Crear una VM que use una cuenta de servicio gestionada por el usuario

En este documento se explica cómo crear una instancia de máquina virtual (VM) configurada para usar una cuenta de servicio gestionada por el usuario. Una cuenta de servicio es un tipo especial de cuenta que suelen usar las aplicaciones o las cargas de trabajo de computación para hacer llamadas a la API autorizadas.

Las cuentas de servicio son necesarias en situaciones en las que una carga de trabajo, como una aplicación personalizada, necesita acceder a recursos de Google Cloud o realizar acciones sin la intervención de un usuario final. Para obtener más información sobre cuándo usar cuentas de servicio, consulta las prácticas recomendadas para usar cuentas de servicio.

Si tienes aplicaciones que necesitan hacer llamadas a las APIs de Google Cloud , Google recomienda que asocies una cuenta de servicio gestionada por el usuario a la VM en la que se ejecuta la aplicación o la carga de trabajo. A continuación, asigna roles de gestión de identidades y accesos a la cuenta de servicio, lo que le da acceso a losGoogle Cloud recursos, así como a las aplicaciones que se ejecutan en la VM.

Antes de empezar

• Si aún no lo has hecho, configura la autenticación. La autenticación verifica tu identidad para acceder a Google Cloud servicios y APIs. Para ejecutar código o ejemplos desde un entorno de desarrollo local, puedes autenticarte en Compute Engine seleccionando una de las siguientes opciones:

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. Instala Google Cloud CLI. Después de la instalación, inicializa la CLI de Google Cloud ejecutando el siguiente comando:

     gcloud init

     Si utilizas un proveedor de identidades (IdP) externo, primero debes iniciar sesión en la CLI de gcloud con tu identidad federada.

  2. Set a default region and zone.

  Terraform

  Para usar las muestras de Terraform de esta página en un entorno de desarrollo local, instala e inicializa la CLI de gcloud y, a continuación, configura las credenciales predeterminadas de la aplicación con tus credenciales de usuario.

  Instala Google Cloud CLI.

  Si utilizas un proveedor de identidades (IdP) externo, primero debes iniciar sesión en la CLI de gcloud con tu identidad federada.

  If you're using a local shell, then create local authentication credentials for your user account:

  gcloud auth application-default login

  You don't need to do this if you're using Cloud Shell.

  If an authentication error is returned, and you are using an external identity provider (IdP), confirm that you have signed in to the gcloud CLI with your federated identity.

  Para obtener más información, consulta Set up authentication for a local development environment.

  REST

  Para usar las muestras de la API REST de esta página en un entorno de desarrollo local, debes usar las credenciales que proporciones a la CLI de gcloud.

  Instala Google Cloud CLI.

  Si utilizas un proveedor de identidades (IdP) externo, primero debes iniciar sesión en la CLI de gcloud con tu identidad federada.

  Para obtener más información, consulta el artículo Autenticarse para usar REST de la documentación sobre autenticación de Google Cloud .

Roles obligatorios

Para obtener los permisos que necesitas para crear VMs que usen cuentas de servicio, pide a tu administrador que te conceda los siguientes roles de gestión de identidades y accesos en el proyecto:

• Administrador de instancias de Compute (v. 1) (roles/compute.instanceAdmin.v1)
• Crear cuentas de servicio (roles/iam.serviceAccountCreator)
• Administrador de gestión de identidades y accesos del proyecto (roles/resourcemanager.projectIamAdmin)

Para obtener más información sobre cómo conceder roles, consulta el artículo Gestionar el acceso a proyectos, carpetas y organizaciones.

Estos roles predefinidos contienen los permisos necesarios para crear VMs que usen cuentas de servicio. Para ver los permisos exactos que se necesitan, despliega la sección Permisos necesarios:

También puedes obtener estos permisos con roles personalizados u otros roles predefinidos.

Información general

Te recomendamos que configures las cuentas de servicio de tus máquinas virtuales de la siguiente manera:

1. Crea una cuenta de servicio gestionada por el usuario en lugar de usar la cuenta de servicio predeterminada de Compute Engine y asigna roles de IAM a esa cuenta de servicio solo para los recursos y las operaciones que necesite.
2. Asocia la cuenta de servicio a tu VM.
3. Define el alcance de la plataforma en la nube (https://www.googleapis.com/auth/cloud-platform) en tu VM. De esta forma, la cuenta de servicio de la VM puede llamar a las APIs para las que tiene permiso. Google Cloud
   • Si especificas la cuenta de servicio mediante la Google Cloud consola, define el permiso de acceso de la cuenta de servicio como Permitir el acceso completo a todas las APIs de Cloud.
   • Si especificas la cuenta de servicio mediante la CLI de Google Cloud o la API de Compute Engine, puedes usar el parámetro scopes para definir el ámbito de acceso.

Configurar una cuenta de servicio

Crea una cuenta de servicio y asigna los roles de gestión de identidades y accesos necesarios. Asigna los roles de gestión de identidades y accesos que necesites. Puedes modificar los roles de gestión de identidades y accesos de tu cuenta de servicio según sea necesario.

Google te recomienda que limites los privilegios de las cuentas de servicio y que revises periódicamente los permisos de tus cuentas de servicio para asegurarte de que estén actualizados.

Utiliza uno de los siguientes métodos para configurar la cuenta de servicio.

resource "google_service_account" "default" {
  account_id   = "service-account-id"
  display_name = "Service Account"
}

Crear una VM y adjuntar la cuenta de servicio

Después de crear la cuenta de servicio, crea una VM y adjunta la cuenta de servicio que has creado en la sección anterior. También debes definir el alcance de acceso de la VM en cloud-platform.

Si ya tienes una máquina virtual y quieres configurarla para que use otra cuenta de servicio, consulta el artículo Cambiar la cuenta de servicio vinculada.

Usa uno de los siguientes métodos para crear una VM y adjuntar la cuenta de servicio.

gcloud compute instances create VM_NAME \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --scopes=https://www.googleapis.com/auth/cloud-platform

gcloud compute instances create example-vm \
    --service-account 123-my-sa@my-project-123.iam.gserviceaccount.com \
    --scopes=https://www.googleapis.com/auth/cloud-platform

resource "google_compute_instance" "default" {
  name         = "my-test-vm"
  machine_type = "n1-standard-1"
  zone         = "us-central1-a"

  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-11"
    }
  }

  // Local SSD disk
  scratch_disk {
    interface = "SCSI"
  }

  network_interface {
    network = "default"

    access_config {
      // Ephemeral public IP
    }
  }

  service_account {
    # Google recommends custom service accounts with `cloud-platform` scope with
    # specific permissions granted via IAM Roles.
    # This approach lets you avoid embedding secret keys or user credentials
    # in your instance, image, or app code
    email  = google_service_account.default.email
    scopes = ["cloud-platform"]
  }
}

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

{
   "machineType":"zones/MACHINE_TYPE_ZONE/machineTypes/MACHINE_TYPE",
   "name":"VM_NAME",
   
   "disks":[
      {
         "initializeParams":{
            "sourceImage":"projects/IMAGE_PROJECT/global/images/IMAGE"
         },
         "boot":true
      }
   ],
   
   
   "networkInterfaces":[
      {
         "network":"global/networks/NETWORK_NAME"
      }
   ],
   
  "serviceAccounts": [
      {
      "email": "SERVICE_ACCOUNT_EMAIL",
      "scopes": ["https://www.googleapis.com/auth/cloud-platform"]
      }
   ],
   "shieldedInstanceConfig":{
      "enableSecureBoot":"ENABLE_SECURE_BOOT"
   }
}

Acceder y usar otros servicios de Google Cloud

Una vez que la VM esté configurada para usar la cuenta de servicio, las aplicaciones podrán usarla para autenticarse. El método más habitual es autenticarte mediante credenciales de aplicación predeterminadas y una biblioteca de cliente. Algunas Google Cloud herramientas, como la CLI de gcloud, pueden usar automáticamente la cuenta de servicio para acceder a las APIs Google Cloud desde una VM. Para obtener más información, consulta el artículo Autenticar cargas de trabajo con cuentas de servicio.

Si se elimina una cuenta de servicio, las aplicaciones ya no tendrán acceso a los recursos deGoogle Cloud a través de esa cuenta de servicio. Si eliminas las cuentas de servicio predeterminadas de App Engine y Compute Engine, tus VMs ya no tendrán acceso a los recursos del proyecto. Si no sabes con certeza si se está usando una cuenta de servicio, Google recomienda inhabilitarla antes de eliminarla. Las cuentas de servicio inhabilitadas se pueden volver a habilitar si siguen siendo necesarias.

Ejemplo: Acceder a recursos de Cloud Storage desde una VM

Una vez que hayas configurado tu máquina virtual para que use una cuenta de servicio que tenga el rol storage.admin, puedes usar herramientas como la CLI de gcloud para gestionar los archivos que hayas almacenado en Cloud Storage. Para acceder a tus recursos de Cloud Storage, haz lo siguiente:

1. Asegúrate de que la cuenta de servicio vinculada a tu VM tenga el rol roles/storage.admin.

2. Si tu máquina virtual usa una imagen de SO personalizada, instala gcloud CLI. De forma predeterminada, gcloud CLI se instala en la mayoría de las imágenes de SO públicas que proporciona Google Cloud.

3. Conéctate a la VM.

4. Desde la VM, usa Google Cloud CLI para gestionar tus recursos de Cloud Storage.

Siguientes pasos

• Consulta cómo autenticar cargas de trabajo con cuentas de servicio.
• Consulta cómo cambiar la cuenta de servicio vinculada a una máquina virtual.
• Consulta cómo listar y editar cuentas de servicio.
• Consulta las prácticas recomendadas para trabajar con cuentas de servicio y mitiga los riesgos de seguridad.