Google Cloud Run应用访问BigQuery的权限配置方法咨询

这个问题我熟，Cloud Run服务默认会使用特定的服务账号来访问GCP资源，咱们一步步来搞定：

第一步：找到你的Cloud Run服务使用的服务账号 #

Cloud Run服务运行时的身份是一个服务账号，我们得先确定是哪一个：

方法1：通过Google Cloud Console查看 #

• 打开Cloud Run控制台，找到你的目标服务
• 进入服务的「详情」页面，在「常规」区域里找到「服务账号」字段，这里显示的就是服务运行时使用的身份邮箱

方法2：使用gcloud命令行 #

执行以下命令，替换YOUR_SERVICE_NAME和YOUR_REGION为你的实际服务名和部署区域：

gcloud run services describe YOUR_SERVICE_NAME --region YOUR_REGION --format="value(serviceAccount)"

执行后会直接输出服务账号的邮箱地址。

第二步：给该服务账号添加BigQuery权限 #

根据错误提示，你需要授予这个服务账号bigquery.jobs.create权限，最便捷的方式是分配BigQuery Job User角色（roles/bigquery.jobUser）——这个角色包含了创建BigQuery作业所需的全部必要权限。

方式1：控制台操作 #

1. 打开IAM & Admin的IAM页面（直接搜索IAM即可找到）
2. 点击页面顶部的「添加」按钮
3. 在「新成员」输入框中填入刚才查到的服务账号邮箱
4. 在「角色」下拉框中搜索「BigQuery Job User」并选中
5. 点击「保存」完成授权

方式2：gcloud命令行 #

执行以下命令，替换YOUR_PROJECT_ID和YOUR_SERVICE_ACCOUNT_EMAIL为你的项目ID和服务账号邮箱：

gcloud projects add-iam-policy-binding YOUR_PROJECT_ID \
  --member="serviceAccount:YOUR_SERVICE_ACCOUNT_EMAIL" \
  --role="roles/bigquery.jobUser"

额外提示 #

如果你的应用后续还需要读取BigQuery中的数据，可能还需要给这个服务账号添加BigQuery Data Viewer角色（roles/bigquery.dataViewer），不过当前只需要解决bigquery.jobs.create的问题，先添加Job User角色就足够了。

权限生效通常需要1-2分钟，之后重新测试你的Cloud Run应用，应该就不会再出现403错误了。

内容的提问来源于stack exchange，提问作者DarioB