Cloud Composer 3 | Cloud Composer 2 | Cloud Composer 1
本页介绍了如何访问位于与 Cloud Composer 环境不同的Google Cloud 项目中的资源。
我们建议您通过以下方式访问其他 Google Cloud 项目中的资源:
在 DAG 中,使用环境中预配置的默认连接。
例如,许多Google Cloud 运算符都使用
google_cloud_default
连接,并且系统会在您创建环境时自动配置该连接。向环境的服务账号授予额外的 IAM 权限和角色,以便其可以访问其他项目中的资源。
确定环境的服务账号
如需确定环境的服务账号,请执行以下操作:
控制台
在 Google Cloud 控制台中,前往环境页面。
在环境列表中,点击您的环境名称。环境详情页面会打开。
转到环境配置标签页。
您环境的服务账号会列在服务账号字段中。
此值为电子邮件地址,例如
service-account-name@example-project.iam.gserviceaccount.com
。
gcloud
gcloud composer environments describe ENVIRONMENT_NAME \
--location LOCATION \
--format="get(config.nodeConfig.serviceAccount)"
此值为电子邮件地址,例如 service-account-name@example-project.iam.gserviceaccount.com
。
授予 IAM 角色和权限以访问其他项目中的资源
您的环境的服务账号需要访问其他项目中的资源的权限。这些角色和权限可能会因您要访问的资源而异。
访问特定资源
我们建议您为特定资源(例如位于其他项目中的单个 Cloud Storage 存储分区)授予角色和权限。在此方法中,您将基于资源的访问权限与条件角色绑定搭配使用。
如需访问特定资源,请执行以下操作:
- 请按照配置基于资源的访问权限指南操作。
- 授予角色和权限时,请将环境的服务账号指定为正文。
访问资源类型
或者,您也可以根据资源类型(例如位于其他项目中的所有 Cloud Storage 存储分区)授予角色和权限。
如需访问某种资源类型,请执行以下操作:
- 请按照管理对其他资源的访问权限指南操作。
- 授予角色和权限时,请将环境的服务账号指定为正文。
授予所需权限和角色后,您可以访问其他项目中的资源,其中使用的默认 Airflow 连接与您用于访问环境所在项目中的资源相同。