Dataproc Serverless 服务账号

注意 ：安全要求：您需要具有服务账号 ActAs 权限才能执行 Dataproc Serverless 工作负载。Service Account User 角色包含此权限。如需详细了解服务账号权限，请参阅用于服务账号身份验证的角色。

本文档介绍了如何查看和管理 Identity and Access Management 服务账号角色。Dataproc Serverless for Spark 批处理工作负载或交互式会话作为 Compute Engine 默认服务账号运行，除非您在提交批处理工作负载、创建会话或创建会话运行时模板时指定自定义服务账号。

所需的 Dataproc Worker 角色

Dataproc Serverless 工作负载服务账号必须具有 Identity and Access Management Dataproc Worker 角色。Dataproc Serverless 使用的 Compute Engine 默认服务账号 ([e-mail]) 默认具有此角色。如果您为批处理工作负载、会话或会话模板指定了自己的服务账号，则必须向该服务账号授予 Dataproc Worker 角色。如需执行其他操作（例如向 BigQuery 读写数据），可能还需要具备其他角色。

注意 ：在某些项目中，系统可能会自动向工作负载服务账号授予项目编辑者角色，其中包括 Dataproc Worker 角色权限以及 Dataproc Serverless 不需要的其他权限。为了遵循最小权限这一安全最佳实践原则，请将工作负载服务账号的 Editor 角色替换为 Dataproc Worker 角色。

查看和管理 IAM 服务账号角色

如需查看和管理授予 Dataproc Serverless 工作负载服务账号的角色，请执行以下操作：

1. 在 Google Cloud 控制台中，转到 IAM 页面。

   转到 IAM

2. 点击包括 Google 提供的角色授权。

3. 查看为工作负载服务账号列出的角色。下图显示了为 Compute Engine 默认服务账号 ([e-mail]) 列出的必需 Dataproc Worker 角色。Dataproc Serverless 默认将该账号用作工作负载服务账号。

   

4. 您可以点击服务账号行上显示的铅笔图标，授予或移除服务账号。