使用Dataform创建BigQuery表时遇Drive凭证权限拒绝的原因及解决方法

可能的原因 #

• 数据集存在隐式Drive关联：即使当前创建表的操作不涉及Drive数据，若目标数据集曾配置过Drive相关的外部表、或默认关联了Drive资源，BigQuery在执行表创建操作时会自动触发Drive权限校验，导致报错。
• 服务账号缺少Drive基础权限：BigQuery的部分表操作会默认检查服务账号的Drive权限，哪怕操作本身不涉及Drive，当服务账号完全没有Drive相关权限时，会触发该错误。
• 权限继承或拒绝策略限制：虽然服务账号拥有Dataset Owner权限，但项目层面可能存在拒绝策略（Deny Policy），限制了该账号的Drive访问权限，导致隐式校验失败。

解决步骤 #

• 检查并清理数据集的Drive关联配置
  1. 登录BigQuery控制台，定位到my_project_id.my_data_set数据集
  2. 查看数据集下是否有引用Drive的外部表，若有且与当前操作无关，可暂时移除或修改配置
  3. 检查数据集的设置页面，确认是否存在默认的Drive共享或关联配置，如有则取消
• 为服务账号添加Drive只读权限
  给Dataform关联的服务账号授予roles/drive.reader角色，该权限仅用于通过BigQuery的隐式校验，无需Drive的读写权限
• 验证权限有效性
  用该服务账号直接在BigQuery控制台执行语句：

  CREATE OR REPLACE TABLE my_project_id.my_data_set.my_table AS SELECT 1 AS id
  

  若执行成功，说明问题出在Dataform的配置或隐式校验，可重新同步Dataform的服务账号权限
• 检查项目级拒绝策略
  进入Google Cloud IAM控制台，查看项目是否存在针对该服务账号的Drive权限拒绝策略，如有则移除或调整

内容的提问来源于stack exchange，提问作者kainula