Конвейер Dataflow должен быть развернут в общей сети VPC и подсети, предоставленной сетевой службой. Какую роль IAM и какому субъекту вы предоставляете, чтобы разрешить рабочим конвейера использовать общую сеть VPC?

Для того чтобы рабочие конвейера Dataflow могли использовать общую сеть VPC, учетная запись службы, от имени которой запускается конвейер (обычно это учетная запись службы по умолчанию или указанная пользователем), должна иметь разрешение на использование этой сети. Роль compute.networkUser предоставляет необходимые разрешения для использования ресурсов сети, включая общие VPC. Агент службы Dataflow (Dataflow Service Agent) отвечает за управление инфраструктурой Dataflow, но не за доступ к сетевым ресурсам от имени пользовательского конвейера. Роль dataflow.admin предоставляет административные права на Dataflow, но не на использование сетевых ресурсов.