Cree una máquina virtual que utilice una cuenta de servicio administrada por el usuario

Organízate con las colecciones Guarda y clasifica el contenido según tus preferencias.

Este documento explica cómo crear una instancia de máquina virtual (VM) que esté configurada para usar una cuenta de servicio administrada por el usuario. Una cuenta de servicio es un tipo especial de cuenta que normalmente utiliza una aplicación o carga de trabajo informática para realizar llamadas API autorizadas.

Las cuentas de servicio son necesarias para escenarios en los que una carga de trabajo, como una aplicación personalizada, necesita acceder Google Cloud recursos o realizar acciones sin la participación del usuario final. Para obtener más información sobre cuándo usar cuentas de servicio, consulte Mejores prácticas para usar cuentas de servicio .

Si tienes aplicaciones que necesitan hacer llamadas a Google Cloud API, Google recomienda adjuntar una cuenta de servicio administrada por el usuario a la máquina virtual en la que se ejecuta la aplicación o carga de trabajo. Luego, otorga a la cuenta de servicio funciones de IAM, lo que le otorga a la cuenta de servicio (y, por extensión, a las aplicaciones que se ejecutan en la máquina virtual) acceso aGoogle Cloud recursos.

Antes de comenzar

• Si aún no lo has hecho, configura la autenticación. La autenticación es el proceso mediante el cual se verifica su identidad para acceder a Google Cloud servicios y API. Para ejecutar código o muestras desde un entorno de desarrollo local, puedes autenticarte en Compute Engine seleccionando una de las siguientes opciones:
  

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. After installing the Google Cloud CLI, initialize it by running the following command:

     gcloud init

     If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  2. Set a default region and zone.

  Terraform

  Para usar las muestras de Terraform de esta página en un entorno de desarrollo local, instala e inicializa gcloud CLI y, luego, configura las credenciales predeterminadas de la aplicación con tus credenciales de usuario.

  1. Install the Google Cloud CLI.

  2. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  3. To initialize the gcloud CLI, run the following command:

     gcloud init

  4. If you're using a local shell, then create local authentication credentials for your user account:

     gcloud auth application-default login

     You don't need to do this if you're using Cloud Shell.

     If an authentication error is returned, confirm that you have configured the gcloud CLI to use Workforce Identity Federation.

  Para obtener más información, consulta Set up authentication for a local development environment.

  REST

  Para usar las muestras de la API de REST en esta página en un entorno de desarrollo local, debes usar las credenciales que proporcionas a la CLI de gcloud.

  After installing the Google Cloud CLI, initialize it by running the following command:

  gcloud init

  If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  Para obtener más información, consulta Autentica para usar REST en la documentación de autenticación de Google Cloud .

Roles requeridos

Para obtener los permisos que necesita para crear máquinas virtuales que utilicen cuentas de servicio, solicite a su administrador que le otorgue las siguientes funciones de IAM en el proyecto:

• Administrador de instancias informáticas (v1) ( roles/compute.instanceAdmin.v1 )
• Crear cuentas de servicio ( roles/iam.serviceAccountCreator )
• Administrador de IAM del proyecto ( roles/resourcemanager.projectIamAdmin )

Para obtener más información sobre cómo otorgar roles, consulte Administrar el acceso a proyectos, carpetas y organizaciones .

Estos roles predefinidos contienen los permisos necesarios para crear máquinas virtuales que utilicen cuentas de servicio. Para ver los permisos exactos que se requieren, expanda la sección Permisos requeridos :

Es posible que también pueda obtener estos permisos con roles personalizados u otros roles predefinidos .

Descripción general

Se recomienda configurar cuentas de servicio para sus máquinas virtuales de la siguiente manera:

1. Cree una nueva cuenta de servicio administrada por el usuario en lugar de utilizar la cuenta de servicio predeterminada de Compute Engine y otorgue funciones de IAM a esa cuenta de servicio solo para los recursos y operaciones que necesita.
2. Adjunte la cuenta de servicio a su VM.
3. Configure el alcance de la plataforma en la nube ( https://www.googleapis.com/auth/cloud-platform ) en su máquina virtual. Esto permite que la cuenta de servicio de la VM llame al Google Cloud API para las que tiene permiso de uso.
   • Si especifica la cuenta de servicio mediante la consola de Google Cloud, el alcance de acceso de la VM se establece automáticamente de forma predeterminada en el alcance cloud-platform .
   • Si especifica la cuenta de servicio mediante la CLI de Google Cloud o la API de Compute Engine, puede usar el parámetro scopes para establecer el alcance de acceso.

Configurar una cuenta de servicio

Cree una cuenta de servicio y asigne los roles de IAM necesarios. Asigne tantas funciones de IAM como sea necesario. Puede modificar las funciones de IAM en su cuenta de servicio según sea necesario.

Google recomienda que limite los privilegios de las cuentas de servicio y verifique periódicamente los permisos de su cuenta de servicio para asegurarse de que estén actualizados.

Utilice uno de los siguientes métodos para configurar la cuenta de servicio.

resource "google_service_account" "default" {
  account_id   = "service-account-id"
  display_name = "Service Account"
}

Cree una VM y adjunte la cuenta de servicio

Después de crear la cuenta de servicio, cree una máquina virtual y adjunte la cuenta de servicio que creó en la sección anterior. También configure el alcance de acceso de la VM en cloud-platform .

Si ya tiene una máquina virtual existente y desea configurarla para que use una cuenta de servicio diferente, consulte Cambiar la cuenta de servicio adjunta .

Utilice uno de los siguientes métodos para crear una máquina virtual y adjuntar la cuenta de servicio.

gcloud compute instances create VM_NAME \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --scopes=https://www.googleapis.com/auth/cloud-platform

gcloud compute instances create example-vm \
    --service-account 123-my-sa@my-project-123.iam.gserviceaccount.com \
    --scopes=https://www.googleapis.com/auth/cloud-platform

resource "google_compute_instance" "default" {
  name         = "my-test-vm"
  machine_type = "n1-standard-1"
  zone         = "us-central1-a"

  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-11"
    }
  }

  // Local SSD disk
  scratch_disk {
    interface = "SCSI"
  }

  network_interface {
    network = "default"

    access_config {
      // Ephemeral public IP
    }
  }

  service_account {
    # Google recommends custom service accounts with `cloud-platform` scope with
    # specific permissions granted via IAM Roles.
    # This approach lets you avoid embedding secret keys or user credentials
    # in your instance, image, or app code
    email  = google_service_account.default.email
    scopes = ["cloud-platform"]
  }
}

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

{
   "machineType":"zones/MACHINE_TYPE_ZONE/machineTypes/MACHINE_TYPE",
   "name":"VM_NAME",
   
   "disks":[
      {
         "initializeParams":{
            "sourceImage":"projects/IMAGE_PROJECT/global/images/IMAGE"
         },
         "boot":true
      }
   ],
   
   
   "networkInterfaces":[
      {
         "network":"global/networks/NETWORK_NAME"
      }
   ],
   
  "serviceAccounts": [
      {
      "email": "SERVICE_ACCOUNT_EMAIL",
      "scopes": ["https://www.googleapis.com/auth/cloud-platform"]
      }
   ],
   "shieldedInstanceConfig":{
      "enableSecureBoot":"ENABLE_SECURE_BOOT"
   }
}

Acceder y utilizar otros Google Cloud servicios

Una vez que su VM esté configurada para usar la cuenta de servicio, las aplicaciones pueden usar la cuenta de servicio para autenticarse. El método más común es autenticarse mediante las credenciales predeterminadas de la aplicación y una biblioteca cliente. Alguno Google Cloud herramientas como la CLI de gcloud pueden usar automáticamente la cuenta de servicio para acceder Google Cloud API de una máquina virtual. Para obtener más información, consulte Autenticar cargas de trabajo mediante cuentas de servicio .

Si se elimina una cuenta de servicio, las aplicaciones ya no tendrán acceso aGoogle Cloud recursos a través de esa cuenta de servicio. Si elimina las cuentas de servicio predeterminadas de App Engine y Compute Engine, sus máquinas virtuales ya no tendrán acceso a los recursos del proyecto. Si no está seguro de si se está utilizando una cuenta de servicio, Google recomienda desactivarla antes de eliminarla. Las cuentas de servicio deshabilitadas se pueden volver a habilitar si aún son necesarias.

Ejemplo: acceder a los recursos de Cloud Storage desde su VM

Una vez que hayas configurado tu VM para usar una cuenta de servicio que tenga la función storage.admin , puedes usar herramientas como la CLI de gcloud para administrar los archivos que hayas almacenado en Cloud Storage. Para acceder a sus recursos de Cloud Storage, complete lo siguiente:

1. Asegúrese de que la cuenta de servicio adjunta a su máquina virtual tenga la función roles/storage.admin .

2. Si tu VM usa una imagen de sistema operativo personalizada, instala la CLI de gcloud . De forma predeterminada, la CLI de gcloud se instala en la mayoría de las imágenes públicas del sistema operativo proporcionadas por Google Cloud.

3. Conéctese a la máquina virtual.

4. Desde la VM, use la CLI de Google Cloud para administrar sus recursos de Cloud Storage.

¿Qué sigue?

• Aprenda a autenticar cargas de trabajo mediante cuentas de servicio .
• Aprenda cómo cambiar la cuenta de servicio adjunta a una VM .
• Aprenda a enumerar y editar cuentas de servicio .
• Revise las mejores prácticas para trabajar con cuentas de servicio y mitigar los riesgos de seguridad.