Dataproc初始化脚本的最低访问要求

Question

我有一个带初始化操作的存储桶，它具有以下ACL：

• deployment_service_user：所有者
• dataproc_service_user：Reader

存储桶中的对象具有相同的ACL。虽然参与启动该群集的所有用户都应该具有访问权限（gcloud作为deployment_service_user运行，而工作者应该作为dataproc_service_user运行），但我收到以下访问错误：

SELECT 
    UserID,
    UserName,
    FirstName,
    LastName
FROM OPENQUERY(remotelinkedservername, 'SELECT * FROM dbo.Users' )

当我将以下规则添加到ACL时，它可以正常工作：

• 项目观众：阅读器

是否可以指定更具体的权限，而不是允许项目查看者从初始化操作中读取？

Answer 1

感谢您的提问！这在文档中不太清楚。

答案取决于您是使用数据业务虚拟机的默认服务帐户还是自定义服务帐户。

如果您指定了自定义服务帐户（在gcloud中为--service-account），那么您应该让读者访问此帐户。如果您使用的是自定义服务帐户，则仍需要读者访问默认服务帐户（由于已知问题）。

另一方面，如果您没有明确指定服务帐户，那么您正在使用计算引擎默认服务帐户。通常看起来像这样：<your-project-number>-compute@developer.gserviceaccount.com。给读者这个帐户。

创建群集的用户不需要在init操作上使用acls。