配置服务账号

服务帐号是一种特殊的账号，通常供应用或计算工作负载（例如 Compute Engine 实例）而非个人使用。服务账号由其（专属的）邮箱标识。如需了解 详情，请参阅服务账号概览。

本文档介绍了使用 App Design Center 创建服务帐号时可以配置的连接和参数。配置参数基于 terraform-google-service-accounts Terraform 模块。

组件连接

下表列出了您可以连接到服务帐号的组件，以及对应用及其生成的 Terraform 代码的相应更新。

已连接的组件

应用更新

背景信息

Compute Engine 实例模板
  • Compute Engine 实例模板使用已连接的服务帐号，而不是创建新的服务帐号。已连接的服务帐号用于向其他 Google Cloud 服务进行身份验证和授权。
  • 服务账号电子邮件地址和 IAM 信息已添加到 Compute Engine 实例模板。
 创建使用用户代管式服务账号的虚拟机

Secret Manager
  • 服务帐号可以访问密钥数据。
  • roles/secretmanager.secretAccessor 角色已分配给服务帐号。
 管理对密钥的访问权限

BigQuery
  • 服务（例如 Cloud Run）可以使用服务帐号读取和修改 BigQuery 数据集中的数据。
  • BigQuery roles/bigquery.dataEditor 角色已添加到服务帐号。
 BigQuery IAM 角色和权限

Cloud Run
  • Cloud Run 服务使用服务帐号作为 服务身份。
  • roles/run.invoker 角色已添加到服务帐号。
  • 服务账号电子邮件地址和 IAM 信息已添加到 Cloud Run 实例。
 对服务到服务进行身份验证

Cloud SQL (MySQL)
  • 服务帐号可以连接到 Cloud SQL (MySQL) 实例。
  • roles/cloudsql.instanceUser 和 roles/cloudsql.client 角色已添加到服务帐号。
  • 服务帐号 IAM 信息已添加到 Cloud SQL 实例。
 角色和权限

Cloud SQL (PostgreSQL)
  • 服务帐号可以连接到 Cloud SQL (PostgreSQL) 实例。
  • roles/cloudsql.instanceUser 和 roles/cloudsql.client 角色已添加到服务帐号。
  • 服务帐号 IAM 信息已添加到 Cloud SQL 实例。
 角色和权限

Cloud Storage
  • 服务帐号可以管理 Cloud Storage 存储桶中的对象。
  • 服务帐号 IAM 信息已添加到 Cloud Storage 存储桶。
  • roles/storage.objectAdmin 角色已分配给服务帐号。
 为存储分区设置和管理 IAM 政策

Memorystore for Redis
  • 服务帐号可以管理 Memorystore for Redis 实例。
  • roles/redis.editor 角色已添加到服务帐号。
 Memorystore for Redis 服务账号

Pub/Sub
  • 服务帐号可以管理 Pub/Sub 主题，并从订阅中提取消息。
  • roles/pubsub.editor 角色已添加到服务帐号。
  • 服务账号名称和电子邮件地址信息已添加到 Pub/Sub 拉取订阅。
 使用 IAM 进行访问权限控制

Spanner
  • 服务帐号有权访问 Spanner 实例。
  • 服务帐号已作为 IAM 用户添加到 Spanner 实例。
 使用服务账号配置实例

Vertex AI
  • 服务帐号可以与 Vertex AI 服务进行交互。
  • roles/aiplatform.user 角色已添加到服务帐号。
 使用 IAM 进行 Vertex AI 访问权限控制

必需的配置参数

如果您的模板包含服务帐号组件，则必须先配置以下参数，然后才能进行部署。

参数名称

说明和限制

背景信息

项目 ID

您要在其中创建服务帐号资源的项目。

 配置组件

名称

标识符，长度必须介于 6 到 30 个字符之间。可以包含小写字母数字字符和短划线。例如 my-service-account。

 创建服务账号

可选配置参数

以下参数是可选的。如需显示高级参数，请在配置 区域中选择显示高级字段 。

参数名称

说明和限制信息

背景信息

显示名称

服务帐号的用户可读名称。

 创建服务账号

说明

用户可读的说明。

 创建服务账号
项目角色 project_roles 管理对项目、文件夹和组织的访问权限