Configura una cuenta de servicio

Una cuenta de servicio es un tipo especial de cuenta que usa una aplicación o carga de trabajo de procesamiento, como una instancia de Compute Engine, en lugar de una persona. Una cuenta de servicio se identifica por su dirección de correo electrónico, que es única para la cuenta. Para obtener más información, consulta Descripción general de las cuentas de servicio.

En este documento, se describen las conexiones y los parámetros que puedes configurar cuando usas App Design Center para crear una cuenta de servicio. Los parámetros de configuración se basan en el módulo de Terraform terraform-google-service-accounts.

Conexiones de componentes

En la siguiente tabla, se incluyen los componentes a los que puedes conectarte a una cuenta de servicio y las actualizaciones resultantes en tu aplicación y su código de Terraform generado.

Componente conectado

Actualizaciones de la aplicación

Información general

Plantilla de instancias de Compute Engine

  • La plantilla de instancias de Compute Engine usa la cuenta de servicio conectada en lugar de crear una nueva. La cuenta de servicio conectada se usa para la autenticación y autorización a otros Google Cloud servicios.
  • El correo electrónico de la cuenta de servicio y la información de IAM se agregan a la plantilla de instancias de Compute Engine.
Crear una VM que use una cuenta de servicio administrada por el usuario

Secret Manager

  • La cuenta de servicio puede acceder a los datos de secretos.
  • El rol roles/secretmanager.secretAccessor se asigna a la cuenta de servicio.
Administra el acceso a los secretos

BigQuery

  • Los servicios, como Cloud Run, pueden usar la cuenta de servicio para leer y modificar datos en el conjunto de datos de BigQuery.
  • El rol roles/bigquery.dataEditor de BigQuery se agrega a la cuenta de servicio.
Roles y permisos de IAM para BigQuery

Cloud Run

  • El servicio de Cloud Run usa la cuenta de servicio como una identidad de servicio.
  • El rol roles/run.invoker se agrega a la cuenta de servicio.
  • El correo electrónico de la cuenta de servicio y la información de IAM se agregan a la instancia de Cloud Run.
Autentica servicio a servicio

Cloud SQL (MySQL)

  • La cuenta de servicio puede conectarse a la instancia de Cloud SQL (MySQL).
  • Los roles roles/cloudsql.instanceUser y roles/cloudsql.client se agregan a la cuenta de servicio.
  • La información de IAM de la cuenta de servicio se agrega a la instancia de Cloud SQL.
Funciones y permisos

Cloud SQL (PostgreSQL)

  • La cuenta de servicio puede conectarse a la instancia de Cloud SQL (PostgreSQL).
  • Los roles roles/cloudsql.instanceUser y roles/cloudsql.client se agregan a la cuenta de servicio.
  • La información de IAM de la cuenta de servicio se agrega a la instancia de Cloud SQL.
Funciones y permisos

Cloud Storage

  • La cuenta de servicio puede administrar objetos en el bucket de Cloud Storage.
  • La información de IAM de la cuenta de servicio se agrega al bucket de Cloud Storage.
  • El rol roles/storage.objectAdmin se asigna a la cuenta de servicio.
Configura y administra políticas de IAM en buckets

Memorystore for Redis

  • La cuenta de servicio puede administrar la instancia de Memorystore for Redis.
  • El rol roles/redis.editor se agrega a la cuenta de servicio.
La cuenta de servicio de Memorystore for Redis

Pub/Sub

  • La cuenta de servicio puede administrar temas de Pub/Sub y extraer mensajes de las suscripciones.
  • El rol roles/pubsub.editor se agrega a la cuenta de servicio.
  • El nombre de la cuenta de servicio y la información del correo electrónico se agregan a la suscripción de extracción de Pub/Sub.
Control de acceso con IAM

Spanner

  • La cuenta de servicio tiene acceso a la instancia de Spanner.
  • La cuenta de servicio se agrega como un usuario de IAM a la instancia de Spanner.
Configurar una instancia con una cuenta de servicio

Vertex AI

  • La cuenta de servicio puede interactuar con los servicios de Vertex AI.
  • El rol roles/aiplatform.user se agrega a la cuenta de servicio.
Control de acceso a Vertex AI con IAM

Parámetros de configuración obligatorios

Si tu plantilla incluye un componente de cuenta de servicio, debes configurar los siguientes parámetros antes de la implementación.

Nombre del parámetro

Descripción y restricciones

Información general

ID del proyecto

El proyecto en el que deseas crear el recurso de la cuenta de servicio.

Cómo configurar componentes

Nombre

Un identificador que debe tener entre 6 y 30 caracteres. Puede contener guiones y caracteres alfanuméricos en minúscula. Por ejemplo, my-service-account.

Crea cuentas de servicio

Parámetros de configuración opcionales

Los siguientes parámetros son opcionales. Para mostrar los parámetros avanzados, en el área Configuración, selecciona Mostrar campos avanzados.

Nombre del parámetro

Información de descripción y restricción

Información general

Nombre visible

Es un nombre legible por el usuario para la cuenta de servicio.

Crea cuentas de servicio

Descripción

Una descripción legible por el usuario.

Crea cuentas de servicio
Roles del proyecto project_roles Administra el acceso a proyectos, carpetas y organizaciones