能否仅允许单个服务账号查询指定BigQuery项目？如何实现？

这个需求完全可行，BigQuery依托GCP的IAM权限系统支持精细化的访问控制，通过清理冗余权限并仅为目标生产服务账号授予必要的查询权限，就能实现“仅允许该账号执行查询、禁止其他所有账号”的效果。

具体实现步骤： #

1. 清理项目中所有默认/冗余的查询相关权限
   首先要移除项目、数据集或表层级上，所有非目标账号的查询类权限。重点需要清理的角色包括：

   • roles/bigquery.dataViewer：允许访问数据以执行查询
   • roles/bigquery.user：允许提交查询作业并访问公开数据
   • roles/bigquery.jobUser：允许提交查询作业
   • 同时要移除allUsers、allAuthenticatedUsers这类面向所有用户的公开权限绑定，以及从组织层级继承的不必要查询权限（若存在）。

   可以用gcloud命令查看当前项目的IAM权限：

   gcloud projects get-iam-policy YOUR_PROJECT_ID
   

   移除不必要的权限绑定示例：

   # 移除allUsers的dataViewer权限
   gcloud projects remove-iam-policy-binding YOUR_PROJECT_ID --member=allUsers --role=roles/bigquery.dataViewer
   # 移除某个人类账号的jobUser权限
   gcloud projects remove-iam-policy-binding YOUR_PROJECT_ID --member=user:someone@example.com --role=roles/bigquery.jobUser
   

2. 为目标生产服务账号授予必要的查询权限
   需要给该服务账号授予两个核心角色（可根据需求选择层级：项目级/数据集级/表级，粒度越细越安全）：

   • roles/bigquery.jobUser：允许在目标项目中提交查询作业
   • roles/bigquery.dataViewer：允许访问查询所需的数据（如果仅需查询特定数据集，建议在数据集级别授予该角色，而非项目级）

   命令示例：

   # 授予项目级的jobUser权限
   gcloud projects add-iam-policy-binding YOUR_PROJECT_ID --member=serviceAccount:prod-sa@YOUR_PROJECT_ID.iam.gserviceaccount.com --role=roles/bigquery.jobUser
   # 授予特定数据集的dataViewer权限
   bq add-iam-policy-binding YOUR_PROJECT_ID:target_dataset --member=serviceAccount:prod-sa@YOUR_PROJECT_ID.iam.gserviceaccount.com --role=roles/bigquery.dataViewer
   

3. 验证权限配置效果

   • 使用其他任意账号（个人账号、其他服务账号）尝试提交查询，应收到“权限不足”的报错
   • 使用目标生产服务账号执行查询，确认能正常返回结果
   • 可以用以下命令检查目标账号的权限绑定：

     gcloud projects get-iam-policy YOUR_PROJECT_ID --filter="bindings.members:prod-sa@YOUR_PROJECT_ID.iam.gserviceaccount.com"
     

4. 额外注意事项

   • 避免给任何非目标账号授予roles/editor、roles/owner这类包含BigQuery查询权限的宽泛角色
   • 建议启用BigQuery审计日志，持续监控查询操作，确保只有目标账号在执行查询
   • 若项目内有其他依赖BigQuery的服务，需确认这些服务不需要查询权限，否则需调整需求或纳入目标账号的管控范围

内容的提问来源于stack exchange，提问作者Vivek Singh