Eine Dataflow-Pipeline muss in einem von der Netzwerkabteilung bereitgestellten Shared VPC-Netzwerk und -Subnetz bereitgestellt werden. Welche IAM-Rolle gewähren Sie welchem Prinzipal, damit die Pipeline-Worker die Shared VPC nutzen können?

Das Dienstkonto, das die Dataflow-Pipeline ausführt, benötigt die Berechtigung, Ressourcen im Shared VPC-Netzwerk zu nutzen. Die Rolle compute.networkUser gewährt genau diese Berechtigung, um Compute Engine-Netzwerkressourcen zu verwenden, ohne umfassende administrative Rechte zu vergeben. Der Dataflow-Dienstagent ist für die internen Operationen von Dataflow zuständig und benötigt diese spezifische Netzwerkberechtigung nicht direkt für die Worker-Interaktion mit dem Shared VPC. Die Rolle dataflow.admin ist zu weitreichend; sie gewährt administrative Kontrolle über Dataflow-Ressourcen, ist aber nicht spezifisch für die Nutzung von Shared VPC-Netzwerken.