Mindestberechtigungen für das Cloud Data Fusion-Dienstkonto
Mit Sammlungen den Überblick behalten
Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.
In diesem Dokument wird erläutert, welche Berechtigungen Sie dem Cloud Data Fusion-Dienstkonto zuweisen müssen, wenn Sie eine benutzerdefinierte Rolle erstellen, mit der es auf Ihre Ressourcen zugreifen kann.
.
Standardmäßig ist dem Cloud Data Fusion-Dienstkonto die Identity and Access Management-Rolle Cloud Data Fusion API-Dienst-Agent (roles/datafusion.serviceAgent) zugewiesen. Diese Rolle ist sehr weit gefasst.
Stattdessen können Sie benutzerdefinierte Rollen verwenden, um nur die Berechtigungen bereitzustellen, die das Hauptkonto des Dienstkontos benötigt.
Erforderliche Berechtigungen für das Cloud Data Fusion-Dienstkonto
Wenn Sie eine benutzerdefinierte Rolle für das Cloud Data Fusion-Dienstkonto erstellen, weisen Sie die folgenden Berechtigungen zu, je nachdem, welche Aufgaben Sie in Ihrer Instanz ausführen möchten. Dadurch kann Cloud Data Fusion auf Ihre Ressourcen zugreifen.
Aufgabe
Erforderliche Berechtigungen
Erstellen Sie eine Cloud Data Fusion-Instanz.
datafusion.instances.setIamPolicy
datafusion.instances.getIamPolicy
Dataproc-Cluster abrufen
dataproc.clusters.get
Cloud Storage-Bucket pro Cloud Data Fusion-Instanz erstellen und Dateien für die Ausführung von Dataproc-Jobs hochladen
storage.buckets.get
storage.objects.get
storage.buckets.create
storage.objects.create
storage.objects.update
storage.buckets.delete
storage.objects.delete
Logs in Cloud Logging veröffentlichen
logging.logEntries.create
Cloud-Messwerte in Cloud Monitoring veröffentlichen
monitoring.metricDescriptors.create
monitoring.metricDescriptors.get
monitoring.metricDescriptors.list
monitoring.monitoredResourceDescriptors.get
monitoring.monitoredResourceDescriptors.list
monitoring.timeSeries.create
Cloud Data Fusion-Instanz mit VPC-Peering erstellen
compute.globalOperations.get
compute.networks.addPeering
compute.networks.removePeering
compute.networks.update
compute.networks.get
Cloud Data Fusion-Instanz mit DNS-Peering-Zone zwischen Kunden- und Mandantenprojekten erstellen
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-08-12 (UTC)."],[[["\u003cp\u003eThis document outlines the necessary permissions for the Cloud Data Fusion Service Account when using custom roles to access resources, as opposed to the default highly permissive role.\u003c/p\u003e\n"],["\u003cp\u003eCustom roles allow you to grant specific permissions to the service account principal, tailoring access to only what is needed for designated tasks.\u003c/p\u003e\n"],["\u003cp\u003ePermissions required for tasks such as instance creation, Dataproc cluster access, Cloud Storage interaction, and publishing logs or metrics are detailed in the provided table.\u003c/p\u003e\n"],["\u003cp\u003eAdditional configurations like VPC peering, DNS peering, and Private Service Connect each have their own specific permissions needed to create a Cloud Data Fusion instance.\u003c/p\u003e\n"]]],[],null,["# Minimum permissions required for the Cloud Data Fusion Service Account\n\nThis document explains which permissions to give to the\nCloud Data Fusion Service Account when you create a custom role that\nlets it access your resources.\n| **Note:** The principal name for the [Cloud Data Fusion Service Account](/data-fusion/docs/access-control#data-fusion-service-account) is `service-`\u003cvar translate=\"no\"\u003eCUSTOMER_PROJECT_NUMBER\u003c/var\u003e`@gcp-sa-datafusion.iam.gserviceaccount.com`\n\nBy default, the\n[Cloud Data Fusion API Service Agent](/iam/docs/understanding-roles#datafusion.serviceAgent)\n(`roles/datafusion.serviceAgent`) Identity and Access Management role is assigned to the\nCloud Data Fusion Service Account. This role is highly permissive.\nInstead, you can use custom roles to provide only the permissions that the\nservice account principal needs.\n\nFor more information about the Cloud Data Fusion service accounts, see\n[Service accounts in Cloud Data Fusion](/data-fusion/docs/concepts/service-accounts).\n\nFor more information about creating custom roles, see\n[Create a custom role](/iam/docs/creating-custom-roles#creating).\n\nRequired permissions for the Cloud Data Fusion Service Account\n--------------------------------------------------------------\n\nWhen you create a custom role for the Cloud Data Fusion Service Account,\ngive the following permissions based on the tasks you plan to perform in your\ninstance. This lets Cloud Data Fusion access your resources.\n\nWhat's next\n-----------\n\n- Learn more about [creating and managing custom roles](/iam/docs/creating-custom-roles).\n- Learn more about [access control options in Cloud Data Fusion](/data-fusion/docs/access-control)."]]
