运行Python创建特征存储报BigQuery.jobs.create权限错误如何解决

• 你查询的roles/viewer是预定义角色的默认权限，不代表你当前账号实际被授予了该角色，也不排除管理员已修改该角色的权限范围
• 原生roles/viewer仅包含BigQuery资源的只读权限，本身不包含bigquery.jobs.create权限，你可以执行gcloud iam roles describe roles/viewer | grep jobs.create验证，默认无匹配输出
• Python代码运行时使用的身份与执行gcloud命令的身份可能不一致：比如代码使用服务账号密钥、应用默认凭证（ADC）对应其他身份，和gcloud当前激活的账号不是同一个
• 你需要创建作业的BigQuery资源归属其他项目，当前身份在目标项目下没有对应权限

• 第一步：确认Python代码实际使用的身份
  如果你使用谷歌云官方客户端库，可在代码开头加入以下片段打印当前调用身份：

  from google.auth import default
  creds, project_id = default()
  print(f"当前使用的身份: {creds.service_account_email}")
  

• 第二步：给对应身份授予包含bigquery.jobs.create权限的角色
  常规场景优先选择最小权限的预定义角色roles/bigquery.jobUser，如需更全BigQuery操作权限可选择roles/bigquery.admin。
  项目层级授权命令示例（替换占位参数即可）：

  gcloud projects add-iam-policy-binding 你的GCP项目ID \
    --member="user:你的账号邮箱地址" \
    --role="roles/bigquery.jobUser"
  

  若身份为服务账号，member参数格式改为serviceAccount:服务账号邮箱地址；若仅需授予单数据集的作业创建权限，将命令中的projects替换为bq --dataset并指定对应数据集路径即可。
• 第三步：验证权限是否生效
  执行以下命令确认对应身份已被授予目标角色：

  gcloud projects get-iam-policy 你的GCP项目ID \
    --filter="bindings.members:你的账号邮箱地址" \
    --flatten="bindings[].members" \
    --format="table(bindings.role)"
  

• 第四步：刷新本地凭证
  若你使用应用默认凭证（ADC）调用接口，执行以下命令重新登录刷新本地缓存的凭证，再运行Python代码验证：

  gcloud auth application-default login
  

内容的提问来源于stack exchange，提问作者Vikram