33、BigQuery权限管理与操作指南

BigQuery权限管理与操作指南

1. 权限概述

在项目中，我们可以使用云控制台来创建具有服务账户创建者部分权限的子集。通常，创建这些权限子集是为了满足代表我们运行的应用程序所需的（有限）权限集。

被授予访问权限的成员可以包括谷歌账户的虚拟组，如谷歌群组、G Suite 域名或云身份域名。建议向谷歌群组提供访问权限，而非直接向个人提供，因为向谷歌群组添加或移除成员比更新多个云 IAM 策略来添加或移除用户更容易。即使访问控制是针对虚拟组设置的，也不会失去可审计性，日志记录和审计会解析到实际访问 BigQuery 的谷歌账户或服务账户。

此外，还可以向 allAuthenticatedUsers（任何使用谷歌账户或服务账户进行身份验证的人的特殊标识符）提供访问权限。常见的用途是发布公共数据集，如本文中多次使用的 london_bicycles 数据集就是以此方式发布的。需要注意的是，allAuthenticatedUsers 允许任何经过身份验证的用户（不仅仅是您所在域名内的用户）进行访问。

2. 角色类型

2.1 预定义角色

预定义角色是预先定义好的，由常用的权限组合而成。例如，BigQuery 的 dataViewer 角色提供了获取数据集元数据的 bigquery.datasets.get 权限和获取表数据的 bigquery.tables.getData 权限，但不包含删除数据集的 bigquery.datasets.delete 权限。

截至目前，有八个预定义角色，按功能递增的顺序大致如下：
| 角色名称 | 功能描述 |
| ---- | ---- |