Dataproc Granular IAM

gcloud コマンド

1. リソースの IAM ポリシーを取得し、JSON ファイルに書き込みます（resource-type は、「clusters」、「jobs」、「operations」、「workflow-templates」、または「autoscaling-policies」になります）。

   gcloud dataproc resource-type get-iam-policy  resource-id \
       --region=region \
       --format=json > iam.json
   

2. JSON ファイルの内容は次のようになります。

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       }
     ],
     "etag": "string"
   }
   

3. テキスト エディタを使用して、新しいバインディング オブジェクトを bindings 配列に追加し、ユーザーとそのユーザーに対するリソース アクセスの役割を定義します。たとえば、閲覧者ロール（roles/viewer）をユーザー sean@example.com に付与するには、上記の例を変更して新しいバインディング オブジェクトを追加します（下の太字表示）。注: gcloud dataproc resource-type get-iam-policy から受け取った etag 値を必ず返すようにしてください（etag のドキュメントをご覧ください）。

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       },
       {
         "role": "roles/viewer",
         "members": [
           "user:sean@example.com"
         ]
       }
     ],
     "etag": "value-from-get-iam-policy"
   }
   

4. 次のコマンドを実行して、新しい bindings 配列でクラスタのポリシーを更新します（resource-type は、「clusters」、「jobs」、「operations」、「workflow-templates」、または「autoscaling-policies」になります）。

   gcloud dataproc resource-type set-iam-policy resource-name \
       --region=region \
       --format=json iam.json
   

5. 更新後のポリシーがコマンドから出力されます。

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       },
       {
         "role": "roles/viewer",
         "members": [
           "user:sean@example.com"
         ]
       }
     ],
     "etag": "string"
   }
   

REST API

1. resource-type ("clusters" or "jobs" or "operations" or "workflowTemplates" or "autoscalingPolicies") getIamPolicy リクエストを発行して、リソースの IAM ポリシーを取得します。

   クラスタ getIamPolicy の例

   GET https://dataproc.googleapis.com/v1/projects/projectName/regions/region/clusters/clusterName:getIamPolicy
   

2. JSON ファイルの内容は次のようになります。

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       }
     ],
     "etag": "string"
   }
   

3. テキスト エディター使用して、次の JSON ポリシー オブジェクトを作成し、Dataproc サービスから受け取った bindings 配列を囲みます。getIamPolicy レスポンスで受け取った「etag」値を必ず返すようにしてください（etag のドキュメントをご覧ください）。次に、ユーザーと、そのユーザーのクラスタ アクセスのロールを定義する新しいバインディング オブジェクトを bindings 配列に追加します。たとえば、閲覧者ロール（roles/viewer）をユーザー sean@example.com に付与するには、上記の例を変更して新しいバインディング オブジェクトを追加します（下の太字表示）。

   {
     "policy": {
       "version": "",
       "bindings": [
         {
           "role": "roles/editor",
           "members": [
             "user:mike@example.com",
             "group:admins@example.com",
             "domain:google.com",
             "serviceAccount:my-other-app@appspot.gserviceaccount.com"
           ]
         },
         {
           "role": "roles/viewer",
           "members": [
             "user:sean@example.com"
           ]
         }
       ],
       "etag": "value-from-getIamPolicy"
     }
   }
   

4. setIamPolicy リクエストを発行して、更新したポリシーをリソースに設定します。

   クラスタ setIamPolicy の例

   POST https://dataproc.googleapis.com/v1/projects/projectName/regions/region/clusters/clusterName:setIamPolicy
   
   Request body

   {
     "policy": {
       "version": "",
       "bindings": [
         {
           "role": "roles/editor",
           "members": [
             "user:mike@example.com",
             "group:admins@example.com",
             "domain:google.com",
             "serviceAccount:my-other-app@appspot.gserviceaccount.com"
           ]
         },
         {
           "role": "roles/viewer",
           "members": [
             "user:sean@example.com"
           ]
         }
       ],
       "etag": "value-from-getIamPolicy"
     }
   }
   

5. JSON レスポンスの内容は次のようになります。

   イベントに

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       },
       {
         "role": "roles/viewer",
         "members": [
           "user:sean@example.com"
         ]
       }
     ],
     "etag": "string"
   }
   

Console

Google Cloud コンソールの [Dataproc クラスタ] ページに移動し、クラスタ名の左側のボックスをクリックして、[権限 / ラベル] パネルを開きます（このパネルが表示されない場合は、ページの右上にある [情報パネルを表示] をクリックします）。[権限] タブで、Dataproc 役割を選択し、[プリンシパルを追加] ボックスに 1 つ以上のアカウント アドレスを追加し、[追加] をクリックします。