Dataproc サーバーレスの権限と IAM ロール

概要

Identity and Access Management(IAM)を使用すると、プロジェクトのリソースに対するユーザーとグループのアクセスを制御できます。このドキュメントでは、Dataproc サーバーレスに関係する IAM の権限と、それらの権限を付与する IAM ロールについて説明します。

Dataproc サーバーレスの権限

Dataproc サーバーレスの権限により、サービス アカウントを含むユーザーは Dataproc サーバーレス リソースに対するアクションを実行できます。たとえば、dataproc.batches.create 権限は、プロジェクト内で Dataproc サーバーレス バッチを作成できます。ユーザーには権限を直接付与するのではなく、ロールを割り当てます。ロールには、1 つ以上の権限が組み込まれています。

次の表に、Dataproc サーバーレス API(メソッド)を呼び出すのに必要な権限を示します。表は、各 Dataproc サーバーレス リソース(バッチとオペレーション)に関連付けられた API ごとに整理されています。

バッチ権限

メソッド 必要な権限
projects.locations.batches.create dataproc.batches.create 1
projects.locations.batches.delete dataproc.batches.delete
projects.locations.batches.get dataproc.batches.get
projects.locations.batches.list dataproc.batches.list
  1. dataproc.batches.create には、gcloud コマンドライン ツールからステータスの更新を取得できるように dataproc.batches.get 権限と dataproc.operations.get 権限も必要です。

オペレーション権限

メソッド 必要な権限
projects.regions.operations.get dataproc.operations.get
projects.regions.operations.list dataproc.operations.list
projects.regions.operations.cancel 1 dataproc.operations.cancel
projects.regions.operations.delete dataproc.operations.delete
projects.regions.operations.getIamPolicy dataproc.operations.getIamPolicy
projects.regions.operations.setIamPolicy dataproc.operations.setIamPolicy
  1. バッチ オペレーションをキャンセルするには、dataproc.operations.canceldataproc.batches.cancel 権限も必要です。

Dataproc サーバーレスのロール

Dataproc サーバーレスの IAM ロールとは、1 つ以上の権限をまとめたものです。ロールを付与されたユーザーまたはグループは、プロジェクト内の Dataproc サーバーレス リソースに対する操作を行えるようになります。たとえば、Dataproc 閲覧者のロールには、dataproc.batches.get 権限と dataproc.batches.list 権限が含まれており、プロジェクト内の Dataproc サーバーレス バッチの取得と一覧表示ができます。

次の表に、Dataproc サーバーレスの IAM ロールと、各ロールに関連付けられた権限を示します。

ロール ID 権限
roles/dataproc.admin dataproc.batches.cancel
dataproc.batches.create
dataproc.batches.delete
dataproc.batches.get
dataproc.batches.list
roles/dataproc.editor dataproc.batches.cancel
dataproc.batches.create
dataproc.batches.delete
dataproc.batches.get
dataproc.batches.list
roles/dataproc.viewer dataproc.batches.get
dataproc.batches.list

プロジェクトのロール

IAM プロジェクトのロールを使用して、権限をプロジェクト レベルで設定することもできます。ここで、IAM プロジェクトのロールに関連付けられた権限の概要を示します。

プロジェクトのロール 権限
プロジェクト閲覧者 状態を変更しない読み取り専用アクション(get、list)に関するすべてのプロジェクト権限
プロジェクト編集者 すべてのプロジェクト閲覧者権限+状態を変更するアクション(create、delete、update、use、cancel、stop、start)に関するすべてのプロジェクト権限
プロジェクト所有者 すべてのプロジェクト編集者権限+プロジェクトに対するアクセス制御を管理(get/set IamPolicy)し、プロジェクト課金をセットアップするための権限

カスタムロール

Dataproc のバッチ権限は、コンソールまたは gcloud コマンドライン ツールを使用してカスタムロールに追加できます。

IAM の管理

IAM ポリシーの取得と設定には、Google Cloud Console、IAM API、gcloud コマンドライン ツールを使用できます。

次のステップ