變更已附加的服務帳戶

透過集合功能整理內容 你可以依據偏好儲存及分類內容。

使用者自行管理

如果您沒有使用者代管的服務帳戶，請建立服務帳戶。如需詳細操作說明，請參閱「設定服務帳戶」。

預設

如果您熟悉 Compute Engine 預設服務帳戶，並且想使用預設服務帳戶提供的憑證，而不想建立新的服務帳戶，那麼您可以為預設服務帳戶授予身分與存取權管理角色。

將身分與存取權管理角色指派給預設服務帳戶之前，請注意以下幾點：

• 為預設服務帳戶授予身分與存取權管理角色的動作，會使所有以預設服務帳戶身分執行的 VM 受到影響。舉例來說，如果您為預設服務帳戶授予 roles/storage.objectAdmin 角色，那麼以預設服務帳戶 (帳戶具有必要存取權範圍) 身分執行的所有 VM，也會獲得 roles/storage.objectAdmin 角色所授予的權限。同理，如果您藉由省略特定角色來限制存取權，這也會影響所有以預設服務帳戶身分執行的 VM。

• 根據貴機構的政策設定，系統可能會自動為預設服務帳戶授予專案的編輯者角色。強烈建議您 套用 iam.automaticIamGrantsForDefaultServiceAccounts 機構政策限制，停用自動角色授予功能。如果您是在 2024 年 5 月 3 日之後建立機構，系統預設會強制執行這項限制。

  如果您停用自動角色授予功能，就必須決定要將哪些角色授予預設服務帳戶，然後自行授予這些角色。

  如果預設服務帳戶已具有「編輯者」角色，建議您將「編輯者」角色替換為權限較低的角色。如要安全地修改服務帳戶的角色，請使用政策模擬器查看變更的影響，然後授予及撤銷適當的角色。

如果您不確定是否要為預設服務帳戶授予 IAM 角色，請改為建立新的使用者代管服務帳戶。

主控台

1. 前往「VM instances」(VM 執行個體) 頁面。

   前往 VM 執行個體

2. 按一下您要更新服務帳戶的執行個體。

3. 如果 VM 未處於停止狀態，請按一下「Stop」。等待 VM 停止。

4. 按一下 [編輯]。

5. 向下捲動到「Service Account」(服務帳戶) 區段。

6. 從下拉式清單中選取要指派給 VM 的服務帳戶。

   • 如果您選擇使用者自行管理的服務帳戶，VM 的存取權範圍預設為建議的 cloud-platform 範圍。如果您需要為使用者管理的服務帳戶設定不同的範圍，請使用 gcloud CLI 或 Compute Engine API 來附加服務帳戶。
   • 如果您選擇 Compute Engine 預設服務帳戶，可以在 Google Cloud 控制台中修改其存取範圍。
     • 如要變更範圍，請在「Access Scopes」(存取權範圍) 區段中選取「Set access for each API」(針對各個 API 設定存取權)，然後根據需求設定適當的範圍。
     • 建議：如果不確定該如何設定適當的存取權範圍，請選擇「允許所有 Cloud API 的完整存取權」，然後再透過設定服務帳戶的 IAM 角色來限制存取權。

7. 按一下 [儲存] 以儲存變更。

8. 按一下「Start/Resume」，重新啟動 VM。

gcloud

1. 使用 instances stop 指令停止 VM。將 VM_NAME 替換為 VM 執行個體名稱。

   gcloud compute instances stop VM_NAME
   

2. 附加服務帳戶。如要附加服務帳戶，請使用 instances set-service-account 指令，並提供 VM 名稱、服務帳戶電子郵件和所需範圍。如要進一步瞭解如何設定存取權範圍，請參閱最佳做法。

   gcloud compute instances set-service-account VM_NAME \
     --service-account=SERVICE_ACCOUNT_EMAIL \
     --scopes=SCOPES
   

   更改下列內容：

   • SERVICE_ACCOUNT_EMAIL：您建立的服務帳戶電子郵件地址。例如：my-sa-123@my-project-123.iam.gserviceaccount.com。如要查看電子郵件地址，請參閱「列出服務帳戶」一文。

     如果您想從 VM 中移除服務帳戶，請使用 --no-service-account 標記。

   • VM_NAME：VM 執行個體的名稱。

   • SCOPES：以逗號分隔的範圍 URI 或別名清單，這些內容由 --scopes 標記說明所提供。

     如要移除 VM 的所有範圍，請改用 --no-scopes 標記。

   舉例來說，下列指令會將服務帳戶 my-sa-123@my-project-123.iam.gserviceaccount.com 指派給一個名為 example-instance 的 VM，並在該 VM 上設定相關存取權範圍，以允許對 Compute Engine 進行讀/寫存取，以及對 Cloud Storage 進行唯讀：

   gcloud compute instances set-service-account example-instance \
     --service-account=my-sa-123@my-project-123.iam.gserviceaccount.com \
     --scopes=compute-rw,storage-ro
   

3. 使用 instances start 指令啟動 VM。將 VM_NAME 替換為 VM 執行個體名稱。

   gcloud compute instances start VM_NAME
   

REST

1. 使用 instances.stop 方法發出 POST 要求，停止 VM：

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/stop
   

   更改下列內容：

   • PROJECT_ID：VM 所在的專案
   • ZONE：VM 所在的可用區
   • VM_NAME：要停止的 VM 名稱

2. 請向 setServiceAccount 方法提出 POST 要求，藉此附加服務帳戶：

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/setServiceAccount
   
   {
     "email": "SERVICE_ACCOUNT_EMAIL",
     "scopes": [
       "SCOPE_URI",
       "SCOPE_URI",
       ...
     ]
   }
   

   更改下列內容：

   • PROJECT_ID：這項要求的專案 ID。
   • ZONE：這個 VM 所屬的區域。
   • VM_NAME：VM 名稱。
   • SERVICE_ACCOUNT_EMAIL：您建立的服務帳戶電子郵件地址。例如：my-sa-123@my-project-123.iam.gserviceaccount.com。如要查看電子郵件地址，請參閱「列出服務帳戶」一文。
   • SCOPE_URI：必要的範圍 URI。

   例如，下列要求使用了服務帳戶電子郵件 my-sa-123@my-project-123.iam.gserviceaccount.com 並設定了 Cloud Storage 和 BigQuery 範圍：

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/setServiceAccount
   
   {
     "email": "my-sa-123@my-project-123.iam.gserviceaccount.com",
     "scopes": [
       "https://www.googleapis.com/auth/bigquery",
       "https://www.googleapis.com/auth/devstorage.read_only"
     ]
   }
   

3. 使用 instances.start 方法建構 POST 要求，啟動 VM：

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/start
   

   更改下列內容：

   • PROJECT_ID：VM 所在的專案
   • ZONE：VM 所在的可用區
   • VM_NAME：要啟動的 VM 名稱

主控台

1. 前往「VM instances」(VM 執行個體) 頁面。

   前往 VM 執行個體

2. 按一下您要更新服務帳戶的執行個體。

3. 前往「API 與身分識別管理」部分。這個部分會顯示 VM 使用的服務帳戶和存取權範圍。

gcloud

執行 gcloud compute instances describe 指令：

gcloud compute instances describe VM_NAME \
    --format json

輸出結果會與下列內容相似：

{
  ...
  "serviceAccounts":[
      {
        "email":"123845678986-compute@developer.gserviceaccount.com",
        "scopes":[
            "https://www.googleapis.com/auth/devstorage.full_control"
        ]
      }
  ]
  ...
   }

如果 VM 未使用服務帳戶，您會收到不含 serviceAccounts 屬性的回應。

中繼資料伺服器

直接從 VM 內部查詢中繼資料伺服器。向 http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/ 發出要求：

user@myinst:~$ curl "http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/" \
-H "Metadata-Flavor: Google"

如果您在建立執行個體時啟用了一或多個服務帳戶，這個curl 指令會傳回類似以下的輸出：

123845678986-compute@developer.gserviceaccount.com/
default/

如果執行個體沒有使用任何服務帳戶，您會收到沒有內容的回應。