为了减少由于工程错误导致数据丢失的机会，特定的 spanner 数据库如何授予单个服务帐户的独占权限？还是有更好的方法来做到这一点？
通常有几个人在谷歌云上的一个项目中被授予广泛的权利。这样他们就可以部署生产服务、处理 pagerduty 事件等。 据我所知，不可能减去已经授予的权限。 理想情况下，IAM 将允许删除对单个 spanner 数据库的所有权限，但打算访问它的指定服务帐户除外。
即使开发人员已被授予对项目的广泛（即所有者）访问权限，是否有办法防止删除 google spanner 数据库？
不是现在。
但是，将来可能会在 IAM 中创建自定义角色，您可以在其中授予所有权限，除了您希望在 Cloud Spanner 上限制的权限。然后，您可以将此自定义角色分配给需要广泛但不是完整项目权限的人员。有关更多详细信息，请参阅创建和管理自定义角色的 Alpha 文档。
Cloud IAM 还提供创建自定义 Cloud IAM 角色的能力。您可以创建具有一项或多项权限的自定义 Cloud IAM 角色，然后将该自定义角色授予属于您组织的用户。Cloud IAM 提供了用于创建和管理自定义角色的 UI 和 API。
同时，您在单独的项目中隔离 Spanner 实例的解决方法似乎是合理的。
据我所知，不可能减去已经授予的权限。
在此期间，您可以尝试撤销对广泛访问的角色帐户的访问权限，并限制他们对Cloud Spanner DatabaseReader|Viewer|DatabaseUser 角色的访问权限。然后可以为特殊角色帐户授予 Cloud Spanner Admin|DatabaseAdmin 角色（受限开发人员成员资格）的权限。