Account di servizio Dataproc Serverless

Nota: requisito di sicurezza: devi disporre dell'autorizzazione ActAs per l'account di servizio per eseguire i carichi di lavoro Dataproc Serverless. Il ruolo Utente account di servizio contiene questa autorizzazione. Per informazioni dettagliate sulle autorizzazioni degli account di servizio, consulta Ruoli per l'autenticazione degli account di servizio.

Questo documento descrive come visualizzare e gestire i ruoli degli account di servizio Identity and Access Management. Un carico di lavoro batch o una sessione interattiva di Dataproc Serverless per Spark viene eseguito come account di servizio predefinito di Compute Engine, a meno che non specifichi un account di servizio personalizzato quando invii un carico di lavoro batch, crei una sessione o crei un modello di runtime della sessione.

Ruolo del worker Dataproc obbligatorio

L'account di servizio del carico di lavoro Dataproc Serverless deve avere il ruolo Dataproc Worker di Identity and Access Management. L'account di servizio predefinito di Compute Engine ([e-mail]) utilizzato da Dataproc Serverless ha questo ruolo per impostazione predefinita. Se specifichi il tuo account di servizio per il tuo carico di lavoro batch, la sessione o il modello di sessione, devi concedere il ruolo Dataproc Worker al tuo account di servizio. Potrebbero essere necessari ruoli aggiuntivi per altre operazioni, come la lettura e la scrittura di dati in BigQuery.

Nota: in alcuni progetti all'account di servizio del carico di lavoro potrebbe essere stato concesso automaticamente il ruolo Editor del progetto, che include le autorizzazioni del ruolo Dataproc Worker oltre ad autorizzazioni aggiuntive non necessarie per Dataproc Serverless. Per seguire il principio del privilegio minimo, sostituisci il ruolo Editor dell'account di servizio del carico di lavoro con il ruolo Dataproc Worker.

Visualizzare e gestire i ruoli degli account di servizio IAM

Per visualizzare e gestire i ruoli concessi all'account di servizio del carico di lavoro Dataproc Serverless, segui questi passaggi:

1. Nella console Google Cloud, vai alla pagina IAM.

   Vai a IAM

2. Fai clic su Includi concessioni di ruoli fornite da Google.

3. Visualizza i ruoli elencati per l'account di servizio del carico di lavoro. L'immagine seguente mostra il ruolo Dataproc Worker richiesto elencato per l'account di servizio predefinito di Compute Engine ([e-mail]) che Dataproc Serverless utilizza per impostazione predefinita come account di servizio del carico di lavoro.

   

4. Puoi fare clic sull'icona a forma di matita visualizzata nella riga dell'account di servizio per concedere o rimuovere i ruoli dell'account di servizio.