GA导出到BigQuery所需的权限是什么？

Question

我想设置GA导出到BigQuery。我正在按照here所述的步骤进行操作。在步骤2.5中，它声明：

  

将服务帐户添加到您的项目中。

     

将analytics-processing-dev@system.gserviceaccount.com添加为成员   项目，并确保项目级别的权限设置为   编辑器（与BigQuery数据编辑器相对）。编辑许可是   为了将数据从Analytics导出到BigQuery所必需的。

但是，我不愿意在我的项目中提供这样的提升权限（“项目编辑器”将允许完全访问我项目中的所有资源）。

为什么GA导出需要这样的提升权限才能与BigQuery交谈，是否有办法为服务帐户提供最低权限？

Answer 1

我怀疑文档已过时，并且未及时更新BigQuery的IAM和权限。

您不需要授予"Project Editor"访问服务帐户的权限。事实上，在通用服务帐户上提供这种提升的安全权限违反了最小权限原则。

相反，在IAM中创建custom role，并使用以下最小BigQuery权限进行导出。这样，它只能与项目中的BigQuery进行交互：

1. bigquery.datasets.create（允许GA创建要导出的数据集）
2. bigquery.jobs.create（允许GA运行加载作业）
3. bigquery.tables.create（允许GA创建表格）
4. bigquery.tables.delete（允许GA删除日内表格）