google-analytics - GA 导出到 BigQuery 需要哪些权限？

Question

我想设置到 BigQuery 的 GA 导出。我正在按照描述的步骤进行操作 here .在步骤 2.5 中，它指出:

Add the service account to your project.

Add analytics-processing-dev@system.gserviceaccount.com as a member of the project, and ensure that permission at the project level is set to Editor (as opposed to BigQuery Data Editor). Editor permission is required in order to export data from Analytics to BigQuery.

但是，我不愿意在我的项目中提供这样的提升权限(“项目编辑器”将允许完全访问我项目中的所有资源)。

为什么 GA 导出需要如此高的权限才能仅与 BigQuery 对话，是否有办法为服务帐户提供最低权限？

Answer 1

我怀疑文档已经过时，并且没有及时更新 BigQuery 的 IAM 和权限的变化。

您不需要授予“Project Editor”访问服务帐户的权限。事实上，为通用服务帐户提供如此高的安全权限违反了最小权限原则。

相反，创建一个 custom role在 IAM 中，具有以下最低 BigQuery 权限才能进行导出。这样，它只能与您项目中的 BigQuery 交互:

1. bigquery.datasets.create(允许 GA 创建用于导出的数据集)
2. bigquery.jobs.create(允许 GA 运行加载作业)
3. bigquery.tables.create(允许 GA 创建表)
4. bigquery.tables.delete(允许 GA 删除当天的表)