הרשאות ותפקידים ב-Managed Service for Apache Spark באשכולות

ניהול זהויות והרשאות גישה (IAM) מאפשר לכם לשלוט בגישה של משתמשים וקבוצות למשאבים בפרויקט. במאמר הזה נתמקד בהרשאות ב-IAM שרלוונטיות ל-Managed Service for Apache Spark ובתפקידים ב-IAM שמעניקים את ההרשאות האלה.

הרשאות ב-Managed Service for Apache Spark באשכולות

דרישת אבטחה החל מ-3 באוגוסט 2020: משתמשים ב-Managed Service for Apache Spark צריכים הרשאת ActAs לחשבון שירות כדי לפרוס משאבים של Managed Service for Apache Spark, למשל כדי ליצור אשכולות ולהפעיל תהליכי עבודה. מידע מפורט על הרשאות לחשבון שירות זמין במאמר תפקידים לאימות של חשבונות שירות.

הסכמה של משתמשים קיימים ב-Managed Service for Apache Spark: משתמשים קיימים ב-Managed Service for Apache Spark נכון ל-3 באוגוסט 2020 יכולים להביע הסכמה לדרישת האבטחה הזו (ראו אבטחת Managed Service for Apache Spark,‏ Dataflow ו-Cloud Data Fusion).

ההרשאות של Managed Service for Apache Spark מאפשרות למשתמשים, כולל חשבונות שירות, לבצע פעולות באשכולות, במשימות, בפעולות ובתבניות של תהליכי עבודה ב-Managed Service for Apache Spark. לדוגמה, ההרשאה dataproc.clusters.create מאפשרת למשתמש ליצור אשכולות של Managed Service for Apache Spark בפרויקט. בדרך כלל לא מעניקים הרשאות, אלא מקצים תפקידים שכוללים הרשאה אחת או יותר.

בטבלאות הבאות מפורטות ההרשאות שנדרשות כדי לקרוא לממשקי (methods) Managed Service for Apache Spark API. הטבלאות מסודרות לפי ממשקי ה-API שמשויכים לכל משאב של Managed Service for Apache Spark (אשכולות, משימות, פעולות ותבניות של תהליכי עבודה).

היקף ההרשאות: ההיקף של ההרשאות של Managed Service for Apache Spark שמפורטות בטבלאות הבאות הוא הפרויקט שמכיל את ההרשאות (היקף cloud-platform). Google Cloudהרשאות של חשבון שירות

דוגמאות:

• ההרשאה dataproc.clusters.create מאפשרת ליצור אשכולות של Managed Service for Apache Spark בפרויקט המכיל
• ‫dataproc.jobs.create מאפשר שליחת משימות של Managed Service for Apache Spark לאשכולות של Managed Service for Apache Spark בפרויקט המכיל
• ההרשאה dataproc.clusters.list מאפשרת הצגת פרטים של אשכולות Managed Service for Apache Spark בפרויקט המכיל

ההרשאות הנדרשות לשיטות של אשכולות

‏Method	ההרשאות הנדרשות
‫projects.regions.clusters.create ^1, 2	dataproc.clusters.create
projects.regions.clusters.get	dataproc.clusters.get
projects.regions.clusters.list	dataproc.clusters.list
projects.regions.clusters.patch ^1, 2, 3	dataproc.clusters.update
projects.regions.clusters.delete ^1	dataproc.clusters.delete
projects.regions.clusters.start	dataproc.clusters.start
projects.regions.clusters.stop	dataproc.clusters.stop
projects.regions.clusters.getIamPolicy	dataproc.clusters.getIamPolicy
projects.regions.clusters.setIamPolicy	dataproc.clusters.setIamPolicy

הערות:

1. ההרשאה dataproc.operations.get נדרשת גם כדי לקבל עדכוני סטטוס מ-Google Cloud CLI.
2. נדרשת גם ההרשאה dataproc.clusters.get כדי לקבל את תוצאת הפעולה מ-Google Cloud CLI.
3. נדרשת גם הרשאה dataproc.autoscalingPolicies.use כדי להפעיל מדיניות של שינוי גודל אוטומטי באשכול.

ההרשאות הנדרשות לשיטות של Jobs

‏Method	ההרשאות הנדרשות
projects.regions.jobs.submit ^1, 2	dataproc.jobs.create dataproc.clusters.use
projects.regions.jobs.get	dataproc.jobs.get
projects.regions.jobs.list	dataproc.jobs.list
projects.regions.jobs.cancel ^1	dataproc.jobs.cancel
projects.regions.jobs.patch ^1	dataproc.jobs.update
projects.regions.jobs.delete ^1	dataproc.jobs.delete
projects.regions.jobs.getIamPolicy	dataproc.jobs.getIamPolicy
projects.regions.jobs.setIamPolicy	dataproc.jobs.setIamPolicy

הערות:

1. בנוסף, ל-Google Cloud CLI נדרשת הרשאה לפקודות dataproc.jobs.get, jobs submit, jobs wait, jobs update, jobs delete ו-jobs kill.

2. בנוסף, ל-CLI של gcloud נדרשת ההרשאה dataproc.clusters.get כדי לשלוח משימות. דוגמה להגדרת ההרשאות שנדרשות למשתמש כדי להריץ gcloud dataproc jobs submit באשכול באמצעות IAM גרנולרי ב-Managed Service for Apache Spark (ראו שליחת משימות באמצעות IAM גרנולרי).

הרשאות שנדרשות לשיטות פעולה

‏Method	ההרשאות הנדרשות
projects.regions.operations.get	dataproc.operations.get
projects.regions.operations.list	dataproc.operations.list
projects.regions.operations.cancel	dataproc.operations.cancel
projects.regions.operations.delete	dataproc.operations.delete
projects.regions.operations.getIamPolicy	dataproc.operations.getIamPolicy
projects.regions.operations.setIamPolicy	dataproc.operations.setIamPolicy

ההרשאות שנדרשות לשימוש בשיטות של תבניות זרימת עבודה

‏Method	ההרשאות הנדרשות
projects.regions.workflowTemplates.instantiate	dataproc.workflowTemplates.instantiate
projects.regions.workflowTemplates.instantiateInline	dataproc.workflowTemplates.instantiateInline
projects.regions.workflowTemplates.create	dataproc.workflowTemplates.create
projects.regions.workflowTemplates.get	dataproc.workflowTemplates.get
projects.regions.workflowTemplates.list	dataproc.workflowTemplates.list
projects.regions.workflowTemplates.update	dataproc.workflowTemplates.update
projects.regions.workflowTemplates.delete	dataproc.workflowTemplates.delete
projects.regions.workflowTemplates.getIamPolicy	dataproc.workflowTemplates.getIamPolicy
projects.regions.workflowTemplates.setIamPolicy	dataproc.workflowTemplates.setIamPolicy

הערות:

1. ההרשאות של תבנית בתהליך העבודה לא תלויות בהרשאות של האשכול והמשימה. משתמש ללא הרשאות create cluster או submit job יכול ליצור תבנית של תהליך עבודה ולהפעיל אותה.

2. בנוסף, כדי להשתמש ב-Google Cloud CLI, צריך לתת הרשאה dataproc.operations.get כדי לבדוק אם תהליך העבודה הסתיים.

3. נדרשת הרשאה ל-dataproc.operations.cancel כדי לבטל תהליך עבודה פעיל.

ההרשאות שנדרשות לשיטות של מדיניות שינוי גודל אוטומטי

‏Method	ההרשאות הנדרשות
projects.regions.autoscalingPolicies.create	dataproc.autoscalingPolicies.create
projects.regions.autoscalingPolicies.get	dataproc.autoscalingPolicies.get
projects.regions.autoscalingPolicies.list	dataproc.autoscalingPolicies.list
projects.regions.autoscalingPolicies.update	dataproc.autoscalingPolicies.update
projects.regions.autoscalingPolicies.delete	dataproc.autoscalingPolicies.delete
projects.regions.autoscalingPolicies.getIamPolicy	dataproc.autoscalingPolicies.getIamPolicy
projects.regions.autoscalingPolicies.setIamPolicy	dataproc.autoscalingPolicies.setIamPolicy

הערות:

1. נדרשת הרשאה dataproc.autoscalingPolicies.use כדי להפעיל מדיניות של התאמה אוטומטית לעומס באשכול עם בקשת שיטה clusters.patch.

ההרשאות הנדרשות לשיטות של קבוצות צמתים

‏Method	ההרשאות הנדרשות
projects.regions.nodeGroups.create	dataproc.nodeGroups.create
projects.regions.nodeGroups.get	dataproc.nodeGroups.get
projects.regions.nodeGroups.resize	dataproc.nodeGroups.update

תפקידים ב-Managed Service for Apache Spark

תפקידי IAM ב-Managed Service for Apache Spark הם חבילה של הרשאה אחת או יותר. אתם מעניקים תפקידים למשתמשים או לקבוצות כדי לאפשר להם לבצע פעולות במשאבים של Managed Service for Apache Spark בפרויקט. לדוגמה, התפקיד Managed Service for Apache Spark Viewer מכיל את ההרשאות get ו-list, שמאפשרות למשתמש לקבל ולהציג רשימה של אשכולות, משימות ופעולות של Managed Service for Apache Spark בפרויקט.

בטבלה הבאה מפורטים התפקידים שמכילים את ההרשאות הנדרשות ליצירה ולניהול של אשכולות Managed Service for Apache Spark.

הקצאת תפקיד ל	תפקידים
משתמש	מקצים למשתמשים את התפקידים הבאים: תפקיד Dataproc Editor כדי ליצור ולנהל אשכולות של Managed Service for Apache Spark. התפקיד משתמש בחשבון שירות בחשבון השירות של המכונה הווירטואלית Managed Service for Apache Spark.
חשבון שירות	מקצים לחשבון השירות של המכונה הווירטואלית של Managed Service for Apache Spark את התפקיד Dataproc Worker.

שימו לב לנקודות הבאות:

• יכול להיות שתצטרכו להקצות לחשבון השירות של מכונת ה-VM של Managed Service for Apache Spark תפקידים מוגדרים מראש או תפקידים בהתאמה אישית נוספים, שמכילים את ההרשאות שנדרשות לפעולות אחרות, כמו קריאה וכתיבה של נתונים מ-Cloud Storage, מ-BigQuery, מ-Cloud Logging וממשאבים אחרים של Google Cloud .

• בפרויקטים מסוימים, יכול להיות שלחשבון השירות של מכונת ה-VM של Managed Service for Apache Spark הוענק אוטומטית התפקיד עריכה בפרויקט, שכולל את ההרשאות של התפקיד 'עובד' ב-Dataproc, בתוספת הרשאות נוספות שלא נדרשות לפעולות של מישור הנתונים ב-Managed Service for Apache Spark. כדי לפעול לפי העיקרון של שיטות מומלצות לאבטחה – הרשאות מינימליות – צריך להחליף את התפקיד Editor בתפקיד Dataproc Worker (ראו הצגת תפקידי חשבון השירות של מכונה וירטואלית).

האם צריך להקצות תפקידים?

יכול להיות שהתפקיד הנדרש כבר הוענק לכם, בהתאם למדיניות הארגון.

בדיקת התפקידים שהוקצו למשתמשים

כדי לראות אם למשתמש מסוים הוקצה תפקיד, פועלים לפי ההוראות במאמר ניהול הגישה לפרויקטים, לתיקיות ולארגונים > הצגת הגישה הנוכחית.

בדיקת התפקידים שניתנו לחשבונות שירות

כדי לבדוק אם לחשבון שירות הוקצה תפקיד, אפשר לעיין במאמר הצגה וניהול של תפקידי IAM בחשבון שירות.

בדיקת התפקידים שניתנו לחשבון שירות

כדי לבדוק אם למשתמש מסוים הוקצה תפקיד בחשבון שירות, פועלים לפי ההוראות במאמר ניהול הגישה לחשבונות שירות > הצגת הגישה הנוכחית.

חיפוש תפקידים והרשאות ב-Managed Service for Apache Spark

בקטע הבא אפשר לחפש תפקידים והרשאות של Managed Service for Apache Spark.

Role	Permissions
Dataproc Administrator (roles/dataproc.admin) Full control of Dataproc resources.	cloudkms.keyHandles.* cloudkms.keyHandles.create cloudkms.keyHandles.get cloudkms.keyHandles.list cloudkms.operations.get cloudkms.projects.showEffectiveAutokeyConfig compute.machineTypes.* compute.machineTypes.get compute.machineTypes.list compute.networks.get compute.networks.list compute.projects.get compute.regions.* compute.regions.get compute.regions.list compute.zones.* compute.zones.get compute.zones.list dataproc.autoscalingPolicies.* dataproc.autoscalingPolicies.create dataproc.autoscalingPolicies.delete dataproc.autoscalingPolicies.get dataproc.autoscalingPolicies.getIamPolicy dataproc.autoscalingPolicies.list dataproc.autoscalingPolicies.setIamPolicy dataproc.autoscalingPolicies.update dataproc.autoscalingPolicies.use dataproc.batches.* dataproc.batches.analyze dataproc.batches.cancel dataproc.batches.create dataproc.batches.delete dataproc.batches.get dataproc.batches.list dataproc.batches.sparkApplicationRead dataproc.batches.sparkApplicationWrite dataproc.clusters.* dataproc.clusters.create dataproc.clusters.delete dataproc.clusters.get dataproc.clusters.getIamPolicy dataproc.clusters.list dataproc.clusters.repair dataproc.clusters.setIamPolicy dataproc.clusters.start dataproc.clusters.stop dataproc.clusters.update dataproc.clusters.use dataproc.jobs.* dataproc.jobs.cancel dataproc.jobs.create dataproc.jobs.delete dataproc.jobs.get dataproc.jobs.getIamPolicy dataproc.jobs.list dataproc.jobs.setIamPolicy dataproc.jobs.update dataproc.nodeGroups.* dataproc.nodeGroups.create dataproc.nodeGroups.get dataproc.nodeGroups.update dataproc.operations.* dataproc.operations.cancel dataproc.operations.delete dataproc.operations.get dataproc.operations.getIamPolicy dataproc.operations.list dataproc.operations.setIamPolicy dataproc.sessionTemplates.* dataproc.sessionTemplates.create dataproc.sessionTemplates.delete dataproc.sessionTemplates.get dataproc.sessionTemplates.list dataproc.sessionTemplates.update dataproc.sessions.* dataproc.sessions.create dataproc.sessions.delete dataproc.sessions.get dataproc.sessions.list dataproc.sessions.sparkApplicationRead dataproc.sessions.sparkApplicationWrite dataproc.sessions.terminate dataproc.workflowTemplates.* dataproc.workflowTemplates.create dataproc.workflowTemplates.delete dataproc.workflowTemplates.get dataproc.workflowTemplates.getIamPolicy dataproc.workflowTemplates.instantiate dataproc.workflowTemplates.instantiateInline dataproc.workflowTemplates.list dataproc.workflowTemplates.setIamPolicy dataproc.workflowTemplates.update dataprocrm.nodePools.* dataprocrm.nodePools.create dataprocrm.nodePools.delete dataprocrm.nodePools.deleteNodes dataprocrm.nodePools.get dataprocrm.nodePools.list dataprocrm.nodePools.resize dataprocrm.nodes.get dataprocrm.nodes.heartbeat dataprocrm.nodes.list dataprocrm.nodes.update dataprocrm.operations.get dataprocrm.operations.list dataprocrm.workloads.* dataprocrm.workloads.cancel dataprocrm.workloads.create dataprocrm.workloads.delete dataprocrm.workloads.get dataprocrm.workloads.list resourcemanager.projects.get resourcemanager.projects.list
Dataproc Editor (roles/dataproc.editor) Provides the permissions necessary for viewing the resources required to manage Managed Service for Apache Spark, including machine types, networks, projects, and zones. Lowest-level resources where you can grant this role: Cluster	cloudkms.keyHandles.* cloudkms.keyHandles.create cloudkms.keyHandles.get cloudkms.keyHandles.list cloudkms.operations.get cloudkms.projects.showEffectiveAutokeyConfig compute.machineTypes.* compute.machineTypes.get compute.machineTypes.list compute.networks.get compute.networks.list compute.projects.get compute.regions.* compute.regions.get compute.regions.list compute.zones.* compute.zones.get compute.zones.list dataproc.autoscalingPolicies.create dataproc.autoscalingPolicies.delete dataproc.autoscalingPolicies.get dataproc.autoscalingPolicies.list dataproc.autoscalingPolicies.update dataproc.autoscalingPolicies.use dataproc.batches.* dataproc.batches.analyze dataproc.batches.cancel dataproc.batches.create dataproc.batches.delete dataproc.batches.get dataproc.batches.list dataproc.batches.sparkApplicationRead dataproc.batches.sparkApplicationWrite dataproc.clusters.create dataproc.clusters.delete dataproc.clusters.get dataproc.clusters.list dataproc.clusters.repair dataproc.clusters.start dataproc.clusters.stop dataproc.clusters.update dataproc.clusters.use dataproc.jobs.cancel dataproc.jobs.create dataproc.jobs.delete dataproc.jobs.get dataproc.jobs.list dataproc.jobs.update dataproc.nodeGroups.* dataproc.nodeGroups.create dataproc.nodeGroups.get dataproc.nodeGroups.update dataproc.operations.cancel dataproc.operations.delete dataproc.operations.get dataproc.operations.list dataproc.sessionTemplates.* dataproc.sessionTemplates.create dataproc.sessionTemplates.delete dataproc.sessionTemplates.get dataproc.sessionTemplates.list dataproc.sessionTemplates.update dataproc.sessions.* dataproc.sessions.create dataproc.sessions.delete dataproc.sessions.get dataproc.sessions.list dataproc.sessions.sparkApplicationRead dataproc.sessions.sparkApplicationWrite dataproc.sessions.terminate dataproc.workflowTemplates.create dataproc.workflowTemplates.delete dataproc.workflowTemplates.get dataproc.workflowTemplates.instantiate dataproc.workflowTemplates.instantiateInline dataproc.workflowTemplates.list dataproc.workflowTemplates.update dataprocrm.nodePools.* dataprocrm.nodePools.create dataprocrm.nodePools.delete dataprocrm.nodePools.deleteNodes dataprocrm.nodePools.get dataprocrm.nodePools.list dataprocrm.nodePools.resize dataprocrm.nodes.get dataprocrm.nodes.heartbeat dataprocrm.nodes.list dataprocrm.nodes.update dataprocrm.operations.get dataprocrm.operations.list dataprocrm.workloads.* dataprocrm.workloads.cancel dataprocrm.workloads.create dataprocrm.workloads.delete dataprocrm.workloads.get dataprocrm.workloads.list resourcemanager.projects.get resourcemanager.projects.list
Dataproc Viewer (roles/dataproc.viewer) Provides read-only access to Managed Service for Apache Spark resources. Lowest-level resources where you can grant this role: Cluster	compute.machineTypes.get compute.regions.* compute.regions.get compute.regions.list compute.zones.* compute.zones.get compute.zones.list dataproc.autoscalingPolicies.get dataproc.autoscalingPolicies.list dataproc.batches.analyze dataproc.batches.get dataproc.batches.list dataproc.batches.sparkApplicationRead dataproc.clusters.get dataproc.clusters.list dataproc.jobs.get dataproc.jobs.list dataproc.nodeGroups.get dataproc.operations.get dataproc.operations.list dataproc.sessionTemplates.get dataproc.sessionTemplates.list dataproc.sessions.get dataproc.sessions.list dataproc.sessions.sparkApplicationRead dataproc.workflowTemplates.get dataproc.workflowTemplates.list resourcemanager.projects.get resourcemanager.projects.list
Dataproc Hub Agent (roles/dataproc.hubAgent) Allows management of Dataproc resources. Intended for service accounts running Dataproc Hub instances.	compute.instances.get compute.instances.setMetadata compute.instances.setTags compute.zoneOperations.get compute.zones.list dataproc.autoscalingPolicies.get dataproc.autoscalingPolicies.list dataproc.autoscalingPolicies.use dataproc.clusters.create dataproc.clusters.delete dataproc.clusters.get dataproc.clusters.list dataproc.clusters.repair dataproc.clusters.update dataproc.operations.cancel dataproc.operations.delete dataproc.operations.get dataproc.operations.list iam.serviceAccounts.actAs iam.serviceAccounts.get iam.serviceAccounts.list logging.buckets.get logging.buckets.list logging.exclusions.get logging.exclusions.list logging.links.get logging.links.list logging.locations.* logging.locations.get logging.locations.list logging.logEntries.create logging.logEntries.list logging.logEntries.route logging.logMetrics.get logging.logMetrics.list logging.logScopes.get logging.logScopes.list logging.logServiceIndexes.list logging.logServices.list logging.logs.list logging.operations.get logging.operations.list logging.queries.getShared logging.queries.listShared logging.queries.usePrivate logging.sinks.get logging.sinks.list logging.usage.get logging.views.get logging.views.list observability.scopes.get resourcemanager.projects.get resourcemanager.projects.list storage.buckets.get storage.objects.get storage.objects.list
Dataproc Serverless Editor (roles/dataproc.serverlessEditor) Permissions needed to run serverless sessions and batches as a user	cloudkms.keyHandles.* cloudkms.keyHandles.create cloudkms.keyHandles.get cloudkms.keyHandles.list cloudkms.operations.get cloudkms.projects.showEffectiveAutokeyConfig compute.projects.get compute.regions.* compute.regions.get compute.regions.list compute.zones.* compute.zones.get compute.zones.list dataproc.batches.* dataproc.batches.analyze dataproc.batches.cancel dataproc.batches.create dataproc.batches.delete dataproc.batches.get dataproc.batches.list dataproc.batches.sparkApplicationRead dataproc.batches.sparkApplicationWrite dataproc.operations.cancel dataproc.operations.delete dataproc.operations.get dataproc.operations.list dataproc.sessionTemplates.* dataproc.sessionTemplates.create dataproc.sessionTemplates.delete dataproc.sessionTemplates.get dataproc.sessionTemplates.list dataproc.sessionTemplates.update dataproc.sessions.* dataproc.sessions.create dataproc.sessions.delete dataproc.sessions.get dataproc.sessions.list dataproc.sessions.sparkApplicationRead dataproc.sessions.sparkApplicationWrite dataproc.sessions.terminate dataprocrm.nodePools.* dataprocrm.nodePools.create dataprocrm.nodePools.delete dataprocrm.nodePools.deleteNodes dataprocrm.nodePools.get dataprocrm.nodePools.list dataprocrm.nodePools.resize dataprocrm.nodes.get dataprocrm.nodes.heartbeat dataprocrm.nodes.list dataprocrm.nodes.update dataprocrm.operations.get dataprocrm.operations.list dataprocrm.workloads.* dataprocrm.workloads.cancel dataprocrm.workloads.create dataprocrm.workloads.delete dataprocrm.workloads.get dataprocrm.workloads.list resourcemanager.projects.get resourcemanager.projects.list
Dataproc Serverless Node. (roles/dataproc.serverlessNode) Node access to Dataproc Serverless sessions and batches. Intended for service accounts.	dataproc.batches.sparkApplicationWrite dataproc.sessions.sparkApplicationRead dataproc.sessions.sparkApplicationWrite dataprocrm.nodePools.* dataprocrm.nodePools.create dataprocrm.nodePools.delete dataprocrm.nodePools.deleteNodes dataprocrm.nodePools.get dataprocrm.nodePools.list dataprocrm.nodePools.resize dataprocrm.nodes.list dataprocrm.operations.get
Dataproc Serverless Viewer (roles/dataproc.serverlessViewer) Permissions needed to view serverless sessions and batches	compute.projects.get compute.regions.* compute.regions.get compute.regions.list compute.zones.* compute.zones.get compute.zones.list dataproc.batches.get dataproc.batches.list dataproc.sessionTemplates.get dataproc.sessionTemplates.list dataproc.sessions.get dataproc.sessions.list resourcemanager.projects.get resourcemanager.projects.list
Dataproc Worker (roles/dataproc.worker) Provides worker access to Managed Service for Apache Spark resources. Intended for service accounts.	cloudprofiler.profiles.create cloudprofiler.profiles.update datalineage.locations.processOpenLineageMessage dataproc.agents.* dataproc.agents.create dataproc.agents.delete dataproc.agents.get dataproc.agents.list dataproc.agents.update dataproc.batches.sparkApplicationWrite dataproc.sessions.sparkApplicationWrite dataproc.tasks.* dataproc.tasks.lease dataproc.tasks.listInvalidatedLeases dataproc.tasks.reportStatus dataprocrm.nodePools.* dataprocrm.nodePools.create dataprocrm.nodePools.delete dataprocrm.nodePools.deleteNodes dataprocrm.nodePools.get dataprocrm.nodePools.list dataprocrm.nodePools.resize dataprocrm.nodes.get dataprocrm.nodes.heartbeat dataprocrm.nodes.list dataprocrm.nodes.mintOAuthToken dataprocrm.operations.get logging.logEntries.create logging.logEntries.route monitoring.metricDescriptors.create monitoring.metricDescriptors.get monitoring.metricDescriptors.list monitoring.monitoredResourceDescriptors.* monitoring.monitoredResourceDescriptors.get monitoring.monitoredResourceDescriptors.list monitoring.timeSeries.create storage.buckets.get storage.folders.* storage.folders.create storage.folders.delete storage.folders.get storage.folders.list storage.folders.rename storage.managedFolders.create storage.managedFolders.delete storage.managedFolders.get storage.managedFolders.list storage.multipartUploads.* storage.multipartUploads.abort storage.multipartUploads.create storage.multipartUploads.list storage.multipartUploads.listParts storage.objects.create storage.objects.createContext storage.objects.delete storage.objects.deleteContext storage.objects.get storage.objects.getIamPolicy storage.objects.list storage.objects.overrideUnlockedRetention storage.objects.restore storage.objects.setIamPolicy storage.objects.setRetention storage.objects.update storage.objects.updateContext

Service agent roles

Service agent roles should only be granted to service agents.

Role

Permissions

Dataproc Service Agent (roles/dataproc.serviceAgent) Gives Dataproc Service Account access to service accounts, compute resources, storage resources, and kubernetes resources. Includes access to service accounts. Warning: Do not grant service agent roles to any principals except service agents.

backupdr.backupPlanAssociations.createForComputeDisk backupdr.backupPlanAssociations.createForComputeInstance backupdr.backupPlanAssociations.deleteForComputeDisk backupdr.backupPlanAssociations.deleteForComputeInstance backupdr.backupPlanAssociations.fetchForComputeDisk backupdr.backupPlanAssociations.getForComputeDisk backupdr.backupPlanAssociations.list backupdr.backupPlanAssociations.triggerBackupForComputeDisk backupdr.backupPlanAssociations.triggerBackupForComputeInstance backupdr.backupPlanAssociations.updateForComputeDisk backupdr.backupPlanAssociations.updateForComputeInstance backupdr.backupPlans.get backupdr.backupPlans.list backupdr.backupPlans.useForComputeDisk backupdr.backupPlans.useForComputeInstance backupdr.backupVaults.get backupdr.backupVaults.list backupdr.locations.list backupdr.operations.get backupdr.operations.list backupdr.serviceConfig.initialize biglake.catalogs.get cloudaicompanion.instances.completeTask compute.acceleratorTypes.* compute.acceleratorTypes.get compute.acceleratorTypes.list compute.addresses.createInternal compute.addresses.deleteInternal compute.addresses.get compute.addresses.list compute.addresses.listEffectiveTags compute.addresses.listTagBindings compute.addresses.use compute.addresses.useInternal compute.autoscalers.* compute.autoscalers.create compute.autoscalers.delete compute.autoscalers.get compute.autoscalers.list compute.autoscalers.update compute.diskSettings.get compute.diskTypes.* compute.diskTypes.get compute.diskTypes.list compute.disks.create compute.disks.createSnapshot compute.disks.createTagBinding compute.disks.delete compute.disks.get compute.disks.list compute.disks.resize compute.disks.setLabels compute.disks.startAsyncReplication compute.disks.stopAsyncReplication compute.disks.stopGroupAsyncReplication compute.disks.update compute.disks.updateKmsKey compute.disks.use compute.disks.useReadOnly compute.firewalls.get compute.firewalls.list compute.globalAddresses.get compute.globalAddresses.list compute.globalAddresses.listEffectiveTags compute.globalAddresses.listTagBindings compute.globalAddresses.use compute.globalNetworkEndpointGroups.* compute.globalNetworkEndpointGroups.attachNetworkEndpoints compute.globalNetworkEndpointGroups.create compute.globalNetworkEndpointGroups.createTagBinding compute.globalNetworkEndpointGroups.delete compute.globalNetworkEndpointGroups.deleteTagBinding compute.globalNetworkEndpointGroups.detachNetworkEndpoints compute.globalNetworkEndpointGroups.get compute.globalNetworkEndpointGroups.list compute.globalNetworkEndpointGroups.listEffectiveTags compute.globalNetworkEndpointGroups.listTagBindings compute.globalNetworkEndpointGroups.use compute.globalOperations.get compute.globalOperations.list compute.hosts.* compute.hosts.get compute.hosts.getVersion compute.hosts.list compute.images.get compute.images.getFromFamily compute.images.list compute.images.useReadOnly compute.instanceGroupManagers.* compute.instanceGroupManagers.create compute.instanceGroupManagers.createTagBinding compute.instanceGroupManagers.delete compute.instanceGroupManagers.deleteTagBinding compute.instanceGroupManagers.get compute.instanceGroupManagers.list compute.instanceGroupManagers.listEffectiveTags compute.instanceGroupManagers.listTagBindings compute.instanceGroupManagers.update compute.instanceGroupManagers.use compute.instanceGroups.* compute.instanceGroups.create compute.instanceGroups.createTagBinding compute.instanceGroups.delete compute.instanceGroups.deleteTagBinding compute.instanceGroups.get compute.instanceGroups.list compute.instanceGroups.listEffectiveTags compute.instanceGroups.listTagBindings compute.instanceGroups.update compute.instanceGroups.use compute.instanceSettings.get compute.instanceTemplates.* compute.instanceTemplates.create compute.instanceTemplates.delete compute.instanceTemplates.get compute.instanceTemplates.getIamPolicy compute.instanceTemplates.list compute.instanceTemplates.setIamPolicy compute.instanceTemplates.useReadOnly compute.instances.* compute.instances.addAccessConfig compute.instances.addNetworkInterface compute.instances.addResourcePolicies compute.instances.attachDisk compute.instances.create compute.instances.createTagBinding compute.instances.delete compute.instances.deleteAccessConfig compute.instances.deleteNetworkInterface compute.instances.deleteTagBinding compute.instances.detachDisk compute.instances.get compute.instances.getEffectiveFirewalls compute.instances.getGuestAttributes compute.instances.getIamPolicy compute.instances.getScreenshot compute.instances.getSerialPortOutput compute.instances.getShieldedInstanceIdentity compute.instances.getShieldedVmIdentity compute.instances.list compute.instances.listEffectiveTags compute.instances.listReferrers compute.instances.listTagBindings compute.instances.osAdminLogin compute.instances.osLogin compute.instances.pscInterfaceCreate compute.instances.removeResourcePolicies compute.instances.reset compute.instances.resume compute.instances.sendDiagnosticInterrupt compute.instances.setDeletionProtection compute.instances.setDiskAutoDelete compute.instances.setIamPolicy compute.instances.setLabels compute.instances.setMachineResources compute.instances.setMachineType compute.instances.setMetadata compute.instances.setMinCpuPlatform compute.instances.setName compute.instances.setScheduling compute.instances.setSecurityPolicy compute.instances.setServiceAccount compute.instances.setShieldedInstanceIntegrityPolicy compute.instances.setShieldedVmIntegrityPolicy compute.instances.setTags compute.instances.simulateMaintenanceEvent compute.instances.start compute.instances.startWithEncryptionKey compute.instances.stop compute.instances.suspend compute.instances.update compute.instances.updateAccessConfig compute.instances.updateDisplayDevice compute.instances.updateNetworkInterface compute.instances.updateSecurity compute.instances.updateShieldedInstanceConfig compute.instances.updateShieldedVmConfig compute.instances.use compute.instances.useReadOnly compute.licenses.get compute.licenses.list compute.licenses.listEffectiveTags compute.licenses.listTagBindings compute.machineImages.* compute.machineImages.create compute.machineImages.createTagBinding compute.machineImages.delete compute.machineImages.deleteTagBinding compute.machineImages.get compute.machineImages.getIamPolicy compute.machineImages.list compute.machineImages.listEffectiveTags compute.machineImages.listTagBindings compute.machineImages.setIamPolicy compute.machineImages.setLabels compute.machineImages.useReadOnly compute.machineTypes.* compute.machineTypes.get compute.machineTypes.list compute.multiMig.* compute.multiMig.create compute.multiMig.delete compute.multiMig.get compute.multiMig.list compute.multiMigMembers.* compute.multiMigMembers.get compute.multiMigMembers.list compute.networkEndpointGroups.* compute.networkEndpointGroups.attachNetworkEndpoints compute.networkEndpointGroups.create compute.networkEndpointGroups.createTagBinding compute.networkEndpointGroups.delete compute.networkEndpointGroups.deleteTagBinding compute.networkEndpointGroups.detachNetworkEndpoints compute.networkEndpointGroups.get compute.networkEndpointGroups.list compute.networkEndpointGroups.listEffectiveTags compute.networkEndpointGroups.listTagBindings compute.networkEndpointGroups.use compute.networks.get compute.networks.getEffectiveFirewalls compute.networks.list compute.networks.listEffectiveTags compute.networks.listTagBindings compute.networks.setFirewallPolicy compute.networks.use compute.networks.useExternalIp compute.nodeGroups.get compute.nodeTypes.get compute.projects.get compute.regionFirewallPolicies.create compute.regionFirewallPolicies.createTagBinding compute.regionFirewallPolicies.delete compute.regionFirewallPolicies.deleteTagBinding compute.regionFirewallPolicies.get compute.regionFirewallPolicies.update compute.regionFirewallPolicies.use compute.regionNetworkEndpointGroups.* compute.regionNetworkEndpointGroups.attachNetworkEndpoints compute.regionNetworkEndpointGroups.create compute.regionNetworkEndpointGroups.createTagBinding compute.regionNetworkEndpointGroups.delete compute.regionNetworkEndpointGroups.deleteTagBinding compute.regionNetworkEndpointGroups.detachNetworkEndpoints compute.regionNetworkEndpointGroups.get compute.regionNetworkEndpointGroups.list compute.regionNetworkEndpointGroups.listEffectiveTags compute.regionNetworkEndpointGroups.listTagBindings compute.regionNetworkEndpointGroups.use compute.regionOperations.get compute.regionOperations.list compute.regions.* compute.regions.get compute.regions.list compute.reservationBlocks.get compute.reservationBlocks.list compute.reservationSubBlocks.* compute.reservationSubBlocks.get compute.reservationSubBlocks.list compute.reservationSubBlocks.performMaintenance compute.reservationSubBlocks.reportFaulty compute.reservations.get compute.reservations.list compute.reservations.listEffectiveTags compute.reservations.listTagBindings compute.resourcePolicies.list compute.resourcePolicies.useReadOnly compute.storagePools.get compute.storagePools.list compute.storagePools.listEffectiveTags compute.storagePools.listTagBindings compute.storagePools.use compute.subnetworks.get compute.subnetworks.list compute.subnetworks.listEffectiveTags compute.subnetworks.listTagBindings compute.subnetworks.setPrivateIpGoogleAccess compute.subnetworks.use compute.subnetworks.useExternalIp compute.targetPools.get compute.targetPools.list compute.targetPools.listEffectiveTags compute.targetPools.listTagBindings compute.zoneOperations.get compute.zoneOperations.list compute.zones.* compute.zones.get compute.zones.list container.clusterRoleBindings.* container.clusterRoleBindings.create container.clusterRoleBindings.delete container.clusterRoleBindings.get container.clusterRoleBindings.list container.clusterRoleBindings.update container.clusterRoles.* container.clusterRoles.bind container.clusterRoles.create container.clusterRoles.delete container.clusterRoles.escalate container.clusterRoles.get container.clusterRoles.list container.clusterRoles.update container.clusters.connect container.clusters.get container.clusters.update container.customResourceDefinitions.create container.customResourceDefinitions.delete container.customResourceDefinitions.get container.customResourceDefinitions.list container.customResourceDefinitions.update container.namespaces.create container.namespaces.delete container.namespaces.get container.namespaces.list container.namespaces.update container.operations.get container.roleBindings.* container.roleBindings.create container.roleBindings.delete container.roleBindings.get container.roleBindings.list container.roleBindings.update container.roles.bind container.roles.escalate dataproc.autoscalingPolicies.create dataproc.autoscalingPolicies.delete dataproc.autoscalingPolicies.get dataproc.autoscalingPolicies.getIamPolicy dataproc.autoscalingPolicies.list dataproc.autoscalingPolicies.update dataproc.autoscalingPolicies.use dataproc.clusters.* dataproc.clusters.create dataproc.clusters.delete dataproc.clusters.get dataproc.clusters.getIamPolicy dataproc.clusters.list dataproc.clusters.repair dataproc.clusters.setIamPolicy dataproc.clusters.start dataproc.clusters.stop dataproc.clusters.update dataproc.clusters.use dataproc.jobs.* dataproc.jobs.cancel dataproc.jobs.create dataproc.jobs.delete dataproc.jobs.get dataproc.jobs.getIamPolicy dataproc.jobs.list dataproc.jobs.setIamPolicy dataproc.jobs.update dataproc.nodeGroups.* dataproc.nodeGroups.create dataproc.nodeGroups.get dataproc.nodeGroups.update dataproc.operations.cancel dataproc.sessionTemplates.get dataproc.sessions.* dataproc.sessions.create dataproc.sessions.delete dataproc.sessions.get dataproc.sessions.list dataproc.sessions.sparkApplicationRead dataproc.sessions.sparkApplicationWrite dataproc.sessions.terminate dataprocrm.nodePools.* dataprocrm.nodePools.create dataprocrm.nodePools.delete dataprocrm.nodePools.deleteNodes dataprocrm.nodePools.get dataprocrm.nodePools.list dataprocrm.nodePools.resize dataprocrm.nodes.* dataprocrm.nodes.get dataprocrm.nodes.heartbeat dataprocrm.nodes.list dataprocrm.nodes.mintOAuthToken dataprocrm.nodes.update dataprocrm.operations.cancel dataprocrm.operations.get dataprocrm.operations.list dataprocrm.workloads.* dataprocrm.workloads.cancel dataprocrm.workloads.create dataprocrm.workloads.delete dataprocrm.workloads.get dataprocrm.workloads.list firebase.projects.get iam.serviceAccounts.actAs iam.serviceAccounts.getAccessToken metastore.services.get monitoring.metricDescriptors.list monitoring.monitoredResourceDescriptors.list monitoring.timeSeries.* monitoring.timeSeries.create monitoring.timeSeries.list orgpolicy.policy.get recommender.iamPolicyInsights.* recommender.iamPolicyInsights.get recommender.iamPolicyInsights.list recommender.iamPolicyInsights.update recommender.iamPolicyRecommendations.* recommender.iamPolicyRecommendations.get recommender.iamPolicyRecommendations.list recommender.iamPolicyRecommendations.update recommender.storageBucketSoftDeleteInsights.* recommender.storageBucketSoftDeleteInsights.get recommender.storageBucketSoftDeleteInsights.list recommender.storageBucketSoftDeleteInsights.update recommender.storageBucketSoftDeleteRecommendations.* recommender.storageBucketSoftDeleteRecommendations.get recommender.storageBucketSoftDeleteRecommendations.list recommender.storageBucketSoftDeleteRecommendations.update resourcemanager.hierarchyNodes.listEffectiveTags resourcemanager.projects.get resourcemanager.projects.list resourcemanager.tagKeys.create resourcemanager.tagKeys.get resourcemanager.tagKeys.getIamPolicy resourcemanager.tagKeys.setIamPolicy resourcemanager.tagValueBindings.* resourcemanager.tagValueBindings.create resourcemanager.tagValueBindings.delete resourcemanager.tagValues.create resourcemanager.tagValues.get serviceusage.consumerpolicy.analyze serviceusage.consumerpolicy.get serviceusage.effectivepolicy.get serviceusage.groups.* serviceusage.groups.list serviceusage.groups.listExpandedMembers serviceusage.groups.listMembers serviceusage.quotas.get serviceusage.services.get serviceusage.services.list serviceusage.services.use serviceusage.values.test storage.anywhereCaches.* storage.anywhereCaches.create storage.anywhereCaches.disable storage.anywhereCaches.get storage.anywhereCaches.list storage.anywhereCaches.pause storage.anywhereCaches.resume storage.anywhereCaches.update storage.bucketOperations.* storage.bucketOperations.cancel storage.bucketOperations.get storage.bucketOperations.list storage.buckets.* storage.buckets.create storage.buckets.createTagBinding storage.buckets.delete storage.buckets.deleteTagBinding storage.buckets.enableObjectRetention storage.buckets.get storage.buckets.getIamPolicy storage.buckets.getIpFilter storage.buckets.getObjectInsights storage.buckets.list storage.buckets.listEffectiveTags storage.buckets.listTagBindings storage.buckets.relocate storage.buckets.restore storage.buckets.setIamPolicy storage.buckets.setIpFilter storage.buckets.update storage.buckets.viewIntelligenceDetails storage.featureConfigs.* storage.featureConfigs.create storage.featureConfigs.delete storage.featureConfigs.get storage.featureConfigs.list storage.featureConfigs.update storage.folders.* storage.folders.create storage.folders.delete storage.folders.get storage.folders.list storage.folders.rename storage.intelligenceConfigs.* storage.intelligenceConfigs.get storage.intelligenceConfigs.update storage.managedFolders.* storage.managedFolders.create storage.managedFolders.delete storage.managedFolders.get storage.managedFolders.getIamPolicy storage.managedFolders.list storage.managedFolders.setIamPolicy storage.multipartUploads.* storage.multipartUploads.abort storage.multipartUploads.create storage.multipartUploads.list storage.multipartUploads.listParts storage.objects.* storage.objects.create storage.objects.createContext storage.objects.delete storage.objects.deleteContext storage.objects.get storage.objects.getIamPolicy storage.objects.list storage.objects.move storage.objects.overrideUnlockedRetention storage.objects.restore storage.objects.setIamPolicy storage.objects.setRetention storage.objects.update storage.objects.updateContext storagebatchoperations.* storagebatchoperations.bucketOperations.get storagebatchoperations.bucketOperations.list storagebatchoperations.jobs.cancel storagebatchoperations.jobs.create storagebatchoperations.jobs.delete storagebatchoperations.jobs.get storagebatchoperations.jobs.list storagebatchoperations.locations.get storagebatchoperations.locations.list storagebatchoperations.operations.cancel storagebatchoperations.operations.delete storagebatchoperations.operations.get storagebatchoperations.operations.list

הערות:

• כדי ליצור אשכולות של Managed Service for Apache Spark ולהציג אותם באמצעות מסוף compute או Google Cloud CLI, צריך הרשאות compute. Google Cloud
• כדי לאפשר למשתמש להעלות קבצים, צריך להעניק לו את התפקיד Storage Object Creator. כדי לאפשר למשתמש לצפות בפלט של עבודות, צריך להקצות לו את התפקיד Storage Object Viewer.
• כדי לראות את הגרפים במסוף Google Cloud →Managed Service for Apache Spark→פרטי אשכול→הכרטיסייה 'סקירה כללית', למשתמש צריכה להיות הרשאת monitoring.timeSeries.list.
• למשתמש צריכה להיות הרשאה compute.instances.list כדי לראות את סטטוס המופע ואת תפריט ה-SSH של המופע הראשי במסוףGoogle Cloud →Managed Service for Apache Spark→Cluster details→הכרטיסייה VM Instances. מידע על תפקידים ב-Compute Engine זמין במאמר Compute Engine→Available IAM roles (Compute Engine→תפקידים זמינים ב-IAM).
• כדי ליצור אשכול עם חשבון שירות שצוין על ידי המשתמש, לחשבון השירות שצוין צריכות להיות כל ההרשאות שמוענקות על ידי התפקיד Dataproc Worker, כולל גישה למאגרי זמניים ומאגרי staging של Managed Service for Apache Spark. יכול להיות שיהיה צורך בתפקידים נוספים בהתאם לתכונות שהוגדרו. מידע נוסף זמין במאמר יצירת אשכול עם חשבון שירות מותאם אישית למכונה וירטואלית.

תפקידים בפרויקט

אפשר גם להגדיר הרשאות ברמת הפרויקט באמצעות תפקידי הפרויקט ב-IAM. בטבלה הבאה מפורטות ההרשאות שמשויכות לתפקידים בפרויקט ב-IAM:

תפקיד בפרויקט	הרשאות
צפייה בחשבון לחיוב	כל ההרשאות בפרויקט לפעולות קריאה בלבד ששומרות את המצב (get, ‏ list)
עריכת פרויקטים	כל ההרשאות של Project Viewer וכל ההרשאות בפרויקט לפעולות שמשנות מצבים (יצירה, מחיקה, עדכון, שימוש, ביטול, עצירה, הפעלה)
Project Owner	כל ההרשאות של עורך פרויקט, בנוסף להרשאות לניהול בקרת הגישה לפרויקט (קבלת/הגדרת IamPolicy) ולהגדרת החיוב על הפרויקט

סיכום של פעולות ב-Managed Service for Apache Spark ותפקידי IAM

בטבלה הבאה מפורטות הפעולות של Managed Service for Apache Spark שמשויכות לתפקידים של פרויקט ושל Managed Service for Apache Spark.

פעולה	עריכת פרויקטים	צפייה בחשבון לחיוב	Managed Service for Apache Spark Admin	Managed Service for Apache Spark Editor	Managed Service for Apache Spark Viewer
קבלת הרשאות IAM או הגדרת הרשאות IAM ל-Managed Service for Apache Spark	לא	לא	כן	לא	לא
יצירת אשכול	כן	לא	כן	כן	לא
הצגת רשימה של אשכולות	כן	כן	כן	כן	כן
קבלת פרטים על אשכול	כן	כן	כן ^1, 2	כן ^1, 2	כן ^1, 2
עדכון אשכול	כן	לא	כן	כן	לא
מחיקת האשכול	כן	לא	כן	כן	לא
הפעלה/הפסקה של אשכול	כן	לא	כן	כן	לא
שליחת משרה	כן	לא	כן ^3	כן ^3	לא
פרסום משרות	כן	כן	כן	כן	כן
קבלת פרטי משרה	כן	כן	כן ^4	כן ^4	כן ^4
ביטול המשימה	כן	לא	כן	כן	לא
מחיקת משימה	כן	לא	כן	כן	לא
הצגת רשימה של פעולות	כן	כן	כן	כן	כן
קבלת פרטי פעולה	כן	כן	כן	כן	כן
פעולת מחיקה	כן	לא	כן	כן	לא

הערות:

1. הגרף של הביצועים לא זמין אלא אם למשתמש יש גם תפקיד עם ההרשאה monitoring.timeSeries.list.
2. רשימת המכונות הווירטואליות באשכול לא תכלול מידע על הסטטוס או קישור SSH למופע הראשי, אלא אם למשתמש יש גם תפקיד עם הרשאה compute.instances.list.
3. כדי להעלות קבצים באמצעות משימות, למשתמש צריכה להיות הרשאה של Storage Object Creatorתפקיד או גישת כתיבה ל-Managed Service for Apache Spark staging bucket.
4. הפלט של העבודה לא זמין אלא אם למשתמש יש גם את התפקיד Storage Object Viewer או שניתנה לו הרשאת קריאה לקטגוריית הביניים של הפרויקט.

היקפי גישה למכונות וירטואליות ב-Managed Service for Apache Spark

היקפי הגישה למכונות וירטואליות ותפקידי ה-IAM פועלים יחד כדי להגביל את הגישה למכונות וירטואליות ל-API Google Cloud. לדוגמה, אם למכונות וירטואליות באשכול מוענק היקף https://www.googleapis.com/auth/storage-full בלבד, אפליקציות שפועלות במכונות וירטואליות באשכול יכולות לקרוא ל-Cloud Storage APIs, אבל הן לא יכולות לשלוח בקשות ל-BigQuery, גם אם הן פועלות כחשבון שירות של מכונה וירטואלית שהוענק לו תפקיד ב-BigQuery עם הרשאות רחבות.

מומלץ להקצות למכונות וירטואליות את ההיקף הרחב cloud-platform (https://www.googleapis.com/auth/cloud-platform), ואז להגביל את הגישה למכונות הווירטואליות על ידי הקצאת תפקידי IAM ספציפיים לחשבון השירות של המכונה הווירטואלית (ראו שיטה מומלצת לשימוש בהיקפי גישה).

הערה: היקף ההרשאות cloud-platform מוחל כברירת מחדל על מכונות וירטואליות של אשכולות Managed Service for Apache Spark שנוצרו באמצעות גרסה 2.1 ומעלה של תמונת Managed Service for Apache Spark.

היקפים של מכונות וירטואליות (VM) בשירות מנוהל ל-Apache Spark שמוגדרים כברירת מחדל. אם לא מציינים היקפי גישה כשיוצרים אשכול (ראו gcloud dataproc cluster create --scopes), למכונות הווירטואליות של Managed Service for Apache Spark יש את קבוצת היקפי הגישה הבאה שמוגדרת כברירת מחדל:

https://www.googleapis.com/auth/cloud-platform (clusters created with image version 2.1+).
https://www.googleapis.com/auth/bigquery
https://www.googleapis.com/auth/bigtable.admin.table
https://www.googleapis.com/auth/bigtable.data
https://www.googleapis.com/auth/cloud.useraccounts.readonly
https://www.googleapis.com/auth/devstorage.full_control
https://www.googleapis.com/auth/devstorage.read_write
https://www.googleapis.com/auth/logging.write

אם מציינים היקפי הרשאות כשיוצרים אשכול, למכונות הווירטואליות באשכול יהיו היקפי ההרשאות שציינתם וגם קבוצת היקפי ההרשאות המינימלית הנדרשת הבאה (גם אם לא ציינתם אותם):

https://www.googleapis.com/auth/cloud-platform (clusters created with image version 2.1+).
https://www.googleapis.com/auth/cloud.useraccounts.readonly
https://www.googleapis.com/auth/devstorage.read_write
https://www.googleapis.com/auth/logging.write

ניהול מדיניות הרשאות ב-IAM

אתם מקצים תפקידי IAM לחשבונות משתמשים באמצעות מדיניות הרשאה. אפשר לקבל ולהגדיר כללי מדיניות הרשאה באמצעות מסוף Google Cloud ,‏ IAM API או Google Cloud CLI.

• במאמר בקרת גישה באמצעות מסוף Google Cloud מוסבר איך עושים זאת במסוף Google Cloud .
• למידע על ה-API, אפשר לעיין במאמר בקרת גישה באמצעות ה-API.
• למידע על Google Cloud CLI, אפשר לקרוא את המאמר בנושא בקרת גישה באמצעות Google Cloud CLI.

המאמרים הבאים

• מידע על ישויות ותפקידים ב-Managed Service for Apache Spark
• מידע על IAM גרנולרי ב-Managed Service for Apache Spark
• מידע נוסף על IAM
• מידע נוסף על חשבונות שירות ב-Managed Service for Apache Spark