退出Google Cloud Shell后BigQuery定时任务Python代码失效问题排查

这个问题我之前帮朋友排查过，大概率是本地Cloud Shell的认证逻辑和App Engine运行环境的认证机制不匹配导致的，具体来说有这几个常见原因和对应的解决办法：

• Cloud Shell用个人用户凭证，App Engine默认用服务账号
  你在Cloud Shell里操作时，默认用的是你登录Google Cloud Console的个人账号（比如xxx@gmail.com），这个账号大概率已经被授予了BigQuery的写入权限。但App Engine定时任务运行时，默认使用的是App Engine默认服务账号，格式是[你的项目ID]@appspot.gserviceaccount.com，这个账号可能没被配置BigQuery的相关权限。
  👉 解决：打开Cloud Console的IAM页面，找到这个默认服务账号，给它添加BigQuery Data Editor（负责写入数据）和BigQuery Job User（负责提交任务）角色，根据实际需求选择即可。

• 代码依赖了本地Cloud Shell的认证缓存或环境变量
  有时候本地调试时，代码可能无意中依赖了Cloud Shell里的GOOGLE_APPLICATION_CREDENTIALS环境变量，或者你之前执行gcloud auth application-default login生成的本地凭证缓存。但App Engine运行环境里没有这些本地缓存，而且默认会自动使用服务账号认证，如果你的代码里硬编码了本地的凭证文件路径（比如client = bigquery.Client.from_service_account_json('/local/path/key.json')），就会导致在App Engine上找不到凭证，无法写入BigQuery。
  👉 解决：检查你的Python代码，确保直接用client = bigquery.Client()初始化客户端，不要手动指定本地凭证路径，让App Engine自动加载默认服务账号的凭证。

• 目标BigQuery数据集的权限未开放给服务账号
  就算App Engine的服务账号有全局的BigQuery权限，你要写入的特定数据集可能设置了独立的ACL权限，只允许你的个人账号访问，没把服务账号加进去。
  👉 解决：进入BigQuery控制台，找到对应的数据集，点击“编辑权限”，把App Engine的默认服务账号添加进去，授予“编辑”或“所有者”权限（按需选择）。

• 没查看定时任务的日志，错过认证错误信息
  你说定时任务仍在执行但无写入效果，大概率是代码抛出了认证相关的异常，但你没看到日志。App Engine的定时任务日志可以在Cloud Console的Logging > Logs Explorer里找到，过滤条件选Cloud Tasks或者App Engine Cron，就能看到具体的错误提示（比如PermissionDenied）。
  👉 解决：先去日志里找具体的错误信息，根据提示针对性调整权限或代码。

内容的提问来源于stack exchange，提问作者user3853657