Un pipeline Dataflow doit être déployé dans un réseau et un sous-réseau Shared VPC fournis par l'équipe réseau. Quel rôle IAM accordez-vous, et à quel principal, pour permettre aux workers du pipeline d'utiliser le Shared VPC ?

Pour qu'un pipeline Dataflow puisse utiliser un réseau Shared VPC, les workers du pipeline ont besoin des autorisations nécessaires pour provisionner des ressources réseau dans le projet hôte. Le rôle compute.networkUser accorde ces autorisations. Ce rôle doit être attribué au compte de service qui exécute le pipeline Dataflow, car c'est ce compte qui agit au nom des workers. L'agent de service Dataflow est un compte géré par Google pour les opérations internes de Dataflow et n'est pas utilisé pour les autorisations spécifiques au projet de l'utilisateur. Le rôle dataflow.admin est trop permissif et ne concerne pas les autorisations réseau dans un Shared VPC.