Dem Dienstkonto Nutzerberechtigungen erteilen

Auf dieser Seite wird beschrieben, wie Sie Cloud Data Fusion die Dataproc-Rolle Dienstkontonutzer zuweisen, damit sie Pipelines in Dataproc-Clustern bereitstellen und ausführen kann.

Für Dienstkonten, die von Dataproc verwendet werden, müssen Sie außerdem Gewähren Sie die Berechtigung datafusion.instances.runtime für den Zugriff. Cloud Data Fusion-Laufzeitressourcen

Unabhängig davon, ob Sie ein nutzerverwaltetes Dienstkonto oder das Compute Engine-Standarddienstkonto auf den virtuellen Maschinen in einem Cluster verwenden, müssen Sie Cloud Data Fusion die Rolle "Dienstkontonutzer" zuweisen. Andernfalls kann Cloud Data Fusion keinen Dataproc-Cluster bereitstellen und der folgende Fehler wird angezeigt, wenn Sie eine Datenpipeline ausführen:

PROVISION task failed in REQUESTING_CREATE state for program run [pipeline-name] due to Dataproc operation failure: INVALID_ARGUMENT: User not authorized to act as service account '[service-account-name]'

Name des Dienstkontos abrufen

  1. Rufen Sie in der Google Cloud Console die Seite „Identity and Access Management“ auf.
    Zur Seite „IAM”
  2. Wählen Sie in der Projektauswahl oben auf der Seite das Projekt, den Ordner oder die Organisation aus, zu der die Cloud Data Fusion-Instanz gehört.
  3. Suchen und kopieren Sie den Namen des Cloud Data Fusion-Dienstkontos. Verwenden Sie das folgende Format: service-[project-number]@gcp-sa-datafusion.iam.gserviceaccount.com.

Nutzerberechtigungen für Dienstkonten erteilen

  1. Rufen Sie in der Google Cloud Console die Seite Dienstkonten auf.
    Zur Seite "Dienstkonten"
  2. Klicken Sie auf Projekt auswählen und wählen Sie ein Projekt aus, den Dataproc-Cluster befindet. Klicken Sie auf Öffnen.

  3. Klicken Sie auf die E-Mail-Adresse des Dataproc-Dienstkontos.

  4. Klicken Sie auf den Tab Berechtigungen. Auf der Seite wird eine Liste der Hauptkonten angezeigt, Rollen für das Dienstkonto zugewiesen.

  5. Klicken Sie auf Zugriff erlauben.

  6. Fügen Sie den Cloud Data Fusion-Dienst in das Feld Neue Hauptkonten ein Kontonamen, den Sie zuvor kopiert haben.

  7. Wählen Sie die Rolle Dienstkontonutzer aus.

    Dienstkontonutzer

  8. Klicken Sie auf Speichern.

Dataproc-Dienstkonten Rollen zuweisen

Runner-Rollenberechtigung gewähren

Cloud Data Fusion-Runner-Rolle gewähren (roles/datafusion.runner) für Dienstkonten, die von Dataproc nutzen. Dadurch wird das Dataproc-Dienstkonto zum Ausführen von Cloud Data Fusion-Pipelines in Ihrem Projekt autorisiert. Weitere Informationen finden Sie unter Berechtigung zum Anhängen von Dienstkonten an Ressourcen verlangen.

Cloud Storage-Administratorberechtigung gewähren

Ab Cloud Data Fusion-Version 6.2.0 gewähren Sie den Rolle „Cloud Storage-Administrator“ (roles/storage.admin) für Dienstkonten, die von Dataproc in Ihrem Projekt

Nächste Schritte