このプロジェクトは、ユーザーが作成して所有します。デフォルトでは、Cloud Data Fusion はパイプラインを実行するエフェメラル Dataproc クラスタをこのプロジェクト内に作成します。
次の図は、テナント プロジェクトで実行されている Cloud Data Fusion インスタンスと、お客様のプロジェクトの Dataproc クラスタで実行されているパイプラインを示しています。
Cloud Data Fusion でのサービス アカウント
サービス アカウントは、Cloud Data Fusion がリソースにアクセスするための Cloud Data Fusion の ID を提供します。
Cloud Data Fusion API を有効にして Cloud Data Fusion インスタンスを作成すると、Service Networking、Dataproc、Cloud Storage、BigQuery、Spanner、Bigtable などのリソースにアクセスするためのサービス アカウントがプロジェクトに追加されます。このサービス アカウントは、Cloud Data Fusion API サービス エージェントと呼ばれます。
このサービス エージェントにはロールが自動的に付与されます。
サービス アカウントは、アカウント固有のメールアドレスで識別されます。
Cloud Data Fusion では、次のタイプのサービス アカウントが使用されます。詳細については、サービス アカウントの種類をご覧ください。
サービス エージェント。Cloud Data Fusion API サービス エージェントと呼ばれ、Cloud Data Fusion がお客様のリソースにアクセスするために作成されるため、お客様に代わって動作できます。テナント プロジェクトでお客様のプロジェクトのリソースにアクセスするために使用されます。たとえば、プレビューは Dataproc クラスタではなくメモリで実行されます。
デフォルトで Cloud Data Fusion サービス アカウントに割り当てられている Cloud Data Fusion API サービス エージェント（roles/datafusion.serviceAgent）Identity and Access Management ロールには、最適なユーザー エクスペリエンスを実現するための追加の権限が含まれています。セキュリティを強化するには、タスクに必要な最小限の権限のセットを備えたカスタムロールを作成し、Cloud Data Fusion サービス アカウントに割り当てます。
[[["わかりやすい","easyToUnderstand","thumb-up"],["問題の解決に役立った","solvedMyProblem","thumb-up"],["その他","otherUp","thumb-up"]],[["わかりにくい","hardToUnderstand","thumb-down"],["情報またはサンプルコードが不正確","incorrectInformationOrSampleCode","thumb-down"],["必要な情報 / サンプルがない","missingTheInformationSamplesINeed","thumb-down"],["翻訳に関する問題","translationIssue","thumb-down"],["その他","otherDown","thumb-down"]],["最終更新日 2025-08-12 UTC。"],[[["\u003cp\u003eCloud Data Fusion uses service accounts to access resources in both tenant and customer projects, enabling it to manage pipelines on the user's behalf.\u003c/p\u003e\n"],["\u003cp\u003eThe Cloud Data Fusion API Service Agent is a service account created automatically when enabling the Cloud Data Fusion API, granting it access to resources like Service Networking, Dataproc, Cloud Storage, and others.\u003c/p\u003e\n"],["\u003cp\u003eA default Compute Engine service account is also created to deploy jobs that access other Google Cloud resources, which can attach to a Dataproc cluster VM to enable Cloud Data Fusion to access Dataproc resources during pipeline runs.\u003c/p\u003e\n"],["\u003cp\u003eIn Cloud Data Fusion Enterprise edition, pipelines can run from a user-managed service account by creating a profile in the Cloud Data Fusion console, enhancing control and customization.\u003c/p\u003e\n"],["\u003cp\u003eCustomer project is owned by the customer and is the location where the ephemeral Dataproc cluster is located in order to run the user's pipelines.\u003c/p\u003e\n"]]],[],null,["# Service accounts in Cloud Data Fusion\n\nThis page describes how service accounts are used in Cloud Data Fusion. For\nmore information, see [Use service accounts](/iam/docs/service-accounts).\n\n### Tenant and customer projects\n\nCloud Data Fusion sets up service accounts to access resources in the\nfollowing projects:\n\nTenant project\n\n: Cloud Data Fusion creates a tenant project to hold the resources and\n services it needs to manage pipelines on your behalf. For example: running\n pipelines on your Dataproc clusters that reside in your customer\n project. A tenant project is not exposed to you, but when you create a\n private instance, you might need to use the tenant project name to set up VPC\n peering.\n\n For more information, see the Service Infrastructure documentation about\n [tenant projects](/service-infrastructure/docs/glossary#tenant).\n\nCustomer project\n\n: You create and own this project. By default, Cloud Data Fusion creates an\n ephemeral Dataproc cluster in this project to run the your\n pipelines.\n\nThe following diagram shows a Cloud Data Fusion instance running in a\ntenant project and a pipeline running on a Dataproc cluster in a\ncustomer project.\n\nService accounts in Cloud Data Fusion\n-------------------------------------\n\nA service account provides an identity for Cloud Data Fusion, which gives\nCloud Data Fusion access to your resources.\n\nWhen you enable the Cloud Data Fusion API and create a\nCloud Data Fusion instance, a service account is added to your project to\naccess resources like Service Networking,\nDataproc, Cloud Storage, BigQuery, Spanner,\nand Bigtable. This service account is called the\n[Cloud Data Fusion API Service Agent](/iam/docs/understanding-roles#datafusion.serviceAgent).\nRoles are automatically granted to this service agent.\n\nA service account is identified by its email address, which is unique to the\naccount.\n\nThe following types of service accounts are used in Cloud Data Fusion. For\nmore information, see [Types of service accounts](/iam/docs/service-account-types).\n\nWhat's next\n-----------\n\n- Learn about [controlling access to data](/data-fusion/docs/access-control).\n- [Give Service Account User permissions](/data-fusion/docs/how-to/granting-service-account-permission).\n- See Cloud Data Fusion [pricing](/data-fusion/pricing)."]]
