Otorga permisos de usuario a la cuenta de servicio

En esta página, se describe cómo otorgar la función de Usuario de cuenta de servicio de Dataproc a Cloud Data Fusion para permitir que aprovisione y ejecute canalizaciones en los clústeres de Dataproc.

Para las cuentas de servicio que usa Dataproc, también debes hacer lo siguiente: otorgar permiso datafusion.instances.runtime para acceder Recursos del entorno de ejecución de Cloud Data Fusion.

Nota: A partir de la versión 6.2.3 de Cloud Data Fusion, puedes otorgar estos permisos en la IU cuando creas una instancia.
Para obtener los permisos que necesitas para crear una instancia de Cloud Data Fusion, pide a tu administrador que te otorgue el rol de IAM de administrador de cuentas de servicio (roles/iam.serviceAccountAdmin) en la cuenta de servicio de Dataproc.

Ya sea que uses una cuenta de servicio administrada por el usuario o la Compute Engine predeterminada de Compute Engine en las máquinas virtuales de un clúster, debes otorgar Usuario de cuenta de servicio a Cloud Data Fusion. De lo contrario, Cloud Data Fusion no puede aprovisionar un clúster de Dataproc y aparece el siguiente error cuando ejecutas una canalización de datos:

PROVISION task failed in REQUESTING_CREATE state for program run [pipeline-name] due to Dataproc operation failure: INVALID_ARGUMENT: User not authorized to act as service account '[service-account-name]'

Obtén el nombre de la cuenta de servicio

1. En la consola de Google Cloud, ve a la página Identity and Access Management.
   Ir a la página de IAM
2. Elige el proyecto desde el selector de proyectos en la parte superior de la página. organización o carpeta a la que la instancia de Cloud Data Fusion pertenece.
3. Busca y copia el nombre de la cuenta de servicio de Cloud Data Fusion. Usa el siguiente formato: service-[project-number]@gcp-sa-datafusion.iam.gserviceaccount.com.

Otorgar permiso de usuario a la cuenta de servicio

1. En la consola de Google Cloud, ve a la página Cuentas de servicio.
   Ir a la página Cuentas de servicio
2. Haz clic en Seleccionar un proyecto, elige un proyecto en el que esté la cuenta de servicio usar para el clúster de Dataproc y, luego, Haz clic en Open.

3. Haz clic en la dirección de correo electrónico de la cuenta de servicio de Dataproc.

   Cuando Cloud Data Fusion aprovisiona en un clúster de Dataproc, puedes especificar qué recursos cuenta de servicio para usar en las máquinas virtuales de Dataproc en en ese clúster. Si no se especifica una cuenta de servicio, la configuración se usa la cuenta de servicio de Compute Engine, que tiene el formato [project-number][e-mail]

4. Haz clic en la pestaña Permisos. En la página, se muestra una lista de las principales tengan roles en la cuenta de servicio.

5. Haz clic en Grant access.

6. En el campo Principales nuevas, pega el servicio de Cloud Data Fusion. el nombre de la cuenta que copiaste anteriormente.

7. Selecciona la función Usuario de cuenta de servicio.

   

8. Haz clic en Guardar.

Otorga roles a cuentas de servicio de Dataproc

Otorgar permiso de rol de ejecutor

Otorga el rol de ejecutor de Cloud Data Fusion (roles/datafusion.runner) a las cuentas de servicio que usa Dataproc. Esto autoriza al servicio de Dataproc para ejecutar canalizaciones de Cloud Data Fusion en tu proyecto. Para obtener más información, consulta Solicita permiso para conectar cuentas de servicio a recursos.

Otorga permiso de administrador de Cloud Storage

En las versiones 6.2.0 y posteriores de Cloud Data Fusion, otorga la Rol de administrador de Cloud Storage (roles/storage.admin) a las cuentas de servicio que usan Dataproc en tu proyecto

¿Qué sigue?

• Obtén más información sobre el control de acceso en Cloud Data Fusion.
• Obtén más información sobre las cuentas de servicio de Cloud Data Fusion.