Cloud Composer 1 | Cloud Composer 2 | Cloud Composer 3
Auf dieser Seite wird beschrieben, wie Sie auf Ressourcen zugreifen, die sich in einem anderen Google Cloud-Projekt als Ihrer Cloud Composer-Umgebung befinden.
Wir empfehlen, so auf Ressourcen in anderen Google Cloud-Projekten zuzugreifen:
Verwenden Sie in Ihren DAGs die in Ihrer Umgebung vorkonfigurierten Standardverbindungen.
Die Verbindung
google_cloud_default
wird beispielsweise von vielen Google Cloud-Operatoren verwendet und beim Erstellen einer Umgebung automatisch konfiguriert.Gewähren Sie dem Dienstkonto Ihrer Umgebung zusätzliche IAM-Berechtigungen und -Rollen, damit es auf Ressourcen in einem anderen Projekt zugreifen kann.
Dienstkonto der Umgebung ermitteln
So ermitteln Sie das Dienstkonto Ihrer Umgebung:
Console
Rufen Sie in der Google Cloud Console die Seite Umgebungen auf.
Klicken Sie in der Liste der Umgebungen auf den Namen Ihrer Umgebung. Die Seite Umgebungsdetails wird geöffnet.
Rufen Sie den Tab Umgebungskonfiguration auf.
Das Dienstkonto Ihrer Umgebung ist im Feld Dienstkonto aufgeführt.
Der Wert ist eine E-Mail-Adresse wie
service-account-name@example-project.iam.gserviceaccount.com
.
gcloud
gcloud composer environments describe ENVIRONMENT_NAME \
--location LOCATION \
--format="get(config.nodeConfig.serviceAccount)"
Der Wert ist eine E-Mail-Adresse wie service-account-name@example-project.iam.gserviceaccount.com
.
IAM-Rollen und ‐Berechtigungen für den Zugriff auf Ressourcen in einem anderen Projekt gewähren
Das Dienstkonto Ihrer Umgebung benötigt Berechtigungen für den Zugriff auf Ressourcen in einem anderen Projekt. Diese Rollen und Berechtigungen können je nach Ressource variieren, auf die Sie zugreifen möchten.
Auf eine bestimmte Ressource zugreifen
Wir empfehlen, Rollen und Berechtigungen für bestimmte Ressourcen zu gewähren, z. B. für einen einzelnen Cloud Storage-Bucket in einem anderen Projekt. Bei diesem Ansatz verwenden Sie den ressourcenbasierten Zugriff mit bedingten Rollenbindungen.
So greifen Sie auf eine bestimmte Ressource zu:
- Folgen Sie der Anleitung unter Ressourcenbasierten Zugriff konfigurieren.
- Wenn Sie Rollen und Berechtigungen gewähren, geben Sie das Dienstkonto Ihrer Umgebung als Hauptkonto an.
Auf einen Ressourcentyp zugreifen
Alternativ können Sie Rollen und Berechtigungen basierend auf dem Ressourcentyp gewähren, z. B. alle Cloud Storage-Buckets in einem anderen Projekt.
So greifen Sie auf einen Ressourcentyp zu:
- Folgen Sie der Anleitung unter Zugriff auf andere Ressourcen verwalten.
- Wenn Sie Rollen und Berechtigungen gewähren, geben Sie das Dienstkonto Ihrer Umgebung als Hauptkonto an.
Nachdem Sie die erforderlichen Berechtigungen und Rollen gewährt haben, können Sie mit denselben Airflow-Standardverbindungen auf Ressourcen in einem anderen Projekt zugreifen, die Sie für den Zugriff auf Ressourcen in dem Projekt verwenden, in dem sich Ihre Umgebung befindet.
Nächste Schritte
- Zugriffssteuerung mit IAM
- Airflow-Verbindungen verwalten
- Einschränkungen für Ressourcenstandorte konfigurieren