Permissões mínimas necessárias para a conta de serviço do Cloud Data Fusion

Este documento explica quais permissões conceder à conta de serviço do Cloud Data Fusion ao criar um papel personalizado que permite o acesso aos seus recursos.

Por padrão, o papel do Identity and Access Management do agente de serviço da API Cloud Data Fusion (roles/datafusion.serviceAgent) é atribuído à conta de serviço do Cloud Data Fusion. Essa função é altamente permissiva. Em vez disso, use papéis personalizados para fornecer apenas as permissões necessárias ao principal da conta de serviço.

Para mais informações sobre as contas de serviço do Cloud Data Fusion, consulte Contas de serviço no Cloud Data Fusion.

Para mais informações sobre como criar papéis personalizados, consulte Criar um papel personalizado.

Permissões necessárias para a conta de serviço do Cloud Data Fusion

Ao criar um papel personalizado para a conta de serviço do Cloud Data Fusion, conceda as seguintes permissões com base nas tarefas que você planeja realizar na instância. Isso permite que o Cloud Data Fusion acesse seus recursos.

Tarefa Permissões necessárias
Receber clusters do Dataproc
  • dataproc.clusters.get
Crie um bucket do Cloud Storage por instância do Cloud Data Fusion e faça upload de arquivos para execução de jobs do Dataproc
  • storage.buckets.get
  • storage.objects.get
  • storage.buckets.create
  • storage.objects.create
  • storage.objects.update
  • storage.buckets.delete
  • storage.objects.delete
Publicar registros no Cloud Logging
  • logging.logEntries.create
Publicar métricas do Cloud no Cloud Monitoring
  • monitoring.metricDescriptors.create
  • monitoring.metricDescriptors.get
  • monitoring.metricDescriptors.list
  • monitoring.monitoredResourceDescriptors.get
  • monitoring.monitoredResourceDescriptors.list
  • monitoring.timeSeries.create
Criar uma instância do Cloud Data Fusion com peering de VPC
  • compute.globalOperations.get
  • compute.networks.addPeering
  • compute.networks.removePeering
  • compute.networks.update
  • compute.networks.get
Crie uma instância do Cloud Data Fusion com uma zona de peering de DNS entre projetos de clientes e locatários.
  • dns.managedZones.create
  • dns.managedZones.delete
  • dns.managedZones.get
  • dns.managedZones.list
  • dns.networks.bindPrivateDNSZone
  • dns.networks.targetWithPeeringZone
Crie uma instância do Cloud Data Fusion com o Private Service Connect
  • compute.networkAttachments.get
  • compute.networkAttachments.update
  • compute.networkAttachments.list

A seguir