IAM granulare di Dataproc

Comando gcloud

1. Recupera il criterio IAM della risorsa e scrivilo in un file JSON (resource-type può essere "clusters" o "jobs" o "operations" o "workflow-templates" o "autoscaling-policies"):

   gcloud dataproc resource-type get-iam-policy  resource-id \
       --region=region \
       --format=json > iam.json
   

2. I contenuti del file JSON saranno simili ai seguenti:

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       }
     ],
     "etag": "string"
   }
   

3. Utilizzando un editor di testo, aggiungi un nuovo oggetto di binding all'array di binding che definisce gli utenti e il ruolo di accesso alle risorse per questi utenti. Ad esempio, per concedere il ruolo Visualizzatore (roles/viewer) all'utente sean@example.com, devi modificare l'esempio riportato sopra per aggiungere un nuovo oggetto di associazione (in grassetto di seguito). Nota: assicurati di restituire il valore etag che hai ricevuto da gcloud dataproc resource-type get-iam-policy (consulta la documentazione sull'etag).

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       },
       {
         "role": "roles/viewer",
         "members": [
           "user:sean@example.com"
         ]
       }
     ],
     "etag": "value-from-get-iam-policy"
   }
   

4. Aggiorna il criterio del cluster con il nuovo array di associazioni eseguendo il seguente comando (resource-type può essere "clusters" o "jobs" o "operations" o "workflow-templates" o "autoscaling-policies"):

   gcloud dataproc resource-type set-iam-policy resource-name \
       --region=region \
       --format=json iam.json
   

5. Il comando genera il criterio aggiornato:

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       },
       {
         "role": "roles/viewer",
         "members": [
           "user:sean@example.com"
         ]
       }
     ],
     "etag": "string"
   }
   

API REST

1. Esegui una resource-type ("clusters" or "jobs" or "operations" or "workflowTemplates" or "autoscalingPolicies")richiesta getIamPolicy per ottenere il criterio IAM per la risorsa.

   Esempio di getIamPolicy del cluster:

   GET https://dataproc.googleapis.com/v1/projects/projectName/regions/region/clusters/clusterName:getIamPolicy
   

2. I contenuti del file JSON saranno simili ai seguenti:

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       }
     ],
     "etag": "string"
   }
   

3. Con un editor di testo, crea il seguente oggetto JSON policy per racchiudere l'array di associazioni che hai appena ricevuto dal servizio Dataproc. Assicurati di restituire il valore "etag" ricevuto nella risposta di getIamPolicy (consulta la documentazione di etag). Ora aggiungi un nuovo oggetto di binding all'array di binding che definisce gli utenti e il ruolo di accesso al cluster per questi utenti. Ad esempio, per concedere il ruolo Visualizzatore (roles/viewer) all'utente sean@example.com, devi modificare l'esempio riportato sopra per aggiungere un nuovo oggetto di associazione (in grassetto di seguito).

   {
     "policy": {
       "version": "",
       "bindings": [
         {
           "role": "roles/editor",
           "members": [
             "user:mike@example.com",
             "group:admins@example.com",
             "domain:google.com",
             "serviceAccount:my-other-app@appspot.gserviceaccount.com"
           ]
         },
         {
           "role": "roles/viewer",
           "members": [
             "user:sean@example.com"
           ]
         }
       ],
       "etag": "value-from-getIamPolicy"
     }
   }
   

4. Imposta il criterio aggiornato sulla risorsa inviando una richiesta setIamPolicy.

   Esempio di setIamPolicy del cluster:

   POST https://dataproc.googleapis.com/v1/projects/projectName/regions/region/clusters/clusterName:setIamPolicy
   
   Request body

   {
     "policy": {
       "version": "",
       "bindings": [
         {
           "role": "roles/editor",
           "members": [
             "user:mike@example.com",
             "group:admins@example.com",
             "domain:google.com",
             "serviceAccount:my-other-app@appspot.gserviceaccount.com"
           ]
         },
         {
           "role": "roles/viewer",
           "members": [
             "user:sean@example.com"
           ]
         }
       ],
       "etag": "value-from-getIamPolicy"
     }
   }
   

5. I contenuti della risposta JSON saranno simili al seguente:

   Risposta

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       },
       {
         "role": "roles/viewer",
         "members": [
           "user:sean@example.com"
         ]
       }
     ],
     "etag": "string"
   }
   

Console

Vai alla pagina Cluster Dataproc nella console Google Cloud, quindi fai clic sulla casella a sinistra del nome del cluster per aprire il riquadro Autorizzazioni/Etichette (se il riquadro non viene visualizzato, fai clic su MOSTRA RIQUADRO INFORMAZIONI in alto a destra nella pagina). Nella scheda Autorizzazioni, seleziona il ruolo Dataproc, aggiungi uno o più indirizzi account nella casella Aggiungi entità e poi fai clic su Aggiungi.