Le app App Engine richiedono un account di servizio per accedere ad altri servizi Google Cloud ed eseguire attività. Per impostazione predefinita, il service account predefinito di App Engine viene utilizzato come identità della tua app App Engine. Puoi anche specificare un account di servizio gestito dall'utente diverso da utilizzare come identità per una versione specifica della tua app App Engine. In questo modo, puoi concedere privilegi diversi a ogni versione, in base alle attività specifiche che esegue, ed evitare di concedere più privilegi del necessario.
Questa guida spiega come specificare un account di servizio gestito dall'utente diverso quando si esegue il deployment di una nuova versione. Se non devi creare un account di servizio distinto quando esegui il deployment di una versione specifica della tua app, puoi continuare a utilizzare l'account di servizio predefinito non specificandone uno.
Creazione di un account di servizio gestito dall'utente
Per creare un account di servizio gestito dall'utente, consulta queste istruzioni. Quando definisci i ruoli IAM (Identity and Access Management) da concedere al tuo account di servizio, puoi consultare la sezione Ruoli che concedono l'accesso ad App Engine.
Se devi rivedere i concetti di IAM prima di creare il tuo account di servizio, consulta la panoramica dei concetti di IAM e le guide agli account di servizio.
Specifica di un account di servizio durante il deployment dell'app
gcloud
Esegui il comando gcloud app deploy e specifica il tuo account di servizio:
gcloud app deploy --service-account=SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com
appengine-web.xml
Nel file appengine-web.xml, specifica il tuo account di servizio aggiungendo l'elemento
<service-account>:
<service-account>SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com</service-account>
Passaggi successivi
Segui le best practice per l'utilizzo degli account di servizio.