Serviceaccount没有bigquery.jobs.create权限

Question

授予服务帐户的权限为“所有者”和“ bigquery admin”。

$bigQuery = new BigQueryClient([
            'projectId' => 'project-xxx',
        ]);

      $query = "SELECT * FROM `project-xxxx.analytics_xxx.events_xxx` where event_name='first_open' LIMIT 100";

        $jobConfig = $bigQuery->query($query);
        $queryResults = $bigQuery->runQuery($jobConfig);
        print_r($queryResults);

当我尝试执行以上代码时，其显示以下错误：

{ "error": 
{ "errors": [ { "domain": "global", "reason": "accessDenied", 
  "message": "Access Denied: Project project-xxxx: The user 
  projectbigquery@project-xxxx.iam.gserviceaccount.com does not have 
  bigquery.jobs.create permission in project project-xxxx." } ],
}}

Answer 1

您需要将服务帐户的凭据指定为BigQueryClient构造函数的参数。

你可以用keyFilePath参数来做：

$bigQuery = new BigQueryClient([
            'projectId' => 'project-xxx',
            'keyFilePath' => '/path/to/file.json'   
        ]);

此外，请使用以下命令检查您是否授予了服务帐户的权限：

gcloud projects get-iam-policy yourProjectID

编辑：

让我们采用不同的方法来创建服务帐户并从头开始为其授予权限。

1. 创建新的服务帐户：

   gcloud iam service-accounts create [NAME]

2. 授予权限：

gcloud projects add-iam-policy-binding [PROJECT_ID] --member "serviceAccount:[NAME]@[PROJECT_ID].iam.gserviceaccount.com" --role "roles/bigquery.admin"

3. 创建凭据文件：

gcloud iam service-accounts keys create [FILE_NAME].json --iam-account [NAME]@[PROJECT_ID].iam.gserviceaccount.com

4. 将此文件的路径添加到BigQueryClient构造函数并运行您的代码。

Answer 2

创建具有与以前帐户相同的权限的新服务帐户后，其工作正常。我不知道以前的帐户有什么问题。可能是服务帐户的一些问题。