Compte de service Dataproc sans serveur

Remarque :Exigence de sécurité: Vous devez disposer de l'autorisation ActAs de compte de service pour exécuter des charges de travail Dataproc sans serveur. Le rôle Utilisateur du compte de service contient cette autorisation. Pour en savoir plus sur les autorisations des comptes de service, consultez la section Rôles pour l'authentification des comptes de service.

Ce document explique comment afficher et gérer les rôles des comptes de service Identity and Access Management. Une charge de travail par lot ou une session interactive Dataproc sans serveur pour Spark s'exécute en tant que compte de service Compute Engine par défaut, sauf si vous spécifiez un compte de service personnalisé lorsque vous envoyez une charge de travail par lot, créez une session ou créez un modèle d'exécution de session.

Rôle Nœud de calcul Dataproc requis

Le compte de service de la charge de travail Dataproc sans serveur doit disposer du rôle Nœud de calcul Dataproc pour Identity and Access Management. Le compte de service Compute Engine par défaut ([e-mail]) utilisé par Dataproc sans serveur dispose de ce rôle par défaut. Si vous spécifiez votre propre compte de service pour votre charge de travail par lot, votre session ou votre modèle de session, vous devez attribuer le rôle "Nœud de calcul Dataproc" à votre compte de service. D'autres rôles peuvent être nécessaires pour d'autres opérations, telles que la lecture et l'écriture de données dans BigQuery.

Remarque :Dans certains projets, le compte de service de la charge de travail peut avoir reçu automatiquement le rôle Éditeur du projet, qui inclut les autorisations du rôle Nœud de calcul Dataproc ainsi que des autorisations supplémentaires qui ne sont pas nécessaires à Dataproc sans serveur. Pour suivre le principe de sécurité du moindre privilège, remplacez le rôle Éditeur du compte de service de la charge de travail par le rôle Nœud de calcul Dataproc.

Afficher et gérer les rôles des comptes de service IAM

Pour afficher et gérer les rôles attribués au compte de service de la charge de travail Dataproc sans serveur, procédez comme suit:

1. Dans la console Google Cloud, accédez à la page IAM.

   Accéder à IAM

2. Cliquez sur Inclure les attributions de rôles fournies par Google.

3. Afficher les rôles listés pour le compte de service de la charge de travail. L'image suivante montre le rôle Nœud de calcul Dataproc requis pour le compte de service Compute Engine par défaut ([e-mail]) que Dataproc sans serveur utilise par défaut comme compte de service de la charge de travail.

   

4. Vous pouvez cliquer sur l'icône en forme de crayon affichée sur la ligne du compte de service pour attribuer ou supprimer des rôles de compte de service.