本文档详细介绍了与分配给 Looker (Google Cloud Core)服务代理的默认 IAM 权限相关的安全更新。
为了遵循最小权限原则并提高数据安全性，Google 将弃用旧版 Looker 服务代理角色 (roles/looker.serviceAgent)，并将其替换为新的、权限范围缩小的角色 (roles/looker.restrictedServiceAgent)。
旧版角色默认授予广泛的 BigQuery 权限，这可能会允许 Looker 管理员使用 Looker SQL Runner 执行数据修改查询。为降低此风险，Google 已主动将新的受限角色附加到您现有的 Looker 服务账号。不过，在旧版角色永久停用之前，您必须手动操作，重新授予必要的 BigQuery 权限。
您需要做什么
为确保您的 Looker 工作流程和持久性派生表 (PDT) 继续正常运行，请在 2027 年 1 月 11 日（旧版角色被弃用）之前完成以下步骤：
1. 授予明确的 BigQuery 权限
如果您的 Looker 实例依赖于 BigQuery，您必须明确向 Looker 服务代理授予所需的 BigQuery 角色：
service-PROJECT_NUMBER@gcp-sa-looker.iam.gserviceaccount.com
将 PROJECT_NUMBER 替换为您的 Google Cloud 项目编号。
至少授予以下角色：
- BigQuery Job User (
roles/bigquery.jobUser)：在指定的结算项目中授予此角色，以允许执行查询。 - BigQuery Data Viewer (
roles/bigquery.dataViewer)：在数据所在的特定项目上授予此角色。 - BigQuery Data Editor (
roles/bigquery.dataEditor)：如果您的实例会构建 PDT，请在用于 PDT 的特定数据集或项目上授予此角色。
或者，您也可以将 Looker 服务代理配置为模拟具有这些特定权限的专用服务账号。
2. 移除旧版角色
在授予明确的 BigQuery 权限后，请在 Google Cloud 控制台中手动移除 Looker 服务代理的旧版 roles/looker.serviceAgent 角色绑定：
- 在 Google Cloud 控制台中，转到 IAM 页面。
- 找到您的 Looker 服务代理 (
service-PROJECT_NUMBER@gcp-sa-looker.iam.gserviceaccount.com)。 - 移除旧版
roles/looker.serviceAgent角色绑定。
不采取行动的影响
如果您未授予明确的 BigQuery 角色，并且旧版角色在 2027 年 1 月 11 日自动弃用，您的 Looker 实例可能会失去运行 BigQuery 作业的能力，从而导致查询中断、信息中心失败和 PDT build 损坏。
需要帮助？
如需详细了解如何为 Looker 配置 BigQuery 权限，请参阅 Google BigQuery 文档。
如果您在此迁移过程中有任何疑问或需要帮助，请与 Google Cloud 支持团队联系。