設定服務帳戶

服務帳戶是一種特殊的帳戶，使用者通常並非真人，而是應用程式或運算工作負載，例如 Compute Engine 執行個體。每個服務帳戶都有專屬的電子郵件地址，以利識別。詳情請參閱「服務帳戶簡介」。

本文說明使用 App Design Center 建立服務帳戶時，可設定的連線和參數。設定參數是以 terraform-google-service-accounts Terraform 模組為基礎。

元件連線

下表列出可連結至服務帳戶的元件，以及應用程式和產生的 Terraform 程式碼會因此進行的更新。

已連結的元件

應用程式更新

背景資訊

Compute Engine 執行個體範本
  • Compute Engine 執行個體範本會使用已連結的服務帳戶，而不是建立新的服務帳戶。連結的服務帳戶可用於其他 Google Cloud 服務的驗證和授權。
  • 服務帳戶電子郵件地址和 IAM 資訊會新增至 Compute Engine 執行個體範本。
 建立採使用者代管服務帳戶的 VM

Secret Manager
  • 服務帳戶可以存取密鑰資料。
  • 將 roles/secretmanager.secretAccessor 角色指派給服務帳戶。
 管理密鑰存取權

BigQuery
  • 服務 (例如 Cloud Run) 可使用服務帳戶讀取及修改 BigQuery 資料集中的資料。
  • BigQuery roles/bigquery.dataEditor 角色會新增至服務帳戶。
 BigQuery IAM 角色和權限

Cloud Run
  • Cloud Run 服務會將服務帳戶視為「服務身分」。
  • 系統會將 roles/run.invoker 角色新增至服務帳戶。
  • 服務帳戶電子郵件和 IAM 資訊會新增至 Cloud Run 執行個體。
 驗證服務對服務

「Cloud SQL (MySQL)」
  • 服務帳戶可以連線至 Cloud SQL (MySQL) 執行個體。
  • 系統會將 roles/cloudsql.instanceUser 和 roles/cloudsql.client 角色新增至服務帳戶。
  • 服務帳戶 IAM 資訊會新增至 Cloud SQL 執行個體。
 角色和權限

「Cloud SQL (PostgreSQL)」
  • 服務帳戶可以連線至 Cloud SQL (PostgreSQL) 執行個體。
  • 系統會將 roles/cloudsql.instanceUser 和 roles/cloudsql.client 角色新增至服務帳戶。
  • 服務帳戶 IAM 資訊會新增至 Cloud SQL 執行個體。
 角色和權限

Cloud Storage
  • 服務帳戶可以管理 Cloud Storage bucket 中的物件。
  • 服務帳戶 IAM 資訊會新增至 Cloud Storage bucket。
  • 將 roles/storage.objectAdmin 角色指派給服務帳戶。
 在 bucket 上設定及管理 IAM 政策

Memorystore for Redis
  • 服務帳戶可以管理 Memorystore for Redis 執行個體。
  • 系統會將 roles/redis.editor 角色新增至服務帳戶。
 Memorystore for Redis 服務帳戶

Memorystore for Redis Cluster
  • 服務帳戶可以管理 Memorystore for Redis Cluster。
  • App Design Center 會將 roles/redis.editor 角色指派給服務帳戶。
 使用 IAM 控管存取權

Memorystore for Valkey
  • 服務帳戶可以管理 Memorystore for Valkey 執行個體。
  • App Design Center 會將 roles/memorystore.editor 角色指派給服務帳戶。
 使用 IAM 控管存取權

Pub/Sub
  • 服務帳戶可以管理 Pub/Sub 主題，並從訂閱項目提取訊息。
  • 系統會將 roles/pubsub.editor 角色新增至服務帳戶。
  • 服務帳戶名稱和電子郵件資訊會新增至 Pub/Sub 提取訂閱項目。
 使用 IAM 控管存取權

Spanner
  • 服務帳戶有權存取 Spanner 執行個體。
  • 服務帳戶會新增為 Spanner 執行個體的 IAM 使用者。
 設定具有服務帳戶的執行個體

Vertex AI
  • 服務帳戶可以與 Vertex AI 服務互動。
  • 系統會將 roles/aiplatform.user 角色新增至服務帳戶。
 運用 IAM 執行 Vertex AI 存取控管

必要設定參數

如果範本包含服務帳戶元件，您必須先設定下列參數，才能部署範本。

參數名稱

說明和限制

背景資訊

專案 ID

您要在哪個專案中建立服務帳戶資源。

 設定元件

名稱

識別碼長度必須介於 6 至 30 個半形字元之間。可以使用小寫英數字元和破折號，例如 my-service-account。

 建立服務帳戶

選用設定參數

以下參數為選用項目。如要顯示進階參數，請在「設定」區域中選取「顯示進階欄位」。

參數名稱

說明和限制資訊

背景資訊

顯示名稱

使用者可理解的服務帳戶名稱。

 建立服務帳戶

說明

使用者可理解的說明。

 建立服務帳戶
專案角色 project_roles 管理專案、資料夾和機構的存取權