サービス アカウントの構成

サービス アカウントは、ユーザーではなく、Compute Engine インスタンスなどのアプリケーションやコンピューティング ワークロードで使用される特別なアカウントです。サービス アカウントは、アカウント固有のメールアドレスで識別されます。詳細については、サービス アカウントの概要をご覧ください。

このドキュメントでは、App Design Center を使用してサービス アカウントを作成するときに構成できる接続とパラメータについて説明します。構成パラメータは、terraform-google-service-accounts Terraform モジュールに基づいています。

コンポーネント接続

次の表に、サービス アカウントに接続できるコンポーネントと、アプリケーションとその生成された Terraform コードに対する更新結果を示します。

連結成分

アプリケーションの更新

背景情報

Compute Engine インスタンス テンプレート
  • Compute Engine インスタンス テンプレートは、新しいサービス アカウントを作成するのではなく、接続されたサービス アカウントを使用します。接続されたサービス アカウントは、他の Google Cloud サービスに対する認証と認可に使用されます。
  • サービス アカウントのメールアドレスと IAM 情報が Compute Engine インスタンス テンプレートに追加されます。
 ユーザー管理のサービス アカウントを使用する VM を作成する

Secret Manager
  • サービス アカウントはシークレット データにアクセスできます。
  • roles/secretmanager.secretAccessor ロールがサービス アカウントに割り当てられます。
 シークレットへのアクセスを管理する

BigQuery
  • サービス アカウントは、Cloud Run などのサービスが BigQuery データセット内のデータを読み取り、変更するために使用できます。
  • BigQuery roles/bigquery.dataEditor ロールがサービス アカウントに追加されます。
 BigQuery IAM のロールと権限

Cloud Run
  • Cloud Run サービスは、サービス アカウントをサービス ID として使用します。
  • roles/run.invoker ロールがサービス アカウントに追加されます。
  • サービス アカウントのメールアドレスと IAM 情報が Cloud Run インスタンスに追加されます。
 サービス間認証

Cloud SQL（MySQL）
  • サービス アカウントが Cloud SQL（MySQL）インスタンスに接続できる。
  • roles/cloudsql.instanceUser ロールと roles/cloudsql.client ロールがサービス アカウントに追加されます。
  • サービス アカウントの IAM 情報が Cloud SQL インスタンスに追加されます。
 ロールと権限

Cloud SQL（PostgreSQL）
  • サービス アカウントは Cloud SQL（PostgreSQL）インスタンスに接続できます。
  • roles/cloudsql.instanceUser ロールと roles/cloudsql.client ロールがサービス アカウントに追加されます。
  • サービス アカウントの IAM 情報が Cloud SQL インスタンスに追加されます。
 ロールと権限

Cloud Storage
  • サービス アカウントは、Cloud Storage バケット内のオブジェクトを管理できます。
  • サービス アカウントの IAM 情報が Cloud Storage バケットに追加されます。
  • roles/storage.objectAdmin ロールがサービス アカウントに割り当てられます。
 バケットでの IAM ポリシーの設定と管理

Memorystore for Redis
  • サービス アカウントは、Memorystore for Redis インスタンスを管理できます。
  • roles/redis.editor ロールがサービス アカウントに追加されます。
 Memorystore for Redis サービス アカウント

Pub/Sub
  • サービス アカウントは、Pub/Sub トピックを管理し、サブスクリプションからメッセージを pull できます。
  • roles/pubsub.editor ロールがサービス アカウントに追加されます。
  • サービス アカウントの名前とメール情報が Pub/Sub プル サブスクリプションに追加されます。
 IAM を使用したアクセス制御

Spanner
  • サービス アカウントには Spanner インスタンスへのアクセス権があります。
  • サービス アカウントが IAM ユーザーとして Spanner インスタンスに追加されます。
 サービス アカウントを使用するようにインスタンスを構成する

Vertex AI
  • サービス アカウントは Vertex AI サービスとやり取りできます。
  • roles/aiplatform.user ロールがサービス アカウントに追加されます。
 IAM を使用した Vertex AI のアクセス制御

必要な構成パラメータ

テンプレートにサービス アカウント コンポーネントが含まれている場合は、デプロイする前に次のパラメータを構成する必要があります。

パラメータ名

説明と制約

背景情報

プロジェクト ID

サービス アカウント リソースを作成するプロジェクト。

 コンポーネントを構成する

名前

6 ～ 30 文字の識別子。小文字の英数字とハイフンを使用できます。例: my-service-account

 サービス アカウントを作成する

オプションの構成パラメータ

次のパラメータは省略可能です。詳細パラメータを表示するには、[構成] 領域で [詳細フィールドを表示] を選択します。

パラメータ名

説明と制約に関する情報

背景情報

表示名

サービス アカウントのユーザー可読形式の名前。

 サービス アカウントを作成する

説明

ユーザーが読める説明。

 サービス アカウントを作成する
プロジェクトのロール project_roles プロジェクト、フォルダ、組織へのアクセスの管理