Dataproc 精細的身分與存取權管理

gcloud 指令

1. 取得資源的身分與存取權管理政策，並寫入 JSON 檔案 (resource-type 可以是「clusters」、「jobs」、「operations」、「workflow-templates」或「autoscaling-policies」)：

   gcloud dataproc resource-type get-iam-policy  resource-id \
       --region=region \
       --format=json > iam.json
   

2. JSON 檔案的內容類似於下方內容：

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       }
     ],
     "etag": "string"
   }
   

3. 使用文字編輯器，在繫結陣列中新增繫結物件，定義使用者以及使用者的資源存取權角色。例如，如要將檢視者角色 (roles/viewer) 授予 sean@example.com 使用者，請變更上述範例，新增繫結物件 (如下方範例中的粗體字所示)。 注意：請務必傳回您從 gcloud dataproc resource-type get-iam-policy 收到的 etag 值。請參閱 etag 說明文件。

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       },
       {
         "role": "roles/viewer",
         "members": [
           "user:sean@example.com"
         ]
       }
     ],
     "etag": "value-from-get-iam-policy"
   }
   

4. 執行下列指令，使用新的繫結陣列更新叢集政策 (resource-type 可以是「clusters」、「jobs」、「operations」、「workflow-templates」或「autoscaling-policies」)：

   gcloud dataproc resource-type set-iam-policy resource-name \
       --region=region \
       --format=json iam.json
   

5. 指令會輸出更新後的政策：

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       },
       {
         "role": "roles/viewer",
         "members": [
           "user:sean@example.com"
         ]
       }
     ],
     "etag": "string"
   }
   

REST API

1. 發出 resource-type ("clusters" or "jobs" or "operations" or "workflowTemplates" or "autoscalingPolicies") getIamPolicy 要求，以取得資源的身分與存取權管理政策。

   叢集 getIamPolicy 範例：

   GET https://dataproc.googleapis.com/v1/projects/projectName/regions/region/clusters/clusterName:getIamPolicy
   

2. JSON 檔案的內容類似於下方內容：

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       }
     ],
     "etag": "string"
   }
   

3. 使用文字編輯器，建構下列 JSON 政策物件，以納入您剛剛從 Dataproc 服務接收的繫結陣列。請務必傳回您在 getIamPolicy 回應中接收到的「etag」值 (請參閱 etag 說明文件)。 現在，請在繫結陣列中新增繫結物件，定義使用者以及使用者的叢集存取權角色。例如，若要將檢視者角色 (roles/viewer) 授予 sean@example.com 使用者，您可以變更上述範例以新增繫結物件 (如下方粗體字所示)。

   {
     "policy": {
       "version": "",
       "bindings": [
         {
           "role": "roles/editor",
           "members": [
             "user:mike@example.com",
             "group:admins@example.com",
             "domain:google.com",
             "serviceAccount:my-other-app@appspot.gserviceaccount.com"
           ]
         },
         {
           "role": "roles/viewer",
           "members": [
             "user:sean@example.com"
           ]
         }
       ],
       "etag": "value-from-getIamPolicy"
     }
   }
   

4. 發出 setIamPolicy 要求，設定資源的更新政策。

   叢集 setIamPolicy 範例：

   POST https://dataproc.googleapis.com/v1/projects/projectName/regions/region/clusters/clusterName:setIamPolicy
   
   Request body

   {
     "policy": {
       "version": "",
       "bindings": [
         {
           "role": "roles/editor",
           "members": [
             "user:mike@example.com",
             "group:admins@example.com",
             "domain:google.com",
             "serviceAccount:my-other-app@appspot.gserviceaccount.com"
           ]
         },
         {
           "role": "roles/viewer",
           "members": [
             "user:sean@example.com"
           ]
         }
       ],
       "etag": "value-from-getIamPolicy"
     }
   }
   

5. JSON 回應的內容與下方類似：

   回應

   {
     "bindings": [
       {
         "role": "roles/editor",
         "members": [
           "user:mike@example.com",
           "group:admins@example.com",
           "domain:google.com",
           "serviceAccount:my-other-app@appspot.gserviceaccount.com"
         ]
       },
       {
         "role": "roles/viewer",
         "members": [
           "user:sean@example.com"
         ]
       }
     ],
     "etag": "string"
   }
   

控制台

前往 Google Cloud 控制台的「Dataproc Clusters」(Dataproc 叢集) 頁面，然後按一下叢集名稱左側的方塊，開啟「Permissions/Labels」(權限/標籤) 面板 (如果沒有顯示此面板，請按一下頁面右上方的「SHOW INFO PANEL」(顯示資訊面板))。在「權限」分頁下方，選取 Dataproc 角色，在「Add principals」(新增主體) 方塊中新增一或多個帳戶地址，然後按一下「新增」。