Khi chạy pipeline Dataflow trong một mạng Shared VPC, các máy ảo worker được tạo trong dự án dịch vụ (service project) nhưng sử dụng tài nguyên mạng con (subnet) thuộc dự án máy chủ (host project):

• Lựa chọn B đúng: Tài khoản dịch vụ thực thi Dataflow (Dataflow worker service account hoặc controller service account, mặc định là Compute Engine default service account hoặc tài khoản dịch vụ tùy chỉnh do người dùng chỉ định) là thực thể trực tiếp tạo và vận hành các máy ảo worker. Nó cần được cấp vai trò Người dùng mạng Compute (roles/compute.networkUser) đối với subnetwork trong host project để có quyền sử dụng tài nguyên mạng của subnet đó.
• Lựa chọn A sai: Dataflow service agent cần quyền truy cập mạng nhưng cấp cho mỗi service agent là chưa đủ, vì chính worker service account mới là thực thể chạy tài nguyên VM và cần phân quyền cụ thể này.
• Lựa chọn C & D sai: Vai trò dataflow.admin là quyền quản trị vòng đời pipeline, không cấp quyền cấu hình và giao tiếp hạ tầng mạng trên Shared VPC.

(Đáp án được gợi ý bởi AI)