Accéder aux ressources d'un autre projet

Airflow géré (3e génération) | Airflow géré (2e génération) | Airflow géré (1re génération, version héritée)

Cette page explique comment accéder aux ressources qui se trouvent dans un Google Cloud projet différent de votre environnement Managed Airflow.

Si vous souhaitez utiliser un compte de service d'un projet pour exécuter des environnements dans un autre projet, consultez Utiliser un compte de service d'un autre projet.

Si vous souhaitez utiliser des opérateurs Airflow pour interagir avec des environnements Managed Airflow, y compris des environnements dans d'autres projets, consultez Déclencher des DAG dans d'autres environnements et projets.

Nous vous recommandons d'accéder aux ressources d'autres Google Cloud projets de la manière suivante :

  1. Dans vos DAG, utilisez les connexions par défaut préconfigurées dans votre environnement.

    Par exemple, la connexion google_cloud_default est utilisée par de nombreux Google Cloud opérateurs et est configurée automatiquement lorsque vous créez un environnement.

  2. Accordez des autorisations et des rôles IAM supplémentaires au compte de service de votre environnement afin qu'il puisse accéder aux ressources d'un autre projet.

Déterminer le compte de service de votre environnement

Pour déterminer le compte de service de votre environnement :

Console

  1. Dans la Google Cloud console, accédez à la page Environnements.

    Accéder à la page Environnements

  2. Dans la liste des environnements, cliquez sur le nom de votre environnement. La page Détails de l'environnement s'ouvre.

  3. Accédez à l'onglet Configuration de l'environnement.

  4. Le compte de service de votre environnement est répertorié dans le champ Compte de service.

    La valeur est une adresse e-mail, telle que service-account-name@example-project.iam.gserviceaccount.com.

gcloud 

gcloud composer environments describe ENVIRONMENT_NAME \
    --location LOCATION \
    --format="get(config.nodeConfig.serviceAccount)"

La valeur est une adresse e-mail, telle que service-account-name@example-project.iam.gserviceaccount.com.

Accorder des rôles et des autorisations IAM pour accéder aux ressources d'un autre projet

Le compte de service de votre environnement nécessite des autorisations pour accéder aux ressources d'un autre projet. Ces rôles et autorisations peuvent varier en fonction de la ressource à laquelle vous souhaitez accéder.

Accéder à une ressource spécifique

Nous vous recommandons d'accorder des rôles et des autorisations pour des ressources spécifiques, telles qu'un seul bucket Cloud Storage situé dans un autre projet. Dans cette approche, vous utilisez un accès basé sur les ressources avec des liaisons de rôle conditionnelles.

Pour accéder à une ressource spécifique :

  1. Suivez le guide Configurer un accès basé sur les ressources.
  2. Lorsque vous accordez des rôles et des autorisations, spécifiez le compte de service de votre environnement en tant que principal.

Accéder à un type de ressource

Vous pouvez également accorder des rôles et des autorisations en fonction du type de ressource, par exemple tous les buckets Cloud Storage situés dans un autre projet.

Pour accéder à un type de ressource :

  1. Suivez le guide Gérer l'accès à d'autres ressources.
  2. Lorsque vous accordez des rôles et des autorisations, spécifiez le compte de service de votre environnement en tant que principal.

Une fois que vous avez accordé les autorisations et les rôles requis, vous pouvez accéder aux ressources d'un autre projet avec les mêmes connexions Airflow par défaut que celles utilisées pour accéder aux ressources du projet dans lequel se trouve votre environnement.

Étape suivante