无法找到从Bucket写入BigQuery的Pub/Sub服务账号求助

1. 先搞清楚订阅用的服务账号是什么 #

你创建的是推送到BigQuery的Pub/Sub订阅吧？这种订阅会自动生成一个专属服务账号，格式是service-${你的项目编号}@gcp-sa-pubsub.iam.gserviceaccount.com。这个账号默认不会在IAM列表里直接显示，得手动搜才能找到。

2. 找到账号并加权限 #

• 打开Cloud IAM页面，直接把上面的账号格式替换成你的项目编号，输进搜索框就能找到这个账号。
• 给它加这几个必要权限：
  • BigQuery Data Editor：让它能写数据到BigQuery表
  • BigQuery Job User：允许提交加载数据的任务
  • 如果要读临时Bucket里的文件，再加Storage Object Viewer

3. 检查订阅的推送配置有没有错 #

创建订阅时，确认推送目标的BigQuery路径是对的，格式得是projects/${你的项目ID}/datasets/${数据集ID}/tables/${表ID}。路径写错的话，也会弹出权限不足的提示，别误以为是账号的问题。

4. 为啥手动加主体没用？ #

• 先确认你加的是那个自动生成的专属服务账号，不是自己建的普通账号。
• 权限变更要等1-2分钟才会生效，加完别立刻测，等会儿再试。
• 如果是企业账号，看看是不是组织级的IAM政策限制了这个账号的权限，比如禁止给它加特定权限。

5. 简化流程排查（可选） #

要是还是搞不定，先跳过临时Bucket环节，直接让DataFlow处理完推到Pub/Sub，再建订阅到BigQuery，看看能不能正常跑，排除Bucket带来的额外问题。

内容的提问来源于stack exchange，提问作者Jayanti