GCP表级授权场景下Viewer与BigQuery Data Viewer角色的区别

表级分配场景下的核心差异 #

• Viewer（Table Viewer角色）：是表专属的细粒度角色，仅赋予对当前指定表的只读权限，包括查看表结构、执行查询、导出数据，权限完全局限于该表，不会涉及项目内其他数据集或表。
• BigQuery Data Viewer：若在表级分配此角色，权限范围与Table Viewer完全一致——仅对当前表有只读访问。但该角色支持在项目/数据集层级分配，此时会获得对应层级下所有数据的只读权限（这是你需要避免的场景）。

最小权限实践建议 #

如果你仅希望用户访问这一张表，只授予Table Viewer角色即可，无需同时分配两个角色。表级的BigQuery Data Viewer与Table Viewer权限完全重叠，同时授予属于冗余权限，不符合最小权限原则。

关键注意事项 #

• 确保始终在具体表的Share界面分配角色，而非数据集或项目级别，这样才能严格限定权限范围至目标表。
• 绝对避免在数据集或项目层级分配BigQuery Data Viewer，否则用户将能访问对应层级下的所有数据，违背你的权限控制需求。

内容的提问来源于stack exchange，提问作者Nick