Dataproc 操作失败：INVALID_ARGUMENT：用户无权充当服务帐号

Question

我尝试从 Cloud Data Fusion 运行管道，但收到以下错误：

io.cdap.cdap.runtime.spi.provisioner.dataproc.DataprocRuntimeException: Dataproc operation failure: INVALID_ARGUMENT: User not authorized to act as service account 'XXXXXXXX-compute@developer.gserviceaccount.com'. To act as a service account, user must have one of [Owner, Editor, Service Account Actor] roles. See https://cloud.google.com/iam/docs/understanding-service-accounts for additional details.

有人已经遇到过这个错误吗？

Answer 1

此错误与缺少与用于运行 DataProc 作业的用户/服务帐户关联的服务帐户用户角色( )有关。roles/iam.serviceAccountUser

为了克服此错误，您需要转到 IAM 策略控制台并将服务帐户用户角色（如此处所述）授予您用于运行作业的当前用户/服务帐户。如下例所示：

1. 转到 IAM 和管理控制台
2. 单击 IAM
3. 选择您用来运行作业的成员
4. 单击会员信息右侧的钢笔图标
5. 添加服务帐户用户角色

指出一些重要的主题，服务帐户用于通过服务帐户本身或通过其中的委派用户进行授权的 API 调用。此外，对于模拟服务帐户，具有特定权限的用户可以充当具有执行特定作业所需权限的另一个服务帐户。

注意roles/iam.serviceAccountUser：在步骤 3 中，您还可以通过单击 +ADD （在控制台顶部）向特定用户（电子邮件）提供。然后，编写电子邮件并选择权限。尽管如此，我必须强调这一许可将在项目级别授予。因此，该用户将能够模拟任何现有的服务帐户。

Answer 2

我想补充一点，服务帐户用户角色应添加到启用 API 时由 Data Fusion 自动生成的 Cloud Data Fusion 服务帐户中。

就我而言，该成员的名称类似于：

service-############@gcp-sa-datafusion.iam.gserviceaccount.com

它的名称是： 云数据融合服务帐户