VPC-SC边界内PrA查询BigQuery视图D4/D5权限问题求助

核心原因 #

PrA被纳入VPC-SC边界后，默认仅能访问边界内资源。即便PrB已通过IAM授权PrA访问，若VPC-SC未放行PrA对PrB的出站请求，仍会触发权限拦截。

具体解决步骤 #

• 将PrB纳入VPC-SC允许范围
  进入VPC-SC控制台，找到PrA所属的访问策略：

  • 要么把PrB的项目ID或目标数据集添加到PrA对应访问级别的允许资源列表；
  • 要么将PrB设置为VPC-SC的信任项目，允许边界内的PrA直接访问其资源。

• 验证视图的权限传递配置

  • 确认创建D4、D5视图的账号（如PrA的服务账号）在PrB目标数据集上拥有bigquery.dataViewer及以上权限；
  • 检查视图定义是否使用完全限定表名（格式为projects/PrB/datasets/[数据集名]/tables/[表名]），避免因表名解析错误导致权限判断失效。

• 配置VPC-SC跨项目访问规则
  在VPC-SC的访问策略中添加出站规则：

  • 资源类型选择bigquery.googleapis.com/datasets，资源路径填写PrB的完整数据集路径；
  • 关联PrA使用的访问级别，确保PrA发起的跨项目查询请求能被规则放行。

• 校验PrB的VPC-SC状态
  若PrB自身也在VPC-SC边界内，需确保PrB的访问策略允许来自PrA的入站请求，双向规则匹配才能正常访问。

• 测试底层访问连通性
  用PrA的查询账号直接尝试查询PrB的原始表：

  • 若直接查询也失败，说明VPC-SC规则未配置到位；
  • 若直接查询成功，可重新创建D4、D5视图，确保创建过程中权限继承逻辑正常。

内容的提问来源于stack exchange，提问作者Anuvrat