Dataproc Granular IAM

gcloud-Befehl

1. Rufen Sie die IAM-Richtlinie der Ressource ab und schreiben Sie sie in eine JSON-Datei (resource-type kann dabei "Cluster", "Jobs", "Vorgänge" oder "Workflow-Vorlagen" oder "autoscaling-policies" sein):

   gcloud dataproc resource-type get-iam-policy  resource-id \
       --region=region \
       --format=json > iam.json
   

2. Der Inhalt der JSON-Datei sieht in etwa so aus:

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       }
     ],
     "etag": "string"
   }
   

3. Fügen Sie mithilfe eines Texteditors ein neues Binding-Objekt in das Array "bindings" ein, das die Nutzer und die Ressourcenzugriffsrolle für diese Nutzer definiert. Um beispielsweise dem Nutzer sean@example.com die Rolle „Betrachter“ (roles/viewer) zuzuweisen, würden Sie das vorherige Beispiel ändern, um ein neues Binding-Objekt hinzuzufügen (im folgenden Beispiel fett dargestellt). Hinweis: Achten Sie darauf, den etag-Wert zurückzugeben, den Sie von gcloud dataproc resource-type get-iam-policy erhalten haben. Weitere Informationen finden Sie in der Dokumentation zu ETags.

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       },
       {
         "role": "roles/viewer",
         "members": [
           "user:sean@example.com"
         ]
       }
     ],
     "etag": "value-from-get-iam-policy"
   }
   

4. Aktualisieren Sie die Richtlinie des Clusters mit dem neuen Bindings-Array. Führen Sie dazu den folgenden Befehl aus (resource-type kann "clusters", "jobs", "operations", "workflow-templates" oder "autoscaling-policies" sein):

   gcloud dataproc resource-type set-iam-policy resource-name \
       --region=region \
       --format=json iam.json
   

5. Der Befehl gibt die aktualisierte Richtlinie aus:

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       },
       {
         "role": "roles/viewer",
         "members": [
           "user:sean@example.com"
         ]
       }
     ],
     "etag": "string"
   }
   

REST API

1. Senden Sie eine resource-type ("clusters" or "jobs" or "operations" or "workflowTemplates" or "autoscalingPolicies")-getIamPolicy-Anfrage, um die IAM-Richtlinie für die Ressource abzurufen.

   Beispiel für eine getIamPolicy-Anfrage auf Clusterebene:

   GET https://dataproc.googleapis.com/v1/projects/projectName/regions/region/clusters/clusterName:getIamPolicy
   

2. Der Inhalt der JSON-Datei sieht in etwa so aus:

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       }
     ],
     "etag": "string"
   }
   

3. Erstellen Sie mithilfe eines Texteditors das folgende JSON-Richtlinienobjekt, um das Bindings-Array einzuschließen, das Sie gerade vom Dataproc-Dienst erhalten haben. Achten Sie darauf, dass Sie den "etag"-Wert zurückgeben, den Sie in der getIamPolicy-Antwort erhalten haben (weitere Informationen finden Sie in der etag-Dokumentation). Fügen Sie jetzt ein neues Binding-Objekt in das Array "bindings" ein, durch das die Nutzer und die Cluster-Zugriffsrolle für diese Nutzer festgelegt werden. Um beispielsweise dem Nutzer sean@example.com die Rolle "Betrachter" (roles/viewer) zuzuweisen, würden Sie das obige Beispiel ändern, um ein neues Binding-Objekt hinzuzufügen (unten in Fettschrift dargestellt).

   {
     "policy": {
       "version": "",
       "bindings": [
         {
           "role": "roles/editor",
           "members": [
             "user:mike@example.com",
             "group:admins@example.com",
             "domain:google.com",
             "serviceAccount:my-other-app@appspot.gserviceaccount.com"
           ]
         },
         {
           "role": "roles/viewer",
           "members": [
             "user:sean@example.com"
           ]
         }
       ],
       "etag": "value-from-getIamPolicy"
     }
   }
   

4. Legen Sie die aktualisierte Richtlinie für die Ressource fest, indem Sie eine setIamPolicy-Anfrage ausgeben.

   Beispiel für setIamPolicy-Anfrage auf Clusterebene:

   POST https://dataproc.googleapis.com/v1/projects/projectName/regions/region/clusters/clusterName:setIamPolicy
   
   Request body

   {
     "policy": {
       "version": "",
       "bindings": [
         {
           "role": "roles/editor",
           "members": [
             "user:mike@example.com",
             "group:admins@example.com",
             "domain:google.com",
             "serviceAccount:my-other-app@appspot.gserviceaccount.com"
           ]
         },
         {
           "role": "roles/viewer",
           "members": [
             "user:sean@example.com"
           ]
         }
       ],
       "etag": "value-from-getIamPolicy"
     }
   }
   

5. Der Inhalt der JSON-Antwort sieht in etwa so aus:

   Antwort

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       },
       {
         "role": "roles/viewer",
         "members": [
           "user:sean@example.com"
         ]
       }
     ],
     "etag": "string"
   }
   

Console

Rufen Sie in der Google Cloud Console die Seite Dataproc-Cluster auf und klicken Sie auf das Feld links neben dem Clusternamen, um den Bereich Berechtigungen/Labels zu öffnen. Wenn der Bereich nicht angezeigt wird, klicken Sie rechts oben auf der Seite auf INFOFELD ANSEHEN. Wählen Sie auf dem Tab „Berechtigungen“ die Dataproc-Rolle aus, fügen Sie im Feld Hauptkonten hinzufügen eine oder mehrere Kontoadressen hinzu und klicken Sie dann auf Hinzufügen.