變更已附加的服務帳戶

使用者管理的

如果您還沒有使用者代管的服務帳戶，請建立服務帳戶。如需詳細操作說明，請參閱「設定服務帳戶」。

預設

如果您熟悉 Compute Engine 預設服務帳戶，並且想使用預設服務帳戶提供的憑證，而不想建立新的服務帳戶，那麼您可以為預設服務帳戶授予身分與存取權管理角色。

將身分與存取權管理角色指派給預設服務帳戶之前，請注意以下幾點：

• 為預設服務帳戶授予身分與存取權管理角色的動作，會使所有以預設服務帳戶身分執行的 VM 受到影響。舉例來說，如果您為預設服務帳戶授予了 roles/storage.objectAdmin 角色，那麼以預設服務帳戶 (帳戶具有必要存取權範圍) 身分執行的所有 VM，也會獲得 roles/storage.objectAdmin 角色所授予的權限。同理，如果您藉由省略特定角色來限制存取權，這也會影響所有以預設服務帳戶身分執行的 VM。

• 視機構政策設定而定，系統可能會自動將專案的編輯者角色授予預設服務帳戶。強烈建議您 強制執行 iam.automaticIamGrantsForDefaultServiceAccounts 機構政策限制，停用自動授予角色功能。如果您是在 2024 年 5 月 3 日後建立機構，系統預設會強制執行這項限制。

  如果停用自動角色授予功能，您必須決定要授予預設服務帳戶哪些角色，然後自行授予這些角色。

  如果預設服務帳戶已具備「編輯者」角色，建議您將「編輯者」角色替換為權限較少的角色。如要安全地修改服務帳戶的角色，請使用 政策模擬器查看變更的影響，然後授予及撤銷適當的角色。

如果您不確定是否要為預設服務帳戶授予身分與存取權管理角色，請改為建立新的使用者代管服務帳戶。

主控台

1. 前往「VM instances」(VM 執行個體) 頁面。

   前往 VM 執行個體

2. 按一下您要更新服務帳戶的執行個體。

3. 按一下「停止」stop。如果沒有「停止」選項，請依序點選 more_vert「更多動作」>stop「停止」。 等待 VM 停止。

4. 按一下 [編輯]。

5. 向下捲動到「Service Account」(服務帳戶) 區段。

6. 從下拉式清單中，選取要指派給 VM 的服務帳戶。

   • 如果您選擇使用者管理的服務帳戶，VM 的存取權範圍預設為建議的 cloud-platform 範圍。如果使用者管理的服務帳戶需要不同的範圍，請使用 gcloud CLI 或 Compute Engine API 附加服務帳戶。
   • 如果您選擇 Compute Engine 預設服務帳戶，可以在 Google Cloud 控制台中修改其存取範圍。
     • 如要變更範圍，請在「Access scopes」(存取權範圍) 區段中，選取「Set access for each API」(針對各個 API 設定存取權)，然後設定符合需求的適當範圍。
     • 建議做法：如果不確定該如何設定適當的存取權範圍，請選擇「允許所有 Cloud API 的完整存取權」，然後務必在服務帳戶中設定 IAM 角色，限制存取權。

7. 按一下 [儲存] 以儲存變更。

8. 按一下「啟動/繼續」，重新啟動 VM。

gcloud

1. 使用 instances stop 指令停止 VM。將您的 VM 執行個體名稱替換為 VM_NAME。

   gcloud compute instances stop VM_NAME
   

2. 附加服務帳戶。如要附加服務帳戶，請使用 instances set-service-account 指令，並提供 VM 名稱、服務帳戶電子郵件和期望的範圍。如要進一步瞭解如何設定存取範圍，請參閱最佳做法。

   gcloud compute instances set-service-account VM_NAME \
     --service-account=SERVICE_ACCOUNT_EMAIL \
     --scopes=SCOPES
   

   更改下列內容：

   • SERVICE_ACCOUNT_EMAIL：您建立的服務帳戶電子郵件地址。例如：my-sa-123@my-project-123.iam.gserviceaccount.com。如要查看電子郵件地址，請參閱列出服務帳戶。

     如要從 VM 移除服務帳戶，請使用 --no-service-account 旗標。

   • VM_NAME：VM 執行個體的名稱。

   • SCOPES：以逗號分隔的範圍 URI 或別名清單，這些內容由 --scopes 標記說明所提供。

     如要移除 VM 的所有範圍，請改用 --no-scopes 旗標。

   舉例來說，下列指令會將服務帳戶 my-sa-123@my-project-123.iam.gserviceaccount.com 指派給名為 example-instance 的 VM，並在該 VM 上設定相關存取權範圍，以允許對 Compute Engine 進行讀寫，以及對 Cloud Storage 進行唯讀：

   gcloud compute instances set-service-account example-instance \
     --service-account=my-sa-123@my-project-123.iam.gserviceaccount.com \
     --scopes=compute-rw,storage-ro
   

3. 使用 instances start 指令啟動 VM。將您的 VM 執行個體名稱替換為 VM_NAME。

   gcloud compute instances start VM_NAME
   

REST

1. 使用 instances.stop 方法發出 POST 要求，停止 VM：

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/stop
   

   更改下列內容：

   • PROJECT_ID：VM 所在的專案
   • ZONE：VM 所在的可用區
   • VM_NAME：要停止的 VM 名稱

2. 對setServiceAccount 方法發出 POST 要求，附加服務帳戶：

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/setServiceAccount
   
   {
     "email": "SERVICE_ACCOUNT_EMAIL",
     "scopes": [
       "SCOPE_URI",
       "SCOPE_URI",
       ...
     ]
   }
   

   更改下列內容：

   • PROJECT_ID：這項要求的專案 ID。
   • ZONE：這個 VM 所屬的區域。
   • VM_NAME：VM 名稱。
   • SERVICE_ACCOUNT_EMAIL：您建立的服務帳戶電子郵件地址。例如：my-sa-123@my-project-123.iam.gserviceaccount.com。如要查看電子郵件地址，請參閱列出服務帳戶。
   • SCOPE_URI：必要範圍 URI。

   例如，下列要求使用了服務帳戶電子郵件 my-sa-123@my-project-123.iam.gserviceaccount.com 並設定了 Cloud Storage 和 BigQuery 範圍：

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/setServiceAccount
   
   {
     "email": "my-sa-123@my-project-123.iam.gserviceaccount.com",
     "scopes": [
       "https://www.googleapis.com/auth/bigquery",
       "https://www.googleapis.com/auth/devstorage.read_only"
     ]
   }
   

3. 使用 instances.start 方法建構 POST 要求，啟動 VM：

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/start
   

   更改下列內容：

   • PROJECT_ID：VM 所在的專案
   • ZONE：VM 所在的可用區
   • VM_NAME：要啟動的 VM 名稱

主控台

1. 前往「VM instances」(VM 執行個體) 頁面。

   前往 VM 執行個體

2. 按一下您要更新服務帳戶的執行個體。

3. 前往「API and identity management」(API 與身分識別管理) 區段。這個部分會顯示 VM 使用的服務帳戶和存取權範圍。

gcloud

執行 gcloud compute instances describe 指令：

gcloud compute instances describe VM_NAME \
    --format json

輸出結果會與下列內容相似：

{
  ...
  "serviceAccounts":[
      {
        "email":"123845678986-compute@developer.gserviceaccount.com",
        "scopes":[
            "https://www.googleapis.com/auth/devstorage.full_control"
        ]
      }
  ]
  ...
   }

如果 VM 未使用服務帳戶，您會收到不含 serviceAccounts 屬性的回應。

中繼資料伺服器

直接從 VM 查詢中繼資料伺服器。向 http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/ 發出要求：

user@myinst:~$ curl "http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/" \
-H "Metadata-Flavor: Google"

如果您在建立執行個體時啟用了一或多個服務帳戶，這個curl 指令會傳回類似以下的輸出：

123845678986-compute@developer.gserviceaccount.com/
default/

如果執行個體沒有使用任何服務帳戶，您會收到沒有內容的回應。