GA 导出到 BigQuery 需要哪些权限？

Question

我想设置到 BigQuery 的 GA 导出。我正在按照此处所述的步骤操作。在步骤 2.5 中，它指出：

将服务帐号添加到您的项目中。

将 analytics-processing-dev@system.gserviceaccount.com 添加为项目成员，并确保项目级别的权限设置为编辑器（与 BigQuery 数据编辑器相反）。需要编辑者权限才能将数据从 Analytics 导出到 BigQuery。

但是，我不愿意为我的项目提供这种提升的权限（“项目编辑器”将允许完全访问我项目中的所有资源）。

为什么 GA 导出需要如此提升的权限才能与 BigQuery 对话，有没有办法为服务帐户提供最低权限？

Answer 1

我怀疑文档已经过时，并且没有及时更新 BigQuery 的 IAM 和权限。

你不是需要给"Project Editor"访问该服务帐户。事实上，为通用服务帐户提供如此高的安全权限违反了最小权限原则。

相反，请在 IAM 中创建具有以下最低 BigQuery 权限的自定义角色，以便导出工作。这样，它只能与您项目中的 BigQuery 交互：

1. bigquery.datasets.create （允许 GA 创建用于导出的数据集）
2. bigquery.jobs.create （允许 GA 运行加载作业）
3. bigquery.tables.create （允许 GA 创建表）
4. bigquery.tables.delete （允许 GA 删除日内表格）