Permissões mínimas necessárias para a conta de serviço do Cloud Data Fusion

Este documento explica quais permissões conceder à conta de serviço do Cloud Data Fusion ao criar uma função personalizada que permita o acesso aos seus recursos.

Por padrão, o papel do Identity and Access Management do agente de serviço da API Data Fusion (roles/datafusion.serviceAgent) é atribuído à conta de serviço do Cloud Data Fusion. Esse papel é altamente permissivo. Em vez disso, você pode usar papéis personalizados para fornecer apenas as permissões de que o principal da conta de serviço precisa.

Para mais informações sobre as contas de serviço do Cloud Data Fusion, consulte Contas de serviço no Cloud Data Fusion.

Para mais informações sobre como criar funções personalizadas, consulte Criar uma função personalizada.

Permissões necessárias para a conta de serviço do Cloud Data Fusion

Ao criar uma função personalizada para a conta de serviço do Cloud Data Fusion, conceda as seguintes permissões com base nas tarefas que você planeja realizar na instância. Isso permite que o Cloud Data Fusion acesse seus recursos.

Tarefa Permissões necessárias
Receber clusters do Managed Service for Apache Spark
  • dataproc.clusters.get
Criar um bucket do Cloud Storage por instância do Cloud Data Fusion e fazer upload de arquivos para execução de jobs do Managed Service for Apache Spark
  • storage.buckets.get
  • storage.objects.get
  • storage.buckets.create
  • storage.objects.create
  • storage.objects.update
  • storage.buckets.delete
  • storage.objects.delete
Publicar registros no Cloud Logging
  • logging.logEntries.create
Publicar métricas do Cloud no Cloud Monitoring
  • monitoring.metricDescriptors.create
  • monitoring.metricDescriptors.get
  • monitoring.metricDescriptors.list
  • monitoring.monitoredResourceDescriptors.get
  • monitoring.monitoredResourceDescriptors.list
  • monitoring.timeSeries.create
Criar uma instância do Cloud Data Fusion com o VPC Peering
  • compute.globalOperations.get
  • compute.networks.addPeering
  • compute.networks.removePeering
  • compute.networks.update
  • compute.networks.get
Criar uma instância do Cloud Data Fusion com uma zona de peering de DNS entre projetos de clientes e locatários
  • dns.managedZones.create
  • dns.managedZones.delete
  • dns.managedZones.get
  • dns.managedZones.list
  • dns.networks.bindPrivateDNSZone
  • dns.networks.targetWithPeeringZone
Criar uma instância do Cloud Data Fusion com Private Service Connect
  • compute.networkAttachments.get
  • compute.networkAttachments.update
  • compute.networkAttachments.list

A seguir