Configura un service account

Un account di servizio è un tipo speciale di account utilizzato da un'applicazione o da un carico di lavoro di calcolo, come un'istanza di Compute Engine, anziché da una persona. Un service account è identificato dal rispettivo indirizzo email, che è univoco per l'account. Per saperne di più, consulta la panoramica dei service account.

Questo documento descrive le connessioni e i parametri che puoi configurare quando utilizzi App Design Center per creare un account di servizio. I parametri di configurazione si basano sul terraform-google-service-accounts.

Connessioni dei componenti

La tabella seguente include i componenti a cui puoi connettere un account di servizio e gli aggiornamenti risultanti all'applicazione e al codice Terraform generato.

Componente connesso

Aggiornamenti delle applicazioni

Informazioni introduttive

Modello di istanza Compute Engine

  • Il modello di istanza Compute Engine utilizza il account di servizio connesso anziché crearne uno nuovo. Il account di servizio connesso viene utilizzato per l'autenticazione e l'autorizzazione ad altri Google Cloud servizi.
  • L'indirizzo email del account di servizio e le informazioni IAM vengono aggiunti al modello di istanza Compute Engine.
Crea una VM che utilizza un service account gestito dall'utente

Secret Manager

  • Il account di servizio può accedere ai dati dei secret.
  • Il ruolo roles/secretmanager.secretAccessor viene assegnato al account di servizio.
Gestisci l'accesso ai secret

BigQuery

  • Il account di servizio può essere utilizzato da servizi come Cloud Run per leggere e modificare i dati nel set di dati BigQuery.
  • Il ruolo BigQuery roles/bigquery.dataEditor viene aggiunto al account di servizio.
Ruoli e autorizzazioni IAM di BigQuery

Cloud Run

  • Il servizio Cloud Run utilizza il account di servizio come identità di servizio.
  • Il ruolo roles/run.invoker viene aggiunto al account di servizio.
  • L'indirizzo email del account di servizio e le informazioni IAM vengono aggiunti all'istanza Cloud Run.
Autenticazione da servizio a servizio

Cloud SQL (MySQL)

  • Il account di servizio può connettersi all'istanza Cloud SQL (MySQL).
  • I ruoli roles/cloudsql.instanceUser e roles/cloudsql.client vengono aggiunti al account di servizio.
  • Le informazioni IAM del account di servizio vengono aggiunte all'istanza Cloud SQL.
Ruoli e autorizzazioni

Cloud SQL (PostgreSQL)

  • Il account di servizio può connettersi all'istanza Cloud SQL (PostgreSQL).
  • I ruoli roles/cloudsql.instanceUser e roles/cloudsql.client vengono aggiunti al account di servizio.
  • Le informazioni IAM del account di servizio vengono aggiunte all'istanza Cloud SQL.
Ruoli e autorizzazioni

Cloud Storage

  • Il account di servizio può gestire gli oggetti nel bucket Cloud Storage.
  • Le informazioni IAM del account di servizio vengono aggiunte al bucket Cloud Storage.
  • Il ruolo roles/storage.objectAdmin viene assegnato al account di servizio.
Imposta e gestisci le policy IAM sui bucket

Memorystore for Redis

  • Il account di servizio può gestire l'istanza Memorystore for Redis.
  • Il ruolo roles/redis.editor viene aggiunto al account di servizio.
Il service account Memorystore for Redis

Pub/Sub

  • Il account di servizio può gestire gli argomenti Pub/Sub ed eseguire il pull dei messaggi dalle sottoscrizioni.
  • Il ruolo roles/pubsub.editor viene aggiunto al account di servizio.
  • Il nome account di servizio e le informazioni sull'indirizzo email vengono aggiunti alla sottoscrizione pull di Pub/Sub.
Controllo dell'accesso con IAM

Spanner

  • Il account di servizio ha accesso all'istanza Spanner.
  • Il account di servizio viene aggiunto come utente IAM all'istanza Spanner.
Configura un'istanza con un service account

Vertex AI

  • Il account di servizio può interagire con i servizi Vertex AI.
  • Il ruolo roles/aiplatform.user viene aggiunto al account di servizio.
Controllo dell'accesso di Vertex AI con IAM

Parametri di configurazione obbligatori

Se il modello include un componente del account di servizio, devi configurare i seguenti parametri prima del deployment.

Nome parametro

Descrizione e vincoli

Informazioni introduttive

ID progetto

Il progetto in cui vuoi creare la risorsa del account di servizio.

Configura i componenti

Nome

Un identificatore che deve essere compreso tra 6 e 30 caratteri. Può contenere caratteri alfanumerici minuscoli e trattini. Ad esempio, my-service-account.

Crea service account

Parametri di configurazione facoltativi

I seguenti parametri sono facoltativi. Per visualizzare i parametri avanzati, nell'area Configurazione, seleziona Mostra campi avanzati.

Nome parametro

Descrizione e informazioni sui vincoli

Informazioni introduttive

Nome visualizzato

Un nome leggibile per l'utente per il account di servizio.

Crea service account

Descrizione

Una descrizione leggibile per l'utente.

Crea service account
Ruoli progetto project_roles Gestisci l'accesso a progetti, cartelle e organizzazioni