本文將詳細說明有關 Looker (Google Cloud Core) 服務代理程式預設 IAM 權限的安全更新。
為遵守最小權限原則並提升資料安全性，Google 將淘汰舊版 Looker 服務代理角色 (roles/looker.serviceAgent)，並以新的範圍縮減角色 (roles/looker.restrictedServiceAgent) 取代。
根據預設，舊版角色會授予廣泛的 BigQuery 權限，這可能會允許 Looker 管理員使用 Looker SQL Runner 執行資料修改查詢。為降低這項風險，Google 已主動將新的受限角色附加至現有的 Looker 服務帳戶。不過，您必須手動操作，在舊版角色永久停用前，重新授予必要的 BigQuery 權限。
需要採取的行動
為確保 Looker 工作流程和永久衍生資料表 (PDT) 能持續運作，請在 2027 年 1 月 11 日停用舊版角色前，完成下列步驟：
1. 授予明確的 BigQuery 權限
如果 Looker 執行個體依賴 BigQuery，您必須明確將必要的 BigQuery 角色授予 Looker 服務代理程式：
service-PROJECT_NUMBER@gcp-sa-looker.iam.gserviceaccount.com
將 PROJECT_NUMBER 替換為 Google Cloud 專案編號。
至少要授予下列角色：
- BigQuery 工作使用者
(
roles/bigquery.jobUser)：在指定計費專案中授予此角色，允許執行查詢。 - BigQuery 資料檢視者
(
roles/bigquery.dataViewer)：在資料所在的特定專案中授予此角色。 - BigQuery 資料編輯者
(
roles/bigquery.dataEditor)：如果執行個體會建構 PDT，請在用於 PDT 的特定資料集或專案中授予此角色。
或者，您也可以設定 Looker 服務代理模擬專屬服務帳戶，該帳戶擁有這些特定權限。
2. 移除舊版角色
授予明確的 BigQuery 權限後，請在 Google Cloud 控制台中，手動移除 Looker 服務代理的舊版 roles/looker.serviceAgent 角色繫結：
- 前往 Google Cloud 控制台的「IAM」(身分與存取權管理) 頁面。
- 找出 Looker 服務代理 (
service-PROJECT_NUMBER@gcp-sa-looker.iam.gserviceaccount.com)。 - 移除舊版
roles/looker.serviceAgent角色繫結。
不採取行動的影響
如果您未明確授予 BigQuery 角色，且舊版角色於 2027 年 1 月 11 日自動淘汰，Looker 執行個體可能會失去執行 BigQuery 工作的能力，導致查詢中斷、資訊主頁失敗，以及 PDT 建構作業中斷。
需要協助嗎？
如需設定 Looker 的 BigQuery 權限詳細操作說明，請參閱 Google BigQuery 說明文件。
如在遷移期間有任何疑問或需要協助，請與 Google Cloud Support聯絡。