一个批处理作业通过 bq CLI 运行 SQL 文件并将输出传输到另一个进程，但 bq CLI 报告权限错误。您如何修复服务账号权限，以便 CLI 可以运行查询？

要使服务账号能够运行 BigQuery 查询，它需要执行两项主要操作：读取数据（如果查询涉及现有表）和创建并运行作业（即查询本身）。BigQuery Data Viewer 角色提供了读取 BigQuery 数据集的权限，而 BigQuery Job User 角色则允许服务账号创建和运行 BigQuery 作业（包括查询）。因此，授予这两个角色可以解决权限错误。 BigQuery Data Editor 角色包含了 Data Viewer 的权限，但还额外提供了修改数据的能力，这对于仅仅运行查询来说是过度的权限，且不符合最小权限原则。创建 BigQuery 视图或复制表并不能解决服务账号本身缺乏执行查询权限的问题，这些操作只是改变了数据访问的方式，而不是赋予了服务账号执行操作的能力。