In diesem Dokument wird beschrieben, wie Sie eine VM-Instanz erstellen, die für die Verwendung eines nutzerverwalteten Dienstkontos konfiguriert ist. Ein Dienstkonto ist eine spezielle Art von Konto, das in der Regel von einer Anwendung oder einer Computing-Arbeitslast für autorisierte API-Aufrufe verwendet wird.
Dienstkonten sind für Szenarien erforderlich, in denen eine Arbeitslast, z. B. eine benutzerdefinierte Anwendung, auf Google Cloud-Ressourcen zugreifen oder Aktionen ohne Beteiligung der Endnutzer ausführen muss. Weitere Informationen zur Verwendung von Dienstkonten finden Sie unter Best Practices für die Verwendung von Dienstkonten.
Wenn Sie über Anwendungen verfügen, die Aufrufe an Google Cloud APIs senden müssen, empfiehlt Google, dass Sie ein nutzerverwaltetes Dienstkonto an die VM anhängen, auf der die Anwendung oder die Arbeitslast ausgeführt wird. Anschließend gewähren Sie dem Dienstkonto IAM-Rollen, die dem Dienstkonto – und damit Anwendungen, die auf der VM ausgeführt werden, – Zugriff auf Google Cloud-Ressourcen gewähren.
Hinweise
-
Richten Sie die Authentifizierung ein, falls Sie dies noch nicht getan haben.
Bei der Authentifizierung wird Ihre Identität für den Zugriff auf Google Cloud-Dienste und APIs überprüft.
Zur Ausführung von Code oder Beispielen aus einer lokalen Entwicklungsumgebung können Sie sich so bei Compute Engine authentifizieren.
Select the tab for how you plan to use the samples on this page:
Console
When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.
gcloud
-
Install the Google Cloud CLI, then initialize it by running the following command:
gcloud init
- Set a default region and zone.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init
-
Create local authentication credentials for your user account:
gcloud auth application-default login
-
Compute-Instanzadministrator (Version 1) (
roles/compute.instanceAdmin.v1
) -
Dienstkonten erstellen (
roles/iam.serviceAccountCreator
) -
Zum Erstellen von Dienstkonten: Alle Berechtigungen in der Rolle
serviceAccountCreator
-
Zum Erstellen von VMs:
compute.instances.create
für das Projekt- So erstellen Sie die VM mit einem benutzerdefinierten Image:
compute.images.useReadOnly
für das Image - So erstellen Sie die VM mit einem Snapshot:
compute.snapshots.useReadOnly
für den Snapshot - So verwenden Sie eine Instanzvorlage zum Erstellen der VM:
compute.instanceTemplates.useReadOnly
für die Instanzvorlage - So weisen Sie der VM ein Legacy-Netzwerk zu:
compute.networks.use
für das Projekt - So geben Sie eine statische IP-Adresse für die VM an:
compute.addresses.use
für das Projekt - So weisen Sie der VM eine externe IP-Adresse zu, wenn Sie ein Legacy-Netzwerk verwenden:
compute.networks.useExternalIp
für das Projekt - So geben Sie ein Subnetz für die VM an:
compute.subnetworks.use
für das Projekt oder für das ausgewählte Subnetz - So weisen Sie der VM eine externe IP-Adresse zu, wenn Sie ein VPC-Netzwerk verwenden:
compute.subnetworks.useExternalIp
für das Projekt oder für das ausgewählte Subnetz - So legen Sie die VM-Instanzmetadaten für die VM fest:
compute.instances.setMetadata
für das Projekt - Zum Festlegen von Tags für die VM:
compute.instances.setTags
auf der VM - So legen Sie Labels für die VM fest:
compute.instances.setLabels
auf der VM - So legen Sie ein Dienstkonto fest, das von der VM verwendet werden soll:
compute.instances.setServiceAccount
auf der VM - So erstellen Sie ein neues Laufwerk für die VM:
compute.disks.create
für das Projekt - So hängen Sie ein vorhandenes Laufwerk im Lese- oder Lesemodus an:
compute.disks.use
für das Laufwerk - So fügen Sie ein vorhandenes Laufwerk im Lesemodus hinzu:
compute.disks.useReadOnly
für das Laufwerk
- Erstellen Sie ein neues nutzerverwaltetes Dienstkonto, anstatt das Compute Engine-Standarddienstkonto zu verwenden, und weisen Sie diesem Dienstkonto nur IAM-Rollen für die Ressourcen und Vorgänge zu, die es benötigt.
- Hängen Sie das Dienstkonto an Ihre VM an.
- Legen Sie den Bereich der Cloud Platform (
https://www.googleapis.com/auth/cloud-platform
) für Ihre VM fest. Dadurch kann das Dienstkonto der VM die Google Cloud APIs aufrufen, für die es berechtigt ist.- Wenn Sie das Dienstkonto mithilfe der Google Cloud Console angeben, entspricht der Zugriffsbereich der VM automatisch dem Bereich
cloud-platform
. - Wenn Sie das Dienstkonto über die Google Cloud CLI oder die Compute Engine API angeben, können Sie den Parameter
scopes
zum Festlegen des Zugriffsbereichs verwenden.
- Wenn Sie das Dienstkonto mithilfe der Google Cloud Console angeben, entspricht der Zugriffsbereich der VM automatisch dem Bereich
- Select your project.
-
In the Service account name field, enter a name. The Google Cloud console fills in the Service account ID field based on this name.
In the Service account description field, enter a description. For example,
Service account for quickstart
. - Click Create and continue.
-
Grant the required roles to the service account.
To grant a role, find the Select a role list, then select the role.
To grant additional roles, click
Add another role and add each additional role. - Click Continue.
-
In the Service account users role field, enter the identifier for the principal that will attach the service account to other resources, such as Compute Engine instances.
This is typically the email address for a Google Account.
-
Click Done to finish creating the service account.
-
Create the service account:
gcloud iam service-accounts create SERVICE_ACCOUNT_NAME
Replace
SERVICE_ACCOUNT_NAME
with a name for the service account. -
To provide access to your project and your resources, grant a role to the service account:
gcloud projects add-iam-policy-binding PROJECT_ID --member="serviceAccount:SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com" --role=ROLE
Replace the following:
SERVICE_ACCOUNT_NAME
: the name of the service accountPROJECT_ID
: the project ID where you created the service accountROLE
: the role to grant
- To grant another role to the service account, run the command as you did in the previous step.
-
Grant the required role to the principal that will attach the service account to other resources.
gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com --member="user:USER_EMAIL" --role=roles/iam.serviceAccountUser
Replace the following:
SERVICE_ACCOUNT_NAME
: the name of the service accountPROJECT_ID
: the project ID where you created the service accountUSER_EMAIL
: the email address for a Google Account
- Rufen Sie in der Google Cloud Console die Seite VM-Instanzen auf.
- Wählen Sie Ihr Projekt aus und klicken Sie auf Weiter.
- Klicken Sie auf Instanz erstellen.
- Geben Sie einen Namen für Ihre VM an.
- Wechseln Sie zum Abschnitt Identität und API-Zugriff.
- Wählen Sie in der Liste Dienstkonto das erstellte Dienstkonto aus. Wenn Sie ein Dienstkonto an eine VM anhängen, wird der Google Cloud-Zugriffsbereich
cloud-platform
automatisch auf der VM festgelegt. - Nehmen Sie bei Bedarf weitere VM-Anpassungen vor.
- Klicken Sie zum Erstellen und Starten der VM auf Erstellen.
SERVICE_ACCOUNT_EMAIL
: die E-Mail-Adresse des von Ihnen erstellten Dienstkontos. Beispiel:[email protected]
. Informationen zum Aufrufen der E-Mail-Adresse finden Sie unter Dienstkonten auflisten.VM_NAME
ist der Name der VM-Instanz.PROJECT_ID
ist die ID des Projekts, in dem die VM erstellt werden soll.ZONE
ist die Zone, in der die VM erstellt werden soll.MACHINE_TYPE_ZONE
ist die Zone mit dem Maschinentyp, der für die neue VM verwendet werden soll.MACHINE_TYPE
legt einen vordefinierten oder benutzerdefinierten Maschinentyp für die neue VM fest.VM_NAME
ist der Name der neuen VM.IMAGE_PROJECT
: Projekt, das das Image enthält
Wenn Sie beispielsweisedebian-10
als Image-Familie angeben, geben Siedebian-cloud
als Image-Projekt an.IMAGE or IMAGE_FAMILY
: Wählen Sie eine der folgenden Optionen aus:IMAGE
: eine bestimmte Version eines öffentlichen Images
Beispiel:"sourceImage": "projects/debian-cloud/global/images/debian-10-buster-v20200309"
IMAGE_FAMILY
: eine Image-Familie
. Dadurch wird die VM aus dem neuesten nicht verworfenen Betriebssystem-Image erstellt. Wenn Sie beispielsweise"sourceImage": "projects/debian-cloud/global/images/family/debian-10"
angeben, legt Compute Engine eine VM aus der neuesten Version des Betriebssystem-Images in derDebian 10
-Image-Familie an.
NETWORK_NAME
: das VPC-Netzwerk, das Sie für die VM verwenden möchten. Sie könnendefault
angeben, um Ihr Standardnetzwerk zu verwenden.SERVICE_ACCOUNT_EMAIL
: die E-Mail-Adresse des von Ihnen erstellten Dienstkontos. Beispiel:[email protected]
Informationen zum Abrufen der E-Mail-Adresse finden Sie unter E-Mail-Adresse für Dienstkonto abrufen.ENABLE_SECURE_BOOT
: (Optional) Wenn Sie ein Image ausgewählt haben, das Shielded VM-Features unterstützt, aktiviert Compute Engine standardmäßig das Virtual Trusted Platform Module (vTPM) und das Integritätsmonitoring. Compute Engine aktiviert nicht standardmäßig Secure Boot.Wenn Sie für
enableSecureBoot
den Werttrue
angeben, erstellt Compute Engine eine VM, bei der alle drei Shielded VM-Features aktiviert sind. Nachdem Compute Engine Ihre VM gestartet hat, müssen Sie die VM beenden, um Shielded VM-Optionen zu ändern.Prüfen Sie, ob das mit der VM verknüpfte Dienstkonto die Rolle
roles/storage.admin
hat.Wenn Ihre VM ein benutzerdefiniertes Betriebssystem-Image verwendet, installieren Sie die gcloud CLI. Standardmäßig ist die gcloud CLI auf den meisten öffentlichen Betriebssystem-Images installiert, die von Google Cloud bereitgestellt werden.
Stellen Sie eine Verbindung zur VM her.
Verwenden Sie auf der VM eines der folgenden Tools, um Ihre Cloud Storage-Ressourcen zu verwalten.
- Arbeitslasten mit Dienstkonten authentifizieren
- Dienstkonto ändern, das an eine VM angehängt ist
- Dienstkonten auflisten und bearbeiten
- Lesen Sie die Best Practices für die Arbeit mit Dienstkonten und mindern Sie Sicherheitsrisiken.
Terraform
Wenn Sie die Terraform-Beispiele auf dieser Seite in einer lokalen Entwicklungsumgebung verwenden möchten, installieren und initialisieren Sie die gcloud CLI und richten dann die Standardanmeldedaten für Anwendungen mit Ihren Nutzeranmeldedaten ein.
Weitere Informationen unter Set up authentication for a local development environment.
REST
Verwenden Sie die von der gcloud CLI bereitgestellten Anmeldedaten, um die REST API-Beispiele auf dieser Seite in einer lokalen Entwicklungsumgebung zu verwenden.
Install the Google Cloud CLI, then initialize it by running the following command:
gcloud init
Weitere Informationen finden Sie unter Für die Verwendung von REST authentifizieren in der Dokumentation zur Google Cloud-Authentifizierung.
Erforderliche Rollen
Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für Ihr Projekt zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Erstellen von VMs mit Dienstkonten benötigen:
Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff verwalten.
Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Erstellen von VMs, die Dienstkonten verwenden, erforderlich sind. Erweitern Sie den Abschnitt Erforderliche Berechtigungen, um die erforderlichen Berechtigungen anzuzeigen:
Erforderliche Berechtigungen
Die folgenden Berechtigungen sind erforderlich, um VMs zu erstellen, die Dienstkonten verwenden:
Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.
Überblick
Es wird empfohlen, Dienstkonten für Ihre VMs so zu konfigurieren:
Dienstkonto einrichten
Erstellen Sie ein Dienstkonto und weisen Sie die erforderlichen IAM-Rollen zu. Weisen Sie so viele IAM-Rollen wie nötig zu. Sie können die IAM-Rollen für Ihr Dienstkonto nach Bedarf ändern.
Google empfiehlt, die Berechtigungen von Dienstkonten einzuschränken und Ihre Dienstkontoberechtigungen regelmäßig zu prüfen, um sicherzustellen, dass sie aktuell sind.
Verwenden Sie eine der folgenden Methoden, um das Dienstkonto einzurichten.
Console
In the Google Cloud console, go to the Create service account page.
Go to Create service accountgcloud
Set up authentication:
Terraform
Sie können zum Erstellen eines Dienstkontos die Ressource
google_service_account
verwenden.Ersetzen Sie die Platzhalterwerte für die Attribute
account_id
unddisplay_name
.Informationen zum Anwenden oder Entfernen einer Terraform-Konfiguration finden Sie unter Grundlegende Terraform-Befehle.
VM erstellen und Dienstkonto anhängen
Nachdem Sie das Dienstkonto erstellt haben, erstellen Sie eine VM und hängen Sie das Dienstkonto an, das Sie im vorherigen Abschnitt erstellt haben. Legen Sie außerdem den Zugriffsbereich der VM auf
cloud-platform
fest.Wenn Sie bereits eine VM haben und diese VM für die Verwendung eines anderen Dienstkontos konfigurieren möchten, finden Sie weitere Informationen unter Angehängtes Dienstkonto ändern.
Verwenden Sie eine der folgenden Methoden, um eine VM zu erstellen und das Dienstkonto anzuhängen.
Console
gcloud
Wenn Sie eine neue VM-Instanz erstellen und sie mithilfe der Google Cloud CLI für die Verwendung eines benutzerdefinierten Dienstkontos konfigurieren möchten, verwenden Sie den Befehl
gcloud compute instances create
und geben Sie die Dienstkonto-E-Mail-Adresse sowie den Zugriffsbereichcloud-platform
für die VM-Instanz an.gcloud compute instances create VM_NAME \ --service-account=SERVICE_ACCOUNT_EMAIL \ --scopes=https://www.googleapis.com/auth/cloud-platform
Ersetzen Sie Folgendes:
Beispiel:
gcloud compute instances create example-vm \ --service-account [email protected] \ --scopes=https://www.googleapis.com/auth/cloud-platform
Sie können den Bereich auch mit dem Alias
--scopes=cloud-platform
angeben. Diese Aliasse werden nur von der gcloud CLI erkannt. Die API und andere Bibliotheken erkennen diese Aliasse nicht, sodass Sie den vollen Bereichs-URI angeben müssen.Terraform
Wenn Sie eine neue VM für die Verwendung eines Dienstkontos einrichten möchten, können Sie die Ressource
google_compute_instance
verwenden.REST
Verwenden Sie die Methode
instances.insert
, um die VM zu erstellen, und geben Sie die Dienstkonto-E-Mail-Adresse und den Zugriffsbereich für die VM-Instanz an.POST https://compute.googleapis.com/compute/v1/projects/
PROJECT_ID
/zones/ZONE
/instances { "machineType":"zones/MACHINE_TYPE_ZONE/machineTypes/MACHINE_TYPE", "name":"VM_NAME
", "disks":[ { "initializeParams":{ "sourceImage":"projects/IMAGE_PROJECT/global/images/IMAGE" }, "boot":true } ], "networkInterfaces":[ { "network":"global/networks/NETWORK_NAME" } ], "serviceAccounts": [ { "email": "SERVICE_ACCOUNT_EMAIL", "scopes": ["https://www.googleapis.com/auth/cloud-platform"] } ], "shieldedInstanceConfig":{ "enableSecureBoot":"ENABLE_SECURE_BOOT" } }Ersetzen Sie Folgendes:
Auf andere Google Cloud-Dienste zugreifen und diese verwenden
Nachdem Ihre VM für die Verwendung des Dienstkontos konfiguriert wurde, können sich Anwendungen mit dem Dienstkonto authentifizieren. Die gängigste Methode ist die Authentifizierung mithilfe von Standardanmeldedaten für Anwendungen und einer Clientbibliothek. Einige Google Cloud-Tools wie die gcloud CLI und
gsutil
können automatisch das Dienstkonto verwenden, um von einer VM aus auf Google Cloud APIs zuzugreifen. Weitere Informationen finden Sie unter Arbeitslasten mit Dienstkonten authentifizieren.Wenn ein Dienstkonto gelöscht wird, haben Anwendungen über dieses Dienstkonto keinen Zugriff mehr auf Google Cloud-Ressourcen. Wenn Sie die standardmäßigen App Engine- und Compute Engine-Dienstkonten löschen, haben ihre VMs keinen Zugriff mehr auf Ressourcen in dem Projekt. Wenn Sie nicht sicher sind, ob ein Dienstkonto aktuell verwendet wird, sollten Sie das Dienstkonto deaktivieren, bevor Sie es löschen. Deaktivierte Dienstkonten lassen sich wieder aktivieren, wenn sie noch benötigt werden.
Beispiel: Zugriff auf Cloud Storage-Ressourcen von Ihrer VM aus
Nachdem Sie Ihre VM für die Verwendung eines Dienstkontos mit der Rolle
storage.admin
konfiguriert haben, können Sie Tools wie die gcloud CLI undgsutil
zum Verwalten von Dateien verwenden, die Sie in Cloud Storage gespeichert haben. Führen Sie die folgenden Schritte aus, um auf Ihre Cloud Storage-Ressourcen zuzugreifen:Nächste Schritte
Sofern nicht anders angegeben, sind die Inhalte dieser Seite unter der Creative Commons Attribution 4.0 License und Codebeispiele unter der Apache 2.0 License lizenziert. Weitere Informationen finden Sie in den Websiterichtlinien von Google Developers. Java ist eine eingetragene Marke von Oracle und/oder seinen Partnern.
Zuletzt aktualisiert: 2024-08-16 (UTC).
[{ "type": "thumb-down", "id": "hardToUnderstand", "label":"Hard to understand" },{ "type": "thumb-down", "id": "incorrectInformationOrSampleCode", "label":"Incorrect information or sample code" },{ "type": "thumb-down", "id": "missingTheInformationSamplesINeed", "label":"Missing the information/samples I need" },{ "type": "thumb-down", "id": "translationIssue", "label":"Problem mit der Übersetzung" },{ "type": "thumb-down", "id": "otherDown", "label":"Sonstiges" }] [{ "type": "thumb-up", "id": "easyToUnderstand", "label":"Leicht verständlich" },{ "type": "thumb-up", "id": "solvedMyProblem", "label":"Mein Problem wurde gelöst" },{ "type": "thumb-up", "id": "otherUp", "label":"Sonstiges" }] -