如何配置用户仅访问单个BigQuery数据集并可在DataLooker中使用

核心思路是用项目级基础权限+数据集级权限+精准IAM条件的组合，既满足DataLooker的项目可见要求，又严格限制用户只能访问目标数据集。

具体操作步骤：

• 确认用户已持有目标数据集的BigQuery Data Editor权限（你之前配置好的部分，确保未被误删）
• 给用户添加项目级的BigQuery User权限，但必须附加IAM条件，条件规则如下：

  resource.type == "bigquery.googleapis.com/Dataset" && resource.name == "projects/[你的项目ID]/datasets/[目标数据集ID]"
  

  替换括号内的实际项目ID和数据集ID即可——之前条件未生效大概率是ID填写错误或逻辑有误，这个条件会让项目级BigQuery User权限仅作用于指定数据集，用户无法看到其他数据集。
• 验证效果：让用户登录DataLooker，此时能看到目标项目，但仅能访问指定数据集，同时可正常执行创建表、运行SQL等操作。

额外排查点：

• 检查用户是否从其他群组/角色继承了不受限的项目级BigQuery权限，如有需移除
• 确认DataLooker的数据源是直接关联你的BigQuery项目，而非通过共享数据集等其他方式接入

内容的提问来源于stack exchange，提问作者Alexandru R