带有数据流工作人员引导图像的图像约束

Question

这就是错误的样子-

   {
 insertId: "qnh47fd17tx"  
 labels: {
  dataflow.googleapis.com/job_id: "job_id"   
  dataflow.googleapis.com/job_name: "job_name"   
  dataflow.googleapis.com/region: "us-central1"   
 }
 logName: "projects/app/logs/dataflow.googleapis.com%2Fjob-message"  
 receiveTimestamp: ""  
 resource: {
  labels: {
   job_id: ""    
   job_name: ""    
   project_id: ""    
   region: "us-central1"    
   step_id: ""    
  }
  type: "dataflow_step"   
 }
 severity: "ERROR"  
 textPayload: "Workflow failed. Causes: Step "setup_resource_disks_harness50" failed., Step setup_resource_disks_harness50: Set up of resource disks_harness failed, Unable to create data disk(s)., Unknown error in operation 'operation-1600084247324-5af44a52c2574-7f195f5c-376e0b61': [CONDITION_NOT_MET] 'Constraint constraints/compute.trustedImageProjects violated for project getmega-app. Use of images from project dataflow-service-producer-prod is prohibited.'."  
 timestamp: ""  
}

Answer 1

由于项目使用映像约束，因此还配置了受信任的映像策略。因此，只有来自该项目的资源才允许启动VM的accross您的组织。

但是，Google Cloud Dataflow和Datalab等服务使用来自其他Google项目的映像在您的VPC中创建VMs，这意味着您在启动Dataflow模板化作业时可能会遇到错误。通过向受信任的项目映像中添加几个项目，可以很容易地克服这一点。具体如下：

使用gcloud，

1-获取项目的现有策略

gcloud beta resource-manager org-policies describe \
    compute.trustedImageProjects --effective \
    --project [PROJECT_ID] > policy.yaml

2-在文本编辑器中打开policy.yaml文件。您应该看到如下所示的文件：

constraint: constraints/compute.trustedImageProjects
listPolicy:
  allowedValues:
    - projects/debian-cloud
    - projects/cos-cloud
  deniedValues:
    - projects/unwanted-images

3-通过添加以下项目修改compute.TrustedImageProjects约束：

projects/cos-cloud
projects/dataflow-service-producer-prod
projects/serverless-vpc-access-images
projects/windows-cloud 

请注意，我已经添加了Google services可能用于检索/启动服务的所有项目。在您的特定情况下，只需添加projects/dataflow-service-productor-prod就足够了。

4-将policy.yaml文件应用到项目中。

gcloud beta resource-manager org-policies set-policy \
--project [PROJECT_ID] policy.yaml

完善这些操作后，您将能够启动模板化数据流作业。最后，您可以使用控制台添加第3步中指定的项目，如文档中所述。

注意：在共享可能包含项目id或作业id等个人信息的日志时要小心。这些信息不应公开披露。