Creare una VM che utilizza un account di servizio gestito dall'utente

Questo documento spiega come creare un'istanza di macchina virtuale (VM) configurata per utilizzare un account di servizio gestito dall'utente. Un account di servizio è un particolare tipo di account utilizzato in genere da un'applicazione o da un carico di lavoro di calcolo per effettuare chiamate API autorizzate.

Gli account di servizio sono necessari per gli scenari in cui un carico di lavoro, ad esempio un'applicazione personalizzata, deve accedere alle risorse Google Cloud o eseguire azioni senza il coinvolgimento dell'utente finale. Per ulteriori informazioni su quando utilizzare gli account di servizio, consulta Best practice per l'utilizzo degli account di servizio.

Se hai applicazioni che devono effettuare chiamate alle API Google Cloud, Google consiglia di collegare un account di servizio gestito dall'utente alla VM su cui è in esecuzione l'applicazione o il carico di lavoro. Poi, concedi all'account di servizio i ruoli IAM, che concedono all'account di servizio e, per estensione, alle applicazioni in esecuzione sulla VM l'accesso alle risorse Google Cloud.

Prima di iniziare

• Se non l'hai ancora fatto, configura l'autenticazione. L'autenticazione è la procedura mediante la quale la tua identità viene verificata per l'accesso alle API e ai servizi Google Cloud. Per eseguire codice o esempi da un ambiente di sviluppo locale, puoi autenticarti su Compute Engine selezionando una delle seguenti opzioni:
  

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. Install the Google Cloud CLI, then initialize it by running the following command:

     gcloud init

  2. Set a default region and zone.

  Terraform

  Per utilizzare gli esempi di Terraform in questa pagina in un ambiente di sviluppo locale, installa e inizializza gcloud CLI, quindi configura le Credenziali predefinite dell'applicazione con le tue credenziali utente.

  1. Install the Google Cloud CLI.

  2. To initialize the gcloud CLI, run the following command:

     gcloud init

  3. If you're using a local shell, then create local authentication credentials for your user account:

     gcloud auth application-default login

     You don't need to do this if you're using Cloud Shell.

  Per ulteriori informazioni, consulta Set up authentication for a local development environment.

  REST

  Per utilizzare gli esempi dell'API REST in questa pagina in un ambiente di sviluppo locale, utilizza le credenziali fornite a gcloud CLI.

  Install the Google Cloud CLI, then initialize it by running the following command:

  gcloud init

  Per ulteriori informazioni, consulta Eseguire l'autenticazione per l'utilizzo di REST nella documentazione sull'autenticazione di Google Cloud.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per creare VM che utilizzano account di servizio, chiedi all'amministratore di concederti i seguenti ruoli IAM nel progetto:

• Amministratore istanze Compute (v1) (roles/compute.instanceAdmin.v1)
• Crea Account di servizio (roles/iam.serviceAccountCreator)

Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso a progetti, cartelle e organizzazioni.

Questi ruoli predefiniti contengono le autorizzazioni necessarie per creare VM che utilizzano account di servizio. Per visualizzare le autorizzazioni esatte richieste, espandi la sezione Autorizzazioni richieste:

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Panoramica

Ti consigliamo di configurare gli account di servizio per le tue VM come segue:

1. Crea un nuovo account di servizio gestito dall'utente anziché utilizzare quello predefinito di Compute Engine e concedi a questo account di servizio i ruoli IAM solo per le risorse e le operazioni di cui ha bisogno.
2. Collega l'account di servizio alla VM.
3. Imposta l'ambito della piattaforma cloud (https://www.googleapis.com/auth/cloud-platform) sulla VM. In questo modo, l'account di servizio della VM può chiamare le API Google Cloud di cui ha l'autorizzazione di utilizzo.
   • Se specifichi l'account di servizio utilizzando la console Google Cloud, l'ambito di accesso della VM viene impostato automaticamente sull'ambito cloud-platform.
   • Se specifichi l'account di servizio utilizzando Google Cloud CLI o l'API Compute Engine, puoi utilizzare il parametro scopes per impostare l'ambito di accesso.

Configurare un account di servizio

Crea un account di servizio e assegna i ruoli IAM richiesti. Assegna tutti i ruoli IAM necessari. Puoi modificare i ruoli IAM nel tuo account di servizio in base alle esigenze.

Google consiglia di limitare i privilegi degli account di servizio e di controllare regolarmente le autorizzazioni degli account di servizio per assicurarsi che siano aggiornate.

Utilizza uno dei seguenti metodi per configurare l'account di servizio.

resource "google_service_account" "default" {
  account_id   = "service-account-id"
  display_name = "Service Account"
}

Crea una VM e collega l'account di servizio

Dopo aver creato l'account di servizio, crea una VM e associa l'account di servizio che hai creato nella sezione precedente. Imposta anche l'ambito di accesso della VM su cloud-platform.

Se hai già una VM esistente e vuoi configurarla in modo che utilizzi un account di servizio diverso, consulta Modificare l'account di servizio associato.

Utilizza uno dei seguenti metodi per creare una VM e collegare l'account di servizio.

gcloud compute instances create VM_NAME \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --scopes=https://www.googleapis.com/auth/cloud-platform

gcloud compute instances create example-vm \
    --service-account 123-my-sa@my-project-123.iam.gserviceaccount.com \
    --scopes=https://www.googleapis.com/auth/cloud-platform

resource "google_compute_instance" "default" {
  name         = "my-test-vm"
  machine_type = "n1-standard-1"
  zone         = "us-central1-a"

  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-11"
    }
  }

  // Local SSD disk
  scratch_disk {
    interface = "SCSI"
  }

  network_interface {
    network = "default"

    access_config {
      // Ephemeral public IP
    }
  }

  service_account {
    # Google recommends custom service accounts with `cloud-platform` scope with
    # specific permissions granted via IAM Roles.
    # This approach lets you avoid embedding secret keys or user credentials
    # in your instance, image, or app code
    email  = google_service_account.default.email
    scopes = ["cloud-platform"]
  }
}

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

{
   "machineType":"zones/MACHINE_TYPE_ZONE/machineTypes/MACHINE_TYPE",
   "name":"VM_NAME",
   
   "disks":[
      {
         "initializeParams":{
            "sourceImage":"projects/IMAGE_PROJECT/global/images/IMAGE"
         },
         "boot":true
      }
   ],
   
   
   "networkInterfaces":[
      {
         "network":"global/networks/NETWORK_NAME"
      }
   ],
   
  "serviceAccounts": [
      {
      "email": "SERVICE_ACCOUNT_EMAIL",
      "scopes": ["https://www.googleapis.com/auth/cloud-platform"]
      }
   ],
   "shieldedInstanceConfig":{
      "enableSecureBoot":"ENABLE_SECURE_BOOT"
   }
}

Accedere e utilizzare altri servizi Google Cloud

Una volta configurata la VM per l'utilizzo dell'account di servizio, le applicazioni possono utilizzarlo per l'autenticazione. Il metodo più comune è eseguire l'autenticazione utilizzando le Credenziali predefinite dell'applicazione e una libreria client. Alcuni strumenti Google Cloud, come l'gcloud CLI, sono in grado di utilizzare automaticamente l'account di servizio per accedere alle API Google Cloud da una VM. Per ulteriori informazioni, consulta Autenticare i carichi di lavoro utilizzando gli account di servizio.

Se un account di servizio viene eliminato, le applicazioni non avranno più accesso alle risorse Google Cloud tramite quell'account di servizio. Se elimini gli account di servizio App Engine e Compute Engine predefiniti, le VM non avranno più accesso alle risorse del progetto. Se non sai con certezza se un service account è in uso, Google consiglia di disattivarlo prima di eliminarlo. I service account disattivati possono essere riattivati se sono ancora necessari.

Esempio: accedi alle risorse Cloud Storage dalla VM

Dopo aver configurato la VM in modo che utilizzi un account di servizio con il ruolo storage.admin, puoi utilizzare strumenti come l'gcloud CLI per gestire i file archiviati su Cloud Storage. Per accedere alle tue risorse Cloud Storage, svolgi i seguenti passaggi:

1. Assicurati che l'account di servizio associato alla VM abbia il ruolo roles/storage.admin.

2. Se la VM utilizza un'immagine del sistema operativo personalizzata, installa la gcloud CLI. Per impostazione predefinita, l'gcloud CLI è installata sulla maggior parte delle immagini del sistema operativo pubblico fornite da Google Cloud.

3. Connettiti alla VM.

4. Dalla VM, utilizza Google Cloud CLI per gestire le risorse Cloud Storage.

Passaggi successivi

• Scopri come autenticare i carichi di lavoro utilizzando gli account di servizio.
• Scopri come modificare l'account di servizio associato a una VM.
• Scopri come elencare e modificare gli account di servizio.
• Consulta le best practice per l'utilizzo degli account di servizio e riduci i rischi per la sicurezza.