BigQuery 授予对特定数据集的访问权限

Question

我有一个用户目前不是我的 GCP 项目的成员，而我是该项目的所有者。我想授予他们特定数据集的读写和删除权限。我知道我可以使用“BigQuery User”角色将它们添加到项目中，但这为他们提供了所有数据集的权限。如何将它们添加到项目中但只授予它们特定数据集的权限？

Answer 1

共享数据集时需要考虑两种情况。

1. 仅共享数据集（无法访问项目）：

您可以使用预定义的 IAM角色从 BigQuery Web UI共享数据集使用具有您想要提供的访问权限请记住，使用这种方法，用户只能访问数据集，并且要执行诸如查询表之类的操作，他们需要自己的 GCP 项目，并且在该项目中拥有“bigquery.jobs.create ”权限项目级别，这是必需的。

关于其工作原理的一个明显示例是公共数据集，您可以访问其中的数据，但必须从您自己的项目中查询它。

2. 共享数据集和项目访问权限（以运行查询）：

此选项需要与第一个选项一样共享数据集，此外，还需要级别项目的某些权限才能执行特定操作，例如运行查询。要允许用户对您的项目运行查询（此执行的计费将转到您的计费帐户），您需要向用户提供“bigquery.jobs.create”要允许用户在您的项目上运行查询（此执行的计费将转到您的计费帐户），您需要在项目级别；此权限不会提供对数据集的访问，它允许在项目内进行查询。

如果由于某种原因您只提供“bigquery.jobs.create”权限并且没有数据集访问权限，他们将只能查询公共数据集。

对于这种特殊情况，您可以在项目级别提供“BigQuery 作业用户”预定义 IAM角色，该角色是包含所需权限的 3 个角色中范围较低的角色。