Bigquery仅更新元数据禁用增删改表的角色配置咨询

你当前的角色组合缺少跨资源的条目编辑权限，以及BigQuery侧的元数据更新权限，不需要授予权限范围过大的roles/bigquery.dataEditor，按照以下方案分配即可满足需求：

保留的已有角色 #

• roles/datacatalog.tagEditor：负责Data Catalog标签的增删改操作
• roles/datacatalog.tagTemplateUser：负责调用已有的标签模板对资源打标签

提示：如果不需要让用户自主创建标签模板，可移除已分配的roles/datacatalog.tagTemplateCreator，减少多余权限。

需要新增/替换的角色 #

Data Catalog侧 #

• 替换原有roles/datacatalog.entryViewer为roles/datacatalog.entryEditor：该角色允许修改Data Catalog所有授权范围内条目的基础属性，包括表描述字段。

BigQuery侧 #

• 新增roles/bigquery.metadataEditor：该预定义角色仅开放BigQuery表元数据的更新权限，不包含删除表、修改表结构、读写表数据的权限，完全匹配最小权限要求。

自定义角色替代方案：如果需要更细粒度的权限管控，可自定义角色仅添加以下必要权限即可：

bigquery.tables.get
bigquery.tables.list
bigquery.tables.update
bigquery.tables.updateTag

授权注意事项 #

以上角色需要授予在中心化数据集所在的项目层级或对应数据集层级，不要仅授权在用户个人资源范围，否则只能操作用户自己创建的表。

内容的提问来源于stack exchange，提问作者mtryingtocode