Una pipeline Dataflow deve essere distribuita in una rete e subnet Shared VPC fornite dal team di networking. Quale ruolo IAM si concede e a quale entità, per consentire ai worker della pipeline di utilizzare lo Shared VPC?

Per consentire ai worker Dataflow di utilizzare una rete e subnet Shared VPC, l'account di servizio che esegue la pipeline Dataflow (non l'agente di servizio Dataflow) deve avere le autorizzazioni necessarie. Il ruolo compute.networkUser fornisce i permessi per utilizzare le risorse di rete, inclusa la connessione a subnet in un progetto host Shared VPC. L'agente di servizio Dataflow è un account gestito da Google con permessi specifici per la gestione delle risorse Dataflow, ma non è l'entità che richiede l'accesso alla rete per i worker. I ruoli dataflow.admin sono troppo permissivi e non specifici per l'accesso alla rete; sono usati per gestire le risorse Dataflow stesse, non per consentire ai worker di connettersi a una rete Shared VPC.