccountKeyContent填入密钥内容。示例连接字符串片段：

  Driver={Simba BigQuery ODBC Driver};ProjectID=project1;ServiceAccountKeyPath=/path/to/project2-sa-key.json;
  

  用驱动自带的测试连接功能验证是否能成功完成GCP身份认证。

• 检查数据集权限继承设置
  进入project1中视图所在数据集的页面，确认“继承项目权限”选项已勾选。若未开启继承，即使SA有项目级权限，也无法访问该数据集下的视图，需单独给SA添加该数据集的权限。

• 测试服务账号的直接访问能力
  用gcloud命令先激活SA：

  gcloud auth activate-service-account sa-name@project2.iam.gserviceaccount.com --key-file=/path/to/key.json
  

  再执行查询：

  bq query --project_id=project1 "SELECT * FROM project1.dataset.view LIMIT 1"
  

  若此命令报错，说明问题出在SA本身的权限配置而非ODBC；若能成功执行，再重点排查ODBC的配置细节。

• 确认IAM权限层级优先级
  项目级roles/bigquery.dataEditor权限会被数据集级的严格权限覆盖，若视图所在数据集移除了项目权限继承，需单独为SA配置该数据集的访问权限。

内容的提问来源于stack exchange，提问作者Mariem Riahi