本地gcloud默认应用登录受Workspace权限限制，如何解决？

方案1：使用服务账号密钥文件本地认证 #

这是绕开用户账号应用白名单限制的直接方式，通过服务账号单独配置所需权限：

• 让管理员在GCP控制台创建服务账号，为其分配：
  • BigQuery所需权限（如BigQuery Data Viewer，按需调整）
  • Drive权限（如Drive File Viewer，仅需读取关联表格时足够）
• 下载该服务账号的JSON密钥文件到本地
• 本地设置环境变量指向密钥文件：

  export GOOGLE_APPLICATION_CREDENTIALS="/absolute/path/to/your-service-account-key.json"
  

• 保持原有Python代码不变，google.auth.default()会自动读取该凭证，即可正常访问关联Drive的BigQuery表

方案2：让管理员添加正确的gcloud应用到白名单 #

你之前找不到对应条目是因为没找对gcloud的官方客户端ID：

• 告知管理员在Google Workspace管理控制台的「应用访问控制」中，搜索客户端ID 1005308321989.apps.googleusercontent.com（这是gcloud CLI对应的官方OAuth应用）
• 将该应用加入白名单，并允许它请求https://www.googleapis.com/auth/cloud-platform和https://www.googleapis.com/auth/drive权限范围
• 之后重新执行你原来的命令即可正常授权：

  gcloud auth application-default login --scopes=https://www.googleapis.com/auth/drive,https://www.googleapis.com/auth/cloud-platform
  

方案3：通过用户账号模拟服务账号访问 #

如果管理员不允许直接使用服务账号密钥，但允许你模拟服务账号：

• 让管理员给你的用户账号添加roles/iam.serviceAccountTokenCreator权限到目标服务账号
• 本地执行普通的用户登录（无需指定scopes）：

  gcloud auth login
  

• 修改Python代码，通过用户凭证模拟服务账号获取权限：

  import google.auth
  from google.auth import impersonated_credentials
  from google.cloud import bigquery
  
  # 获取本地用户凭证
  base_credentials, project_id = google.auth.default()
  # 模拟目标服务账号
  target_credentials = impersonated_credentials.Credentials(
      source_credentials=base_credentials,
      target_principal='your-service-account@your-project.iam.gserviceaccount.com',
      target_scopes=[
          "https://www.googleapis.com/auth/cloud-platform",
          "https://www.googleapis.com/auth/drive"
      ],
      lifetime=3600  # 凭证有效期，按需调整
  )
  # 初始化BigQuery客户端
  client = bigquery.Client(credentials=target_credentials, project=project_id)
  

内容的提问来源于stack exchange，提问作者Mauricio