跨项目通过Cloud Function访问BigQuery遇403权限问题求助

首先先揪出你代码里的一个小拼写错误：cient.query应该改成client.query，这个虽然不是导致403的原因，但先修正避免后续出现其他问题~

核心问题很明确：你的Cloud Function使用的是项目A的服务账号，这个账号默认只拥有项目A内的权限，自然没法访问项目B的BigQuery表；而你自己的账号是两个项目的所有者，所以UI里能正常查询。下面给你几种可行的解决办法：

方法1：通过GCP控制台给服务账号加权限（最直观） #

因为你是两个项目的所有者，直接在项目B的IAM系统里给项目A的服务账号授权：

• 打开GCP控制台，切换到项目B
• 进入「IAM与管理」→「IAM」页面
• 点击顶部的「添加」按钮
• 在「新成员」输入框里，填入项目A中Cloud Function对应的服务账号邮箱（格式一般是[函数名]@[项目A-ID].iam.gserviceaccount.com，你也可以去项目A的Cloud Function详情页找到这个账号）
• 在「角色」下拉框里，选BigQuery > BigQuery编辑器（如果只想给查询权限，推荐选「BigQuery数据查看者」+「BigQuery作业用户」，遵循最小权限原则更安全）
• 点击「保存」，等1-2分钟让权限生效（GCP权限不是实时生效的）

方法2：用gcloud命令行快速授权 #

如果你习惯用命令行，执行下面的命令（替换占位符为你的实际项目ID和服务账号邮箱）：

# 授予全量BigQuery编辑权限
gcloud projects add-iam-policy-binding YOUR_PROJECT_B_ID \
  --member="serviceAccount:YOUR_PROJECT_A_SERVICE_ACCOUNT_EMAIL" \
  --role="roles/bigquery.editor"

# 推荐：授予最小必要权限（仅查询所需）
gcloud projects add-iam-policy-binding YOUR_PROJECT_B_ID \
  --member="serviceAccount:YOUR_PROJECT_A_SERVICE_ACCOUNT_EMAIL" \
  --role="roles/bigquery.dataViewer"

gcloud projects add-iam-policy-binding YOUR_PROJECT_B_ID \
  --member="serviceAccount:YOUR_PROJECT_A_SERVICE_ACCOUNT_EMAIL" \
  --role="roles/bigquery.jobUser"

方法3：代码里明确指定目标项目（可选） #

有时候BigQuery客户端会默认使用Cloud Function所在的项目A，明确指定项目B可以避免这种默认逻辑的混淆，修改你的代码：

from google.cloud import bigquery

# 直接指定要访问的项目B的ID
client = bigquery.Client(project="YOUR_PROJECT_B_ID")
query = client.query("<your-query-here>")
res = query.result()

额外要注意的点 #

• 权限生效需要时间，别刚设置完就立刻测试，等1-2分钟再试
• 确保你的查询语句里表的引用格式正确：项目B-ID.数据集ID.表ID，别写错了
• 如果项目B的BigQuery数据集有单独的IAM设置，也要确认服务账号在数据集层面有对应的权限（不过项目级的权限会覆盖数据集级，除非数据集做了更严格的限制）

内容的提问来源于stack exchange，提问作者CHRD