Crea una VM che utilizza un account di servizio gestito dall'utente

Questo documento spiega come creare un'istanza di macchina virtuale (VM) che sia e configurato in modo da utilizzare un account di servizio gestito dall'utente. Un account di servizio è un'istanza tipo di account solitamente utilizzato da un'applicazione o da un carico di lavoro di computing di chiamate API autorizzate.

Gli account di servizio sono necessari negli scenari in cui un carico di lavoro, ad esempio applicazione, deve accedere alle risorse Google Cloud o eseguire azioni il coinvolgimento dell'utente finale. Per ulteriori informazioni su quando utilizzare gli account di servizio, consulta le best practice per l'utilizzo degli account di servizio.

Se hai applicazioni che devono effettuare chiamate alle API Google Cloud, Google consiglia di collegare un account di servizio gestito dall'utente alla VM su cui dell'applicazione o del carico di lavoro. Quindi, concedi l'account di servizio i ruoli IAM, che forniscono all'account di servizio per estensione, le applicazioni in esecuzione sulla VM: l'accesso dell'accesso a specifiche risorse Google Cloud.

Prima di iniziare

• Se non l'hai già fatto, configura l'autenticazione. Autenticazione è Il processo di verifica dell'identità per l'accesso ai servizi e alle API di Google Cloud. Per eseguire codice o esempi da un ambiente di sviluppo locale, puoi eseguire l'autenticazione Compute Engine come segue.
  

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. Install the Google Cloud CLI, then initialize it by running the following command:

     gcloud init

  2. Set a default region and zone.

  Terraform

  Per utilizzare gli esempi di Terraform in questa pagina in un ambiente dell'ambiente di sviluppo, installare e inizializzare gcloud CLI quindi configura Credenziali predefinite dell'applicazione con le tue credenziali utente.

  1. Install the Google Cloud CLI.

  2. To initialize the gcloud CLI, run the following command:

     gcloud init

  3. Create local authentication credentials for your user account:

     gcloud auth application-default login

  Per ulteriori informazioni, vedi Set up authentication for a local development environment.

  REST

  Per utilizzare gli esempi di API REST in questa pagina in un ambiente di sviluppo locale, utilizzi le credenziali che fornisci a gcloud CLI.

  Install the Google Cloud CLI, then initialize it by running the following command:

  gcloud init

  Per ulteriori informazioni, vedi Esegui l'autenticazione per l'utilizzo di REST nella documentazione sull'autenticazione di Google Cloud.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per creare VM che utilizzano account di servizio, chiedi all'amministratore di concederti seguenti ruoli IAM sul progetto:

• Amministratore istanze Compute (v1) (roles/compute.instanceAdmin.v1)
• Crea account di servizio (roles/iam.serviceAccountCreator)

Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso.

Questi ruoli predefiniti le autorizzazioni necessarie per creare VM che usano account di servizio. Per vedere le autorizzazioni esatte obbligatorie, espandi la sezione Autorizzazioni obbligatorie:

Potresti anche riuscire a ottenere queste autorizzazioni con ruoli personalizzati altri ruoli predefiniti.

Panoramica

Ti consigliamo di configurare gli account di servizio per le VM che segue:

1. Crea un nuovo account di servizio gestito dall'utente anziché utilizzare Compute Engine l'account di servizio predefinito e concedere i ruoli IAM a quest'ultimo per e solo le risorse e le operazioni di cui ha bisogno.
2. Collega l'account di servizio alla VM.
3. Imposta l'ambito Cloud Platform (https://www.googleapis.com/auth/cloud-platform) su della VM. Ciò consente all'account di servizio della VM di chiamare le API Google Cloud che dispone dell'autorizzazione all'utilizzo.
   • Se specifichi l'account di servizio utilizzando la console Google Cloud, l'ambito di accesso della VM viene impostato automaticamente sul cloud-platform l'ambito di attività.
   • Se specifichi l'account di servizio utilizzando Google Cloud CLI o Compute Engine puoi utilizzare il parametro scopes per impostare l'ambito di accesso.

Configurare un account di servizio

Creare un account di servizio e assegnare i ruoli IAM richiesti. Assegna il numero massimo o minimo di ruoli IAM in base alle tue esigenze. Puoi modificare i ruoli IAM sull'account di servizio in base alle esigenze.

Google ti consiglia limitare i privilegi degli account di servizio e controllare regolarmente le autorizzazioni dell'account di servizio per sempre aggiornate.

Utilizza uno dei seguenti metodi per configurare l'account di servizio.

resource "google_service_account" "default" {
  account_id   = "service-account-id"
  display_name = "Service Account"
}

Crea una VM e collega l'account di servizio

Dopo aver creato l'account di servizio, crea una VM e collega l'account di servizio creato nella sezione precedente. Imposta anche l'ambito di accesso della VM su cloud-platform.

Se hai già una VM esistente e vuoi configurarla per l'utilizzo un altro account di servizio, Cambia l'account di servizio collegato.

Utilizza uno dei seguenti metodi per creare una VM e collegare l'account di servizio.

gcloud compute instances create VM_NAME \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --scopes=https://www.googleapis.com/auth/cloud-platform

gcloud compute instances create example-vm \
    --service-account [email protected] \
    --scopes=https://www.googleapis.com/auth/cloud-platform

resource "google_compute_instance" "default" {
  name         = "my-test-vm"
  machine_type = "n1-standard-1"
  zone         = "us-central1-a"

  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-11"
    }
  }

  // Local SSD disk
  scratch_disk {
    interface = "SCSI"
  }

  network_interface {
    network = "default"

    access_config {
      // Ephemeral public IP
    }
  }

  service_account {
    # Google recommends custom service accounts with `cloud-platform` scope with
    # specific permissions granted via IAM Roles.
    # This approach lets you avoid embedding secret keys or user credentials
    # in your instance, image, or app code
    email  = google_service_account.default.email
    scopes = ["cloud-platform"]
  }
}

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

{
   "machineType":"zones/MACHINE_TYPE_ZONE/machineTypes/MACHINE_TYPE",
   "name":"VM_NAME",
   
   "disks":[
      {
         "initializeParams":{
            "sourceImage":"projects/IMAGE_PROJECT/global/images/IMAGE"
         },
         "boot":true
      }
   ],
   
   
   "networkInterfaces":[
      {
         "network":"global/networks/NETWORK_NAME"
      }
   ],
   
  "serviceAccounts": [
      {
      "email": "SERVICE_ACCOUNT_EMAIL",
      "scopes": ["https://www.googleapis.com/auth/cloud-platform"]
      }
   ],
   "shieldedInstanceConfig":{
      "enableSecureBoot":"ENABLE_SECURE_BOOT"
   }
}

Accedere ad altri servizi Google Cloud e utilizzarli

Una volta configurata la VM per l'utilizzo dell'account di servizio, le applicazioni e usare l'account di servizio per l'autenticazione. Il metodo più comune è autenticarsi utilizzando Credenziali predefinite dell'applicazione e una libreria client. Alcuni strumenti Google Cloud, come gcloud CLI sono in grado di utilizzare automaticamente il servizio per accedere alle API Google Cloud da una VM. Per ulteriori informazioni, consulta Autenticare i carichi di lavoro utilizzando gli account di servizio.

Se un account di servizio viene eliminato, le applicazioni non avranno più accesso a alle risorse Google Cloud tramite quell'account di servizio. Se elimini il cluster agli account di servizio App Engine e Compute Engine, le tue VM non avranno più l'accesso alle risorse nel progetto. Se non sai con certezza se un servizio è in uso, Google consiglia disattivare l'account di servizio prima di eliminarlo. Gli account di servizio disabilitati possono essere riattivati se sono ancora necessaria.

Esempio: accedi alle risorse Cloud Storage dalla tua VM

Dopo aver configurato la VM per l'utilizzo di un account di servizio con ruolo storage.admin, puoi utilizzare strumenti come gcloud CLI per gestire i file archiviati su Cloud Storage. Per accedere a Risorse Cloud Storage, completa quanto segue:

1. Assicurati che l'account di servizio collegato alla VM abbia Ruolo roles/storage.admin.

2. Se la VM utilizza un'immagine sistema operativo personalizzata, installa gcloud CLI. Per impostazione predefinita, gcloud CLI è installato sulla maggior parte delle immagini del sistema operativo pubbliche fornite da Google Cloud.

3. Connettiti alla VM.

4. Dalla VM, utilizza Google Cloud CLI per per gestire le risorse di Cloud Storage.

Passaggi successivi

• Scopri come autenticare i carichi di lavoro usando gli account di servizio.
• Scopri come cambia l'account di servizio collegato a una VM.
• Scopri come elencare e modificare gli account di servizio.
• Consulta le best practice per l'utilizzo degli account di servizio e mitigare i rischi per la sicurezza.