在WSO2 EI 6.5.0中通过服务账号使用BigQuery Connector

1. 仅使用apiKey是否足以完成集成？ #

不行。apiKey仅能用于访问公开可匿名访问的BigQuery数据，且大多是只读操作。而你需要处理数据集、数据表这类涉及私有资源的创建、修改、查询等业务，这类操作需要身份验证来确认你具备对应的权限，apiKey无法提供身份凭证，因此仅靠它无法完成完整集成，必须使用基于服务账号的OAuth2认证方式。

2. 如何通过服务账号创建OAuth2凭证并配置？ #

步骤1：在Google Cloud控制台准备服务账号 #

• 进入Google Cloud控制台，找到对应项目，创建一个服务账号
• 给该服务账号分配BigQuery相关权限（比如BigQuery Data Editor、BigQuery Job User，根据业务需求调整）
• 为服务账号生成并下载JSON格式的密钥文件

步骤2：在WSO2 EI的BigQuery Connector中配置 #

WSO2 EI 6.5.0的BigQuery Connector支持直接使用服务账号密钥完成OAuth2认证，无需手动生成令牌：

• 在bigquery.init操作中，无需配置apiKey，而是配置serviceAccountKey参数，将下载的JSON密钥文件内容直接填入；或者使用serviceAccountKeyFile参数，指定JSON密钥文件在WSO2 EI服务器上的路径
• Connector会自动利用该密钥向Google OAuth2端点请求并刷新访问令牌，完成身份验证

如果需要手动生成OAuth2令牌（适配自定义场景），可以按以下流程操作：

• 构造JWT令牌：使用JSON密钥中的私钥，对包含iss（服务账号邮箱）、scope（比如https://www.googleapis.com/auth/bigquery）、aud（https://oauth2.googleapis.com/token）、exp（过期时间）等声明的JWT进行签名
• 向https://oauth2.googleapis.com/token发送POST请求，参数包含grant_type=urn:ietf:params:oauth:grant-type:jwt-bearer和assertion（签名后的JWT），获取access_token
• 将获取到的access_token填入bigquery.init的oauthToken参数，注意需自行处理令牌过期后的刷新逻辑

内容的提问来源于stack exchange，提问作者Justin