Permisos mínimos necesarios para la cuenta de servicio de Cloud Data Fusion

En este documento se explica qué permisos debes conceder a la cuenta de servicio de Cloud Data Fusion cuando creas un rol personalizado que le permite acceder a tus recursos.

De forma predeterminada, el rol de Gestión de Identidades y Accesos Agente de servicio de la API de Cloud Data Fusion (roles/datafusion.serviceAgent) se asigna a la cuenta de servicio de Cloud Data Fusion. Este rol tiene muchos permisos. En su lugar, puedes usar roles personalizados para proporcionar solo los permisos que necesite el principal de la cuenta de servicio.

Para obtener más información sobre las cuentas de servicio de Cloud Data Fusion, consulta el artículo Cuentas de servicio en Cloud Data Fusion.

Para obtener más información sobre cómo crear roles personalizados, consulta el artículo Crear un rol personalizado.

Permisos necesarios para la cuenta de servicio de Cloud Data Fusion

Cuando crees un rol personalizado para la cuenta de servicio de Cloud Data Fusion, otorga los siguientes permisos en función de las tareas que vayas a realizar en tu instancia. De esta forma, Cloud Data Fusion puede acceder a tus recursos.

Tarea Los permisos que requiere
Obtener clústeres de Dataproc
  • dataproc.clusters.get
Crea un segmento de Cloud Storage por instancia de Cloud Data Fusion y sube archivos para la ejecución de tareas de Dataproc.
  • storage.buckets.get
  • storage.objects.get
  • storage.buckets.create
  • storage.objects.create
  • storage.objects.update
  • storage.buckets.delete
  • storage.objects.delete
Publicar registros en Cloud Logging
  • logging.logEntries.create
Publicar métricas de Cloud en Cloud Monitoring
  • monitoring.metricDescriptors.create
  • monitoring.metricDescriptors.get
  • monitoring.metricDescriptors.list
  • monitoring.monitoredResourceDescriptors.get
  • monitoring.monitoredResourceDescriptors.list
  • monitoring.timeSeries.create
Crea una instancia de Cloud Data Fusion con emparejamiento de VPC.
  • compute.globalOperations.get
  • compute.networks.addPeering
  • compute.networks.removePeering
  • compute.networks.update
  • compute.networks.get
Crear una instancia de Cloud Data Fusion con una zona de peering de DNS entre los proyectos del cliente y del arrendatario
  • dns.managedZones.create
  • dns.managedZones.delete
  • dns.managedZones.get
  • dns.managedZones.list
  • dns.networks.bindPrivateDNSZone
  • dns.networks.targetWithPeeringZone
Crea una instancia de Cloud Data Fusion con Private Service Connect.
  • compute.networkAttachments.get
  • compute.networkAttachments.update
  • compute.networkAttachments.list

Siguientes pasos