Dataflow 流水线必须部署到由网络团队提供的共享 VPC 网络和子网中。您需要授予哪个 IAM 角色给哪个主体，才能让流水线工作器使用共享 VPC？

Dataflow 工作器需要访问共享 VPC 网络才能正常运行。compute.networkUser 角色提供了在指定 VPC 网络中创建和管理资源的权限，这正是 Dataflow 工作器连接到共享 VPC 所需的。此权限应授予执行 Dataflow 流水线的服务账号，因为该服务账号代表流水线在 Google Cloud 中执行操作。 授予 compute.networkUser 角色给 Dataflow 服务代理是错误的，因为服务代理主要负责 Dataflow 服务的内部管理，而不是直接代表用户流水线执行网络操作。授予 dataflow.admin 角色给任何主体都是过度授权，因为该角色包含了广泛的 Dataflow 管理权限，而流水线工作器仅需要网络访问权限。