Una canalización de Dataflow debe implementarse en una red y subred de Shared VPC proporcionadas por el equipo de redes. ¿Qué rol de IAM otorga y a qué principal, para permitir que los workers de la canalización utilicen la Shared VPC?

Para que los workers de Dataflow utilicen una Shared VPC, la cuenta de servicio que ejecuta la canalización necesita permisos para acceder a la red compartida. El rol compute.networkUser otorga los permisos necesarios para usar redes de Compute Engine, lo que incluye la Shared VPC. Este rol debe asignarse a la cuenta de servicio que Dataflow utiliza para ejecutar la canalización (normalmente la cuenta de servicio de Compute Engine predeterminada o una cuenta de servicio personalizada especificada). El agente de servicio de Dataflow es una cuenta de servicio gestionada por Google para las operaciones internas de Dataflow y no se utiliza para la ejecución de la canalización en sí. Los roles dataflow.admin otorgan permisos administrativos sobre Dataflow, no acceso a la red.