在 Cloud Code for IntelliJ 中管理 Cloud API 和程式庫

本機電腦

如果您透過 IDE 登入 Google Cloud，Cloud Code 會確保您已設定應用程式預設憑證 (ADC)。如果您未使用 Cloud Code 登入，請手動執行 gcloud auth application-default login。

minikube

1. 如果您透過 IDE 登入 Google Cloud，Cloud Code 會確保您已設定應用程式預設憑證 (ADC)。如果您未使用 Cloud Code 登入，請手動執行 gcloud auth application-default login。
2. 使用 minikube start --addons gcp-auth 啟動 minikube。這樣就能將 ADC 掛載到 Pod 中。如需 Google Cloud 的詳細 minikube 驗證指南，請參閱 minikube gcp-auth 說明文件。

其他本機 K8s 叢集

1. 如果您透過 IDE 登入 Google Cloud，Cloud Code 會確保您已設定應用程式預設憑證 (ADC)。如果您未使用 Cloud Code 登入，請手動執行 gcloud auth application-default login。
2. 在 Pod 或部署資訊清單中編輯 Pod 規格，將本機 gcloud 目錄掛載至 Kubernetes Pod，以便 Google Cloud 用戶端程式庫找到您的憑證。Kubernetes Pod 設定範例：

   apiVersion: v1
   kind: Pod
   metadata:
     name: my-app
     labels:
       name: my-app
   spec:
     containers:
     - name: my-app
       image: gcr.io/google-containers/busybox
       ports:
         - containerPort: 8080
       volumeMounts:
         - mountPath: /root/.config/gcloud
           name: gcloud-volume
     volumes:
       - name: gcloud-volume
         hostPath:
           path: /path/to/home/.config/gcloud

Cloud Run

如果您透過 IDE 登入 Google Cloud，Cloud Code 會確保您已設定應用程式預設憑證 (ADC)。如果您未使用 Cloud Code 登入，請手動執行 gcloud auth application-default login。

Google Kubernetes Engine

• (僅限開發)
  1. 使用下列設定建立 GKE 叢集：
     • 請確認您使用 GKE 預設的服務帳戶 (即 Compute Engine 預設服務帳戶)，並將存取範圍設為「允許所有 Cloud API 的完整存取權」(這兩項設定皆可在「節點資源池」>「安全性」部分存取)。
       由於 Compute Engine 服務帳戶會由在節點上部署的所有工作負載共用，因此這個方法會過度提供權限，因此應僅用於開發。
     • 確認叢集未啟用 Workload Identity (在「叢集」 >「安全性」部分)。
  2. 將必要角色指派給 Compute Engine 預設服務帳戶：
     • 如果您嘗試存取密鑰，請按照這些 Secret Manager 專屬步驟，在服務帳戶中設定必要的角色。
     • 如果您使用的是 Compute Engine 預設服務帳戶，可能已套用正確的 IAM 角色。

     • 如需身分與存取權管理 (IAM) 角色類型和可授予身分的預先定義角色清單，請參閱瞭解角色指南。

       如需授予角色的步驟，請參閱「授予、變更及撤銷資源存取權」一文。

• (正式版建議使用)
  1. 使用 Workload Identity 設定 GKE 叢集和應用程式，即可在 GKE 上驗證 Google Cloud 服務。這樣一來，您的 Kubernetes 服務帳戶就會與 Google 服務帳戶建立關聯。
  2. 在 Kubernetes 部署作業 YAML 檔案中設定 .spec.serviceAccountName 欄位，即可將 Kubernetes 部署作業設定為參照 Kubernetes 服務帳戶。
     如果您正在使用由 Cloud Code 範本建立的應用程式，這個檔案會位於 kubernetes-manifests 資料夾下。
  3. 如果您嘗試存取的 Google Cloud 服務需要其他角色，請為您用於開發應用程式的 Google 服務帳戶授予這些角色：
     • 如果您嘗試存取密鑰，請按照這些 Secret Manager 專屬步驟，在服務帳戶中設定必要的角色。

     • 如需身分與存取權管理 (IAM) 角色類型和可授予身分的預先定義角色清單，請參閱瞭解角色指南。

       如需授予角色的步驟，請參閱「授予、變更及撤銷資源存取權」一文。

Cloud Run

1. 如要建立新的專屬服務帳戶來部署 Cloud Run 應用程式，請在「服務帳戶」頁面中，選取儲存密鑰的專案。
   

   前往「Service Accounts」(服務帳戶) 頁面

2. 按一下「建立服務帳戶」。
3. 在「Create service account」對話方塊中，輸入服務帳戶的描述性名稱。
4. 將「服務帳戶 ID」變更為專屬且可辨識的值，然後按一下「建立」。
5. 如果您嘗試存取的 Google Cloud 服務需要其他角色，請授予這些角色，然後按一下「繼續」，再按一下「完成」。
6. 如要將 Kubernetes 服務帳戶新增至部署設定，請依序前往「Run」>「Edit Configurations」，然後在「Service Name」欄位中指定服務帳戶。

Cloud Run

• (僅限開發)
  1. 使用下列設定建立 GKE 叢集：
     • 請確認您使用 GKE 預設的服務帳戶 (即 Compute Engine 預設服務帳戶)，並將存取範圍設為「允許所有 Cloud API 的完整存取權」(這兩項設定皆可在「節點資源池」>「安全性」部分存取)。
       由於 Compute Engine 服務帳戶會由在節點上部署的所有工作負載共用，因此這個方法會過度提供權限，因此應僅用於開發。
       
     • 確認叢集未啟用 Workload Identity (在「叢集」 >「安全性」部分)。
  2. 將必要角色指派給 Compute Engine 預設服務帳戶：
     • 如果您嘗試存取密鑰，請按照這些 Secret Manager 專屬步驟，在服務帳戶中設定必要的角色。
     • 如果您使用的是 Compute Engine 預設服務帳戶，可能已套用正確的 IAM 角色。

     • 如需身分與存取權管理 (IAM) 角色類型和可授予身分的預先定義角色清單，請參閱瞭解角色指南。

       如需授予角色的步驟，請參閱「授予、變更及撤銷資源存取權」一文。

• (正式版建議使用)
  1. 使用 Workload Identity 設定 GKE 叢集和應用程式，即可在 GKE 上驗證 Google Cloud 服務。這樣一來，您的 Kubernetes 服務帳戶就會與 Google 服務帳戶建立關聯。
  2. 如要將 Kubernetes 服務帳戶新增至部署設定，請依序前往「Run」>「Edit Configurations」，然後在「Service Name」欄位中指定 Kubernetes 服務帳戶。
     
  3. 如果您嘗試存取的 Google Cloud 服務需要額外角色，請為您用於開發應用程式的 Google 服務帳戶授予這些角色：
     • 如果您嘗試存取密鑰，請按照這些 Secret Manager 專屬步驟，在服務帳戶中設定必要的角色。

     • 如需身分與存取權管理 (IAM) 角色類型和可授予身分的預先定義角色清單，請參閱瞭解角色指南。

       如需授予角色的步驟，請參閱「授予、變更及撤銷資源存取權」一文。