Dataproc Serverless-Dienstkonto

Hinweis: Sicherheitsanforderung: Sie benötigen die Berechtigung „Dienstkonto“ActAs, um Dataproc Serverless-Arbeitslasten auszuführen. Die Rolle Dienstkontonutzer umfasst diese Berechtigung. Ausführliche Informationen zu Dienstkontoberechtigungen finden Sie unter Rollen für die Dienstkontoauthentifizierung.

In diesem Dokument wird beschrieben, wie Sie Rollen für Identity and Access Management-Dienstkonten aufrufen und verwalten. Eine Dataproc Serverless for Spark-Batcharbeitslast oder interaktive Sitzung wird als Compute Engine-Standarddienstkonto ausgeführt, es sei denn, Sie geben beim Senden einer Batcharbeitslast, Erstellen einer Sitzung oder Erstellen einer Sitzungslaufzeitvorlage ein benutzerdefiniertes Dienstkonto an.

Erforderliche Dataproc-Worker-Rolle

Das Dienstkonto für die Dataproc Serverless-Arbeitslast muss die Rolle Dataproc Worker für Identity and Access Management haben. Das Compute Engine-Standarddienstkonto ([e-mail]), das von Dataproc Serverless verwendet wird, hat standardmäßig diese Rolle. Wenn Sie ein eigenes Dienstkonto für Ihre Batch-Arbeitslast, Sitzung oder Sitzungsvorlage angeben, müssen Sie Ihrem Dienstkonto die Rolle „Dataproc-Worker“ zuweisen. Für andere Vorgänge, z. B. das Lesen und Schreiben von Daten in BigQuery, sind möglicherweise zusätzliche Rollen erforderlich.

Hinweis :In einigen Projekten wurde dem Arbeitslast-Dienstkonto möglicherweise automatisch die Rolle Bearbeiter für das Projekt zugewiesen. Diese Rolle umfasst die Berechtigungen der Rolle „Dataproc-Worker“ sowie zusätzliche Berechtigungen, die für Dataproc Serverless nicht erforderlich sind. Um dem Sicherheitsgrundsatz der geringsten Berechtigung zu folgen, ersetzen Sie die Rolle Bearbeiter des Arbeitslast-Dienstkontos durch die Rolle Dataproc-Worker.

IAM-Dienstkontorollen ansehen und verwalten

So rufen Sie die Rollen auf, die dem Dienstkonto für die Dataproc Serverless-Arbeitslast zugewiesen sind, und verwalten sie:

1. Öffnen Sie in der Google Cloud Console die Seite IAM.

   IAM aufrufen

2. Klicken Sie auf Von Google bereitgestellte Rollenzuweisungen einschließen.

3. Rufen Sie die für das Arbeitslast-Dienstkonto aufgeführten Rollen auf. Auf der folgenden Abbildung ist die erforderliche Rolle Dataproc-Worker für das Standarddienstkonto der Compute Engine ([e-mail]) aufgeführt, das in Dataproc Serverless standardmäßig als Arbeitslast-Dienstkonto verwendet wird.

   

4. Sie können auf das Stiftsymbol in der Zeile des Dienstkontos klicken, um Dienstkontorollen zuzuweisen oder zu entfernen.