Peran dan identitas Identity and Access Management Google Kubernetes Engine

Identitas bidang data

Managed Service untuk Apache Spark di GKE menggunakan Workload Identity GKE untuk mengizinkan pod dalam cluster Managed Service untuk Apache Spark di GKE bertindak dengan otoritas akun layanan VM Managed Service untuk Apache Spark default (identitas bidang data). Workload Identity memerlukan izin berikut untuk memperbarui kebijakan IAM pada GSA yang digunakan oleh Managed Service untuk Apache Spark di cluster virtual GKE Anda:

  • compute.projects.get
  • iam.serviceAccounts.getIamPolicy
  • iam.serviceAccounts.setIamPolicy

Workload Identity GKE menautkan Akun Layanan GKE (KSA) berikut ke Akun Layanan VM Managed Service untuk Apache Spark:

  1. agent KSA (berinteraksi dengan bidang kontrol Managed Service untuk Apache Spark):
    serviceAccount:${PROJECT}.svc.id.goog[${DPGKE_NAMESPACE}/agent]
  2. spark-driver KSA (menjalankan driver Spark):
    serviceAccount:${PROJECT}.svc.id.goog[${DPGKE_NAMESPACE}/spark-driver]
  3. spark-executor KSA (menjalankan eksekutor Spark):
    serviceAccount:${PROJECT}.svc.id.goog[${DPGKE_NAMESPACE}/spark-executor]

Tetapkan peran

Berikan izin ke akun layanan VM Managed Service untuk Apache Spark agar spark-driver dan spark-executor dapat mengakses resource project, sumber data, tujuan data, dan layanan lain yang diperlukan oleh workload Anda.

Contoh:

Perintah berikut menetapkan peran ke akun layanan VM Managed Service untuk Apache Spark default untuk mengizinkan workload Spark yang berjalan di VM cluster Managed Service untuk Apache Spark di GKE mengakses bucket Cloud Storage dan kumpulan data BigQuery dalam project.

gcloud projects add-iam-policy-binding \
    --role=roles/storage.objectAdmin \
    --role=roles/bigquery.dataEditor \
    --member="project-number-compute@developer.gserviceaccount.com" \
    "${PROJECT}"

Konfigurasi IAM kustom

Managed Service untuk Apache Spark di GKE menggunakan Workload Identity GKE untuk menautkan akun layanan VM Managed Service untuk Apache Spark default (identitas bidang data) ke tiga akun layanan GKE (KSA).

Untuk membuat dan menggunakan akun layanan Google (GSA) yang berbeda untuk ditautkan ke KSA:

  1. Buat GSA (lihat Membuat dan mengelola akun layanan).

    Contoh gcloud CLI: 

    gcloud iam service-accounts create "dataproc-${USER}" \
    --description "Used by Managed Service for Apache Spark on GKE workloads."
    Catatan:

    • Contoh ini menetapkan nama GSA sebagai "dataproc-${USER}", tetapi Anda dapat menggunakan nama yang berbeda.

  2. Tetapkan variabel lingkungan: 

    PROJECT=project-id \
  DPGKE_GSA="dataproc-${USER}@${PROJECT}.iam.gserviceaccount.com"
  DPGKE_NAMESPACE=GKE namespace
    Catatan:

    • DPGKE_GSA: Contoh menetapkan dan menggunakan DPGKE_GSA sebagai nama variabel yang berisi alamat email GSA Anda. Anda dapat menetapkan dan menggunakan nama variabel yang berbeda.
    • DPGKE_NAMESPACE: Namespace GKE default adalah nama cluster Managed Service untuk Apache Spark di GKE Anda.

  3. Saat membuat cluster Managed Service untuk Apache Spark di GKE, tambahkan properti berikut agar Managed Service untuk Apache Spark menggunakan GSA Anda, bukan GSA default: 

    --properties "dataproc:dataproc.gke.agent.google-service-account=${DPGKE_GSA}" \
--properties "dataproc:dataproc.gke.nodepool.google-service-account=${DPGKE_GSA}" \
--properties "dataproc:dataproc.gke.spark.driver.google-service-account=${DPGKE_GSA}" \
--properties "dataproc:dataproc.gke.spark.executor.google-service-account=${DPGKE_GSA}" \

  4. Jalankan perintah berikut untuk menetapkan izin Workload Identity yang diperlukan ke akun layanan:

    1. Tetapkan peran dataproc.worker untuk GSA Anda agar dapat bertindak sebagai agen: 
      gcloud projects add-iam-policy-binding \
    --role=roles/dataproc.worker \
    --member="serviceAccount:${DPGKE_GSA}" \
    "${PROJECT}"

    2. Tetapkan peran iam.workloadIdentityUser ke KSA agent agar KSA tersebut dapat bertindak sebagai GSA Anda: 

      gcloud iam service-accounts add-iam-policy-binding \
    --role=roles/iam.workloadIdentityUser \
    --member="serviceAccount:${PROJECT}.svc.id.goog[${DPGKE_NAMESPACE}/agent]" \
    "${DPGKE_GSA}"

    3. Berikan peran iam.workloadIdentityUser ke KSA spark-driver agar KSA tersebut dapat bertindak sebagai GSA Anda: 

      gcloud iam service-accounts add-iam-policy-binding \
    --role=roles/iam.workloadIdentityUser \
    --member="serviceAccount:${PROJECT}.svc.id.goog[${DPGKE_NAMESPACE}/spark-driver]" \
    "${DPGKE_GSA}"

    4. Berikan peran iam.workloadIdentityUser ke KSA spark-executor agar KSA tersebut dapat bertindak sebagai GSA Anda: 

      gcloud iam service-accounts add-iam-policy-binding \
    --role=roles/iam.workloadIdentityUser \
    --member="serviceAccount:${PROJECT}.svc.id.goog[${DPGKE_NAMESPACE}/spark-executor]" \
    "${DPGKE_GSA}"