如何通过CLI为BigQuery特定数据集创建服务账号并配置权限

问题根因说明 #

1. User does not have bigquery.jobs.create permission in project 报错和数据集权限无关：BigQuery 所有作业（查询、数据加载、导出等）的创建权限属于项目层级权限，哪怕你持有数据集的最高权限，没有项目级的作业创建权限也无法运行作业。你之前给数据集分配OWNER/EDITOR/ADMIN都是数据集级角色，天然不包含该权限，所以无法解决报错。
2. 你在项目IAM页面看到服务账号并非修改数据集配置导致的：通过bq show导出修改数据集access段再更新的操作，只会把权限绑定到数据集层级，这类权限不会在项目IAM的权限列表中展示。你在项目IAM看到的服务账号是其他操作误添加的，和本次数据集权限配置无关。

修正操作步骤 #

第一步：清理多余权限，确保服务账号仅持有数据集级权限 #

• 进入项目IAM页面，找到该服务账号的绑定条目，直接删除所有项目级权限（如果后续只需要访问指定数据集，除了下文的bigquery.jobUser角色外不需要其他项目级权限）
• 验证数据集级权限配置是否生效，执行命令：

bq show --format=prettyjson 你的项目ID:目标数据集名 | jq '.access'

确认输出中包含你添加的服务账号OWNER角色条目即可，如果没有，执行以下命令更新数据集配置：

bq update --source 你修改后的配置文件路径 你的项目ID:目标数据集名

第二步：配置最小权限解决作业创建报错 #

仅需要给服务账号分配项目级的roles/bigquery.jobUser预定义角色即可，该角色仅包含作业创建权限，没有任何其他项目资源、其他数据集的访问权限，符合最小权限要求，不会出现权限溢出：

gcloud projects add-iam-policy-binding 你的项目ID \
--member="serviceAccount:你的服务账号邮箱" \
--role="roles/bigquery.jobUser"

配置完成后等待1-2分钟权限生效，再尝试加载数据即可正常运行。

内容的提问来源于stack exchange，提问作者NGB