如何为BigQuery设置IAM条件以仅删除自身创建的表

一、核心CEL表达式 #

要实现仅允许用户删除自己创建的表，直接使用以下CEL表达式：

resource.metadata.creator == request.auth.principal

二、关键变量解析 #

这里用到两个核心CEL变量，都是IAM条件中针对BigQuery场景的标准变量：

• resource.metadata.creator：对应BigQuery表的创建者邮箱，属于表资源的元数据字段，仅表级资源会返回该值
• request.auth.principal：发起当前删除请求的用户（或服务账号）的邮箱，是IAM条件中代表当前请求发起者的标准变量

三、语法与配置注意事项 #

• 字符串匹配是严格的，需确保邮箱格式完全一致（GCP邮箱通常为小写统一格式，无需额外处理大小写问题）
• 该条件只能绑定在表级权限的角色上，比如bigquery.tables.delete，如果绑定在数据集或项目级角色上，会因resource.metadata.creator不存在而失效
• 配置时需在IAM角色绑定的条件设置中，切换到CEL编辑器（而非可视化的Condition Builder）来输入上述表达式

四、Condition Builder的局限性 #

可视化的Condition Builder确实没有提供用户身份与资源创建者关联的预制选项，它的预制规则大多围绕资源类型、时间标签等基础属性，涉及用户身份和资源元数据的自定义关联逻辑，必须手动编写CEL表达式实现。

内容的提问来源于stack exchange，提问作者Yves