Gestión de identidades y accesos granular de Dataproc

Comando gcloud

1. Obtén la política de gestión de identidades y accesos del recurso y escríbela en un archivo JSON (resource-type puede ser "clusters", "jobs", "operations", "workflow-templates" o "autoscaling-policies"):

   gcloud dataproc resource-type get-iam-policy  resource-id \
       --region=region \
       --format=json > iam.json
   

2. El contenido del archivo JSON será similar al siguiente:

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       }
     ],
     "etag": "string"
   }
   

3. Con un editor de texto, añade un nuevo objeto de enlace al array de enlaces que define los usuarios y el rol de acceso al recurso de esos usuarios. Por ejemplo, para asignar el rol Lector (roles/viewer) al usuario sean@example.com, cambiarías el ejemplo anterior para añadir un nuevo objeto de enlace (que se muestra en negrita en el siguiente ejemplo). Nota: Asegúrate de devolver el valor etag que has recibido de gcloud dataproc resource-type get-iam-policy. Consulta la documentación de etag.

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       },
       {
         "role": "roles/viewer",
         "members": [
           "user:sean@example.com"
         ]
       }
     ],
     "etag": "value-from-get-iam-policy"
   }
   

4. Actualiza la política del clúster con la nueva matriz de enlaces ejecutando el siguiente comando (resource-type puede ser "clusters", "jobs", "operations", "workflow-templates" o "autoscaling-policies"):

   gcloud dataproc resource-type set-iam-policy resource-name \
       --region=region \
       --format=json iam.json
   

5. El comando muestra la política actualizada:

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       },
       {
         "role": "roles/viewer",
         "members": [
           "user:sean@example.com"
         ]
       }
     ],
     "etag": "string"
   }
   

API REST

1. Envía una solicitud resource-type ("clusters" or "jobs" or "operations" or "workflowTemplates" or "autoscalingPolicies") getIamPolicy para obtener la política de gestión de identidades y accesos del recurso.

   Ejemplo de getIamPolicy de clúster:

   GET https://dataproc.googleapis.com/v1/projects/projectName/regions/region/clusters/clusterName:getIamPolicy
   

2. El contenido del archivo JSON será similar al siguiente:

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       }
     ],
     "etag": "string"
   }
   

3. Con un editor de texto, crea el siguiente objeto policy JSON para incluir la matriz de enlaces que acabas de recibir del servicio Dataproc. Asegúrate de devolver el valor "etag" que has recibido en la respuesta getIamPolicy (consulta la documentación de etag). Ahora, añade un nuevo objeto de enlace al array de enlaces que define los usuarios y el rol de acceso al clúster de esos usuarios. Por ejemplo, para conceder el rol Lector (roles/viewer) al usuario sean@example.com, cambiarías el ejemplo anterior para añadir un nuevo objeto de enlace (que se muestra en negrita más abajo).

   {
     "policy": {
       "version": "",
       "bindings": [
         {
           "role": "roles/editor",
           "members": [
             "user:mike@example.com",
             "group:admins@example.com",
             "domain:google.com",
             "serviceAccount:my-other-app@appspot.gserviceaccount.com"
           ]
         },
         {
           "role": "roles/viewer",
           "members": [
             "user:sean@example.com"
           ]
         }
       ],
       "etag": "value-from-getIamPolicy"
     }
   }
   

4. Define la política actualizada en el recurso enviando una setIamPolicy solicitud.

   Clúster setIamPolicy Ejemplo:

   POST https://dataproc.googleapis.com/v1/projects/projectName/regions/region/clusters/clusterName:setIamPolicy
   
   Request body

   {
     "policy": {
       "version": "",
       "bindings": [
         {
           "role": "roles/editor",
           "members": [
             "user:mike@example.com",
             "group:admins@example.com",
             "domain:google.com",
             "serviceAccount:my-other-app@appspot.gserviceaccount.com"
           ]
         },
         {
           "role": "roles/viewer",
           "members": [
             "user:sean@example.com"
           ]
         }
       ],
       "etag": "value-from-getIamPolicy"
     }
   }
   

5. El contenido de la respuesta JSON será similar al siguiente:

   Respuesta

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       },
       {
         "role": "roles/viewer",
         "members": [
           "user:sean@example.com"
         ]
       }
     ],
     "etag": "string"
   }
   

Consola

Ve a la página Clústeres de Dataproc de la consola de Google Cloud y, a continuación, haz clic en la casilla situada a la izquierda del nombre del clúster para abrir el panel Permisos/Etiquetas (si el panel no se muestra, haz clic en MOSTRAR PANEL DE INFORMACIÓN en la parte superior derecha de la página). En la pestaña Permisos, selecciona el rol de Dataproc, añade una o varias direcciones de cuenta en el cuadro Añadir principales y, a continuación, haz clic en Añadir.