关联宿主子网的GCP服务项目创建Dataproc集群遇compute.subnetworks.use权限错误

核心原因 #

报错提示的compute.subnetworks.use权限缺失，并非你配置的用户SA或默认Compute Agent SA的问题，而是Dataproc后台专属服务账号未在宿主子网项目中获得对应权限。这个账号是Dataproc管理集群网络资源的核心身份，很容易被遗漏在常规权限配置之外。

修复步骤 #

1. 先获取服务项目的项目编号：

   gcloud projects describe my-project --format='value(projectNumber)'
   

2. 在宿主子网项目中，为Dataproc服务账号添加Compute Network User角色（该角色包含compute.subnetworks.use权限）：

   gcloud projects add-iam-policy-binding host-project \
     --member="serviceAccount:service-{替换为你的项目编号}@dataproc-accounts.iam.gserviceaccount.com" \
     --role="roles/compute.networkUser"
   

   若需更精细的权限控制，也可直接授予单个compute.subnetworks.use权限：

   gcloud projects add-iam-policy-binding host-project \
     --member="serviceAccount:service-{替换为你的项目编号}@dataproc-accounts.iam.gserviceaccount.com" \
     --condition=None \
     --role="roles/compute.networkUser"
   

额外验证要点 #

• 确保集群创建命令中指定了完整的子网资源路径，避免资源解析错误：

  gcloud dataproc clusters create my-cluster \
    --region my-consistent-region \
    --subnet projects/host-project/regions/my-consistent-region/subnetworks/snet-my-snet \
    --service-account my-special-sa@my-project.iam.gserviceaccount.com
  

• 检查宿主项目的VPC共享配置，确认服务项目已被正确添加为共享服务项目（尽管GCE能正常创建VM，但Dataproc对共享VPC的权限校验逻辑更严格）。

内容的提问来源于stack exchange，提问作者007chungking