建立使用者代管的服務帳戶的 VM

本文說明如何建立虛擬機器 (VM) 執行個體，並設定為使用使用者自行管理的服務帳戶。服務帳戶是一種特殊的帳戶，通常由應用程式或運算工作負載使用，用於發出已授權的 API 呼叫。

如果工作負載 (例如自訂應用程式) 需要存取 Google Cloud 資源或執行動作，且不需使用者參與，就必須使用服務帳戶。如要進一步瞭解何時應使用服務帳戶，請參閱「使用服務帳戶的最佳做法」。

如果應用程式需要呼叫 Google Cloud API，Google 建議您將使用者管理的服務帳戶附加至執行應用程式或工作負載的 VM。接著，您會授予服務帳戶 IAM 角色，讓服務帳戶 (以及在 VM 上執行的應用程式) 存取Google Cloud 資源。

事前準備

• 如果尚未設定驗證，請先完成設定。驗證機制會確認您的身分，以便授予 Google Cloud 服務和 API 的存取權。如要從本機開發環境執行程式碼或範例，您可以選取下列其中一個選項，向 Compute Engine 進行驗證：

  請根據您打算如何使用本頁範例，選取對應的分頁標籤：

  控制台

  使用 Google Cloud 控制台存取 Google Cloud 服務和 API 時，不需要設定驗證機制。

  gcloud

  1. 安裝 Google Cloud CLI。 安裝完成後， 請執行下列指令，初始化 Google Cloud CLI：

     gcloud init

     如果採用外部識別資訊提供者 (IdP)，必須先 使用聯合身分登入 gcloud CLI。

• 設定預設區域和可用區。

Terraform

如要在本機開發環境中使用本頁的 Terraform 範例，請安裝並初始化 gcloud CLI，然後使用使用者憑證設定應用程式預設憑證。

1. 安裝 Google Cloud CLI。

2. 若您採用的是外部識別資訊提供者 (IdP)，請先 使用聯合身分登入 gcloud CLI。

3. 如果您使用的是本機殼層，請為使用者帳戶建立本機驗證憑證：

   gcloud auth application-default login

   如果您使用的是 Cloud Shell，則不必執行這項操作。

   如果系統傳回驗證錯誤，且您使用的是外部識別資訊提供者 (IdP)，請確認您已 使用聯合身分登入 gcloud CLI。

詳情請參閱「 為本機開發環境設定驗證機制」。

REST

如要在本機開發環境中使用本頁的 REST API 範例，請使用您提供給 gcloud CLI 的憑證。

安裝 Google Cloud CLI。

如果採用外部識別資訊提供者 (IdP)，必須先 使用聯合身分登入 gcloud CLI。

詳情請參閱 Google Cloud 驗證說明文件中的「使用 REST 進行驗證」一節。

必要的角色

如要取得建立使用服務帳戶的 VM 所需權限，請要求管理員在專案中授予您下列 IAM 角色：

• Compute 執行個體管理員 (v1) (roles/compute.instanceAdmin.v1)
• 建立服務帳戶 (roles/iam.serviceAccountCreator)
• 專案 IAM 管理員 (roles/resourcemanager.projectIamAdmin)

如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。

這些預先定義的角色具備建立使用服務帳戶的 VM 所需的權限。如要查看確切的必要權限，請展開「Required permissions」(必要權限) 部分：

您或許還可透過自訂角色或其他預先定義的角色取得這些權限。

總覽

建議您按照下列方式，為 VM 設定服務帳戶：

1. 建立新的使用者自行管理服務帳戶，而非使用 Compute Engine 預設服務帳戶，並僅針對該服務帳戶所需的資源和作業，將 IAM 角色授予該服務帳戶。
2. 將服務帳戶附加至 VM。
3. 在 VM 上設定雲端平台 (https://www.googleapis.com/auth/cloud-platform) 範圍。這樣一來，VM 的服務帳戶就能呼叫有權使用的 Google Cloud API。
   • 如果使用 Google Cloud 控制台指定服務帳戶，請將服務帳戶的存取權範圍設為「允許所有 Cloud API 的完整存取權」。
   • 如果使用 Google Cloud CLI 或 Compute Engine API 指定服務帳戶，則可透過 scopes 參數設定存取權範圍。

設定服務帳戶

建立服務帳戶並指派必要的 IAM 角色。視需要指派 IAM 角色，數量不限。您可以視需要修改服務帳戶的 IAM 角色。

Google 建議您限制服務帳戶的權限，並定期檢查服務帳戶權限，確保權限符合最新狀態。

請使用下列其中一種方法設定服務帳戶。

resource "google_service_account" "default" {
  account_id   = "service-account-id"
  display_name = "Service Account"
}

建立 VM 並附加服務帳戶

建立服務帳戶後，請建立 VM 並附加您在上一節建立的服務帳戶。並將 VM 的存取權範圍設為 cloud-platform。

在 VM 執行個體上設定的存取權範圍，會定義中繼資料伺服器中 OAuth2 存取權杖的最大範圍。您可以要求權杖，但範圍比預設值少。詳情請參閱「取得特定 OAuth2 存取權杖」。

如果您已有 VM，且想設定該 VM 使用其他服務帳戶，請參閱「變更附加的服務帳戶」。

請使用下列其中一種方法建立 VM 並附加服務帳戶。

gcloud compute instances create VM_NAME \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --scopes=https://www.googleapis.com/auth/cloud-platform

gcloud compute instances create example-vm \
    --service-account 123-my-sa@my-project-123.iam.gserviceaccount.com \
    --scopes=https://www.googleapis.com/auth/cloud-platform

resource "google_compute_instance" "default" {
  name         = "my-test-vm"
  machine_type = "n1-standard-1"
  zone         = "us-central1-a"

  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-13"
    }
  }

  // Local SSD disk
  scratch_disk {
    interface = "SCSI"
  }

  network_interface {
    network = "default"

    access_config {
      // Ephemeral public IP
    }
  }

  service_account {
    # Google recommends custom service accounts with `cloud-platform` scope with
    # specific permissions granted via IAM Roles.
    # This approach lets you avoid embedding secret keys or user credentials
    # in your instance, image, or app code
    email  = google_service_account.default.email
    scopes = ["cloud-platform"]
  }
}

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

{
   "machineType":"zones/MACHINE_TYPE_ZONE/machineTypes/MACHINE_TYPE",
   "name":"VM_NAME",
   
   "disks":[
      {
         "initializeParams":{
            "sourceImage":"projects/IMAGE_PROJECT/global/images/IMAGE"
         },
         "boot":true
      }
   ],
   
   
   "networkInterfaces":[
      {
         "network":"global/networks/NETWORK_NAME"
      }
   ],
   
  "serviceAccounts": [
      {
      "email": "SERVICE_ACCOUNT_EMAIL",
      "scopes": ["https://www.googleapis.com/auth/cloud-platform"]
      }
   ],
   "shieldedInstanceConfig":{
      "enableSecureBoot":"ENABLE_SECURE_BOOT"
   }
}

存取及使用其他 Google Cloud 服務

將 VM 設為使用服務帳戶後，應用程式就能使用服務帳戶進行驗證。最常見的方法是使用應用程式預設憑證和用戶端程式庫進行驗證。部分 Google Cloud 工具 (例如 gcloud CLI) 可自動使用服務帳戶，從 VM 存取 Google Cloud API。詳情請參閱「使用服務帳戶驗證工作負載」。

如果刪除服務帳戶，應用程式就無法再透過該服務帳戶存取Google Cloud 資源。如果刪除預設的 App Engine 和 Compute Engine 服務帳戶，VM 就無法再存取專案中的資源。如果不確定服務帳戶是否正在使用中，建議您先停用服務帳戶再刪除。如果仍需要已停用的服務帳戶，可以重新啟用。

範例：從 VM 存取 Cloud Storage 資源

將 VM 設為使用具備 storage.admin 角色的服務帳戶後，您可以使用 gcloud CLI 等工具，管理儲存在 Cloud Storage 的檔案。如要存取 Cloud Storage 資源，請完成下列步驟：

1. 確認附加至 VM 的服務帳戶具備 roles/storage.admin 角色。

2. 如果 VM 使用自訂 OS 映像檔，請安裝 gcloud CLI。根據預設， Google Cloud提供的大多數公開 OS 映像檔都已安裝 gcloud CLI。

3. 連線至 VM。

4. 在 VM 中使用 Google Cloud CLI 管理 Cloud Storage 資源。

後續步驟

• 瞭解如何使用服務帳戶驗證工作負載。
• 瞭解如何變更附加至 VM 的服務帳戶。
• 瞭解如何列出及編輯服務帳戶。
• 請參閱使用服務帳戶的最佳做法，並降低安全風險。