如何创建IAM自定义角色：允许BQ查询、Data Studio探索，禁止CSV导出

为什么移除bigquery.tables.export后仍能导出CSV？ #

你之前的操作没生效，是因为用户导出的不是原始表，而是查询结果——这种场景用的是bigquery.jobs.create权限提交导出作业，和bigquery.tables.export（直接导出整表的权限）无关。

可行解决方案 #

1. 自定义角色的基础权限配置

创建自定义角色时，只保留以下必要权限，确保用户能查询数据、用Data Studio探索：

• bigquery.tables.getData：读取表数据，支撑查询和Data Studio数据拉取
• bigquery.jobs.create：允许提交查询任务（后续通过条件限制导出行为）
• bigquery.datasets.get：查看数据集元数据
• bigquery.tables.list：列出数据集内的表
• bigquery.jobs.get：查看自己提交的查询状态

同时必须移除/不添加：

• bigquery.tables.export：直接导出整表的权限
• 不要给用户授予roles/bigquery.dataEditor、roles/bigquery.jobUser这类自带导出权限的预设角色

2. 添加IAM条件限制CSV导出作业

仅靠权限还不够，需要给自定义角色附加IAM条件，阻止用户创建CSV格式的导出作业。条件表达式如下：

!(resource.type == "bigquery.googleapis.com/Job" &&
  resource.name.endsWith("/jobs/" + request.jobReference.jobId) &&
  request.jobConfiguration.extract != null &&
  request.jobConfiguration.extract.destinationFormat == "CSV")

这个规则会拦截所有目标格式为CSV的导出作业，但不影响正常查询和Data Studio的使用——Data Studio是通过查询获取数据，不会触发导出作业。

3. 验证效果

用测试账号验证两个核心场景：

• 运行查询后尝试导出CSV：应该提示权限不足
• 打开Data Studio连接对应BigQuery数据集：能正常加载数据、创建报表

内容的提问来源于stack exchange，提问作者uimarer