IAM detallada de Dataproc

Comando de gcloud

1. Obtén la política de IAM del recurso y escríbela en un archivo JSON (la resource-type puede ser "clústeres", "trabajos", "operaciones", "plantillas de flujo de trabajo" o "políticas de ajuste de escala automático"):

   gcloud dataproc resource-type get-iam-policy  resource-id \
       --region=region \
       --format=json > iam.json
   

2. El contenido del archivo JSON se verá similar al siguiente ejemplo:

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       }
     ],
     "etag": "string"
   }
   

3. Con un editor de texto, agrega un objeto de vinculación nuevo al arreglo de vinculación que define los usuarios y la función de acceso a los recursos para esos usuarios. Por ejemplo, para otorgar la función de Visualizador (roles/viewer) al usuario sean@example.com, cambiarías el ejemplo anterior para agregar un nuevo objeto de vinculación (se muestra en negrita en el siguiente ejemplo). Nota: Asegúrate de devolver el valor etag que recibiste de gcloud dataproc resource-type get-iam-policy. Consulta la documentación de las etiquetas ETag.

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       },
       {
         "role": "roles/viewer",
         "members": [
           "user:sean@example.com"
         ]
       }
     ],
     "etag": "value-from-get-iam-policy"
   }
   

4. Actualiza la política del clúster con el arreglo de vinculación nuevo mediante la ejecución del siguiente comando (resource-type puede ser "clústeres", "trabajos", "operaciones", "plantillas de flujo de trabajo" o "políticas de ajuste de escala automático"):

   gcloud dataproc resource-type set-iam-policy resource-name \
       --region=region \
       --format=json iam.json
   

5. El comando genera la política actualizada:

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       },
       {
         "role": "roles/viewer",
         "members": [
           "user:sean@example.com"
         ]
       }
     ],
     "etag": "string"
   }
   

API de REST

1. Emite una solicitud getIamPolicy resource-type ("clusters" or "jobs" or "operations" or "workflowTemplates" or "autoscalingPolicies") para obtener la política de IAM del recurso.

   Ejemplo de clúster getIamPolicy:

   GET https://dataproc.googleapis.com/v1/projects/projectName/regions/region/clusters/clusterName:getIamPolicy
   

2. El contenido del archivo JSON se verá similar al siguiente ejemplo:

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       }
     ],
     "etag": "string"
   }
   

3. Con un editor de texto, crea el siguiente objeto de política JSON para encerrar los arreglos de vinculación que recibiste del servicio de Dataproc. Asegúrate de mostrar el valor “ETag” que recibiste en la respuesta de getIamPolicy (consulta la documentación de ETag). Ahora, agrega un objeto de vinculación nuevo al arreglo de vinculación que define los usuarios y la función de acceso al clúster para esos usuarios. Por ejemplo, para otorgar la función Lector (roles/viewer) al usuario sean@example.com, cambiarías el ejemplo anterior para agregar un nuevo objeto de vinculación (se muestra en negrita, a continuación).

   {
     "policy": {
       "version": "",
       "bindings": [
         {
           "role": "roles/editor",
           "members": [
             "user:mike@example.com",
             "group:admins@example.com",
             "domain:google.com",
             "serviceAccount:my-other-app@appspot.gserviceaccount.com"
           ]
         },
         {
           "role": "roles/viewer",
           "members": [
             "user:sean@example.com"
           ]
         }
       ],
       "etag": "value-from-getIamPolicy"
     }
   }
   

4. Establece la política actualizada en el recurso enviando una solicitud setIamPolicy.

   Ejemplo de clúster setIamPolicy:

   POST https://dataproc.googleapis.com/v1/projects/projectName/regions/region/clusters/clusterName:setIamPolicy
   
   Request body

   {
     "policy": {
       "version": "",
       "bindings": [
         {
           "role": "roles/editor",
           "members": [
             "user:mike@example.com",
             "group:admins@example.com",
             "domain:google.com",
             "serviceAccount:my-other-app@appspot.gserviceaccount.com"
           ]
         },
         {
           "role": "roles/viewer",
           "members": [
             "user:sean@example.com"
           ]
         }
       ],
       "etag": "value-from-getIamPolicy"
     }
   }
   

5. El contenido de la respuesta JSON se verá similar al siguiente ejemplo:

   Respuesta

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       },
       {
         "role": "roles/viewer",
         "members": [
           "user:sean@example.com"
         ]
       }
     ],
     "etag": "string"
   }
   

Console

Ve a la página Clústeres de Dataproc en la Google Cloud consola y haz clic en el cuadro a la izquierda del nombre del clúster para abrir el panel Permisos/Etiquetas (si el panel no aparece, haz clic en MOSTRAR PANEL DE INFORMACIÓN en la parte superior derecha de la página). En la pestaña Permisos, selecciona el rol de Dataproc, agrega una o más direcciones de cuenta en el cuadro Agregar principales y, luego, haz clic en Agregar.