서비스 계정에 대한 액세스 관리

콘솔

1. Google Cloud 콘솔에서 서비스 계정 페이지로 이동합니다.

   서비스 계정으로 이동

2. 프로젝트를 선택합니다.

3. 서비스 계정의 이메일 주소를 클릭합니다.

4. 권한 탭으로 이동합니다. 이 서비스 계정에 대한 액세스 권한이 있는 주 구성원 섹션에는 서비스 계정에 대한 역할이 부여된 모든 주 구성원이 나열됩니다.

   이 목록에는 상위 리소스에 부여된 역할에서 액세스 권한을 얻는 주 구성원이 포함됩니다. 정책 상속에 대한 자세한 내용은 정책 상속 및 리소스 계층을 참조하세요.

5. 선택사항: 서비스 에이전트에 대한 역할 부여를 보려면 Google 제공 역할 부여 포함 체크박스를 선택합니다.

gcloud

서비스 계정에 액세스할 수 있는 사용자를 보려면 서비스 계정에 대해 허용 정책을 가져옵니다. 허용 정책을 해석하는 방법을 알아보려면 허용 정책 이해를 참조하세요.

서비스 계정의 허용 정책을 가져오려면 서비스 계정에 대해 get-iam-policy 명령어를 실행합니다.

gcloud iam service-accounts get-iam-policy SA_ID --format=FORMAT > PATH

다음 값을 제공합니다.

• SA_ID: 서비스 계정의 ID입니다. SA_NAME@PROJECT_ID.iam.gserviceaccount.com 형식의 서비스 계정 이메일 주소이거나 서비스 계정의 고유 숫자 ID일 수 있습니다.

• FORMAT: 정책의 형식입니다. json 또는 yaml을 사용합니다.

• PATH: 정책에 대한 새 출력 파일의 경로입니다.

예를 들어 다음 명령어는 서비스 계정 my-service-account의 정책을 가져오고 이를 JSON 형식으로 홈 디렉터리에 저장합니다.

gcloud iam service-accounts get-iam-policy my-service-account --format json > ~/policy.json

REST

서비스 계정에 액세스할 수 있는 사용자를 보려면 서비스 계정에 대해 허용 정책을 가져옵니다. 허용 정책을 해석하는 방법을 알아보려면 허용 정책 이해를 참조하세요.

serviceAccounts.getIamPolicy 메서드에서 서비스 계정의 허용 정책을 가져옵니다.

요청 데이터를 사용하기 전에 다음을 바꿉니다.

• PROJECT_ID: Google Cloud 프로젝트 ID. 프로젝트 ID는 my-project 같은 영숫자 문자열입니다.

• SA_ID: 서비스 계정의 ID입니다. SA_NAME@PROJECT_ID.iam.gserviceaccount.com 형식의 서비스 계정 이메일 주소이거나 서비스 계정의 고유 숫자 ID일 수 있습니다.

• POLICY_VERSION: 반환할 정책 버전입니다. 요청에는 정책 버전 3인 최신 정책 버전이 지정되어야 합니다. 자세한 내용은 정책을 가져올 때 정책 버전 지정을 참조하세요.

HTTP 메서드 및 URL:

POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_ID:getIamPolicy

JSON 요청 본문:

{
  "options": {
    "requestedPolicyVersion": POLICY_VERSION
  }
}

요청을 보내려면 다음 옵션 중 하나를 펼칩니다.

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_ID:getIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_ID:getIamPolicy" | Select-Object -Expand Content

응답에는 서비스 계정의 허용 정책이 포함됩니다. 예를 들면 다음과 같습니다.

{
  "version": 1,
  "etag": "BwWKmjvelug=",
  "bindings": [
    {
      "role": "roles/serviceAccountAdmin",
      "members": [
        "user:admin@example.com"
      ]
    }
  ]
}

콘솔

1. Google Cloud 콘솔에서 서비스 계정 페이지로 이동합니다.

   서비스 계정으로 이동

2. 프로젝트를 선택합니다.

3. 서비스 계정의 이메일 주소를 클릭합니다.

4. 권한 탭으로 이동하고 이 서비스 계정에 대한 액세스 권한이 있는 주 구성원 섹션을 찾습니다.

5. 역할을 부여할 주 구성원을 선택합니다.

   • 서비스 계정에 대해 이미 다른 역할이 있는 주 구성원에게 역할을 부여하려면 주 구성원이 포함된 행을 찾고 이 행에서 edit주 구성원 수정을 클릭합니다. 그런 다음 add다른 역할 추가를 클릭합니다.

     서비스 에이전트에 역할을 부여하려면 Google 제공 역할 부여 포함 체크박스를 선택하여 이메일 주소를 확인합니다.

   • 서비스 계정에 대한 기존 역할이 없는 주 구성원에게 역할을 부여하려면 person_add 액세스 권한 부여를 클릭한 후 주 구성원의 이메일 주소 또는 다른 식별자를 입력합니다.

6. 드롭다운 목록에서 부여할 역할을 선택합니다. 보안 권장사항에 따라 주 구성원에게 필요한 권한만 포함된 역할을 선택합니다.

7. 선택사항: 역할에 조건을 추가합니다.

8. 저장을 클릭합니다. 주 구성원에게 서비스 계정에 대한 역할이 부여됩니다.

gcloud

주 구성원에 역할을 신속하게 부여하려면 add-iam-policy-binding 명령어를 실행합니다.

gcloud iam service-accounts add-iam-policy-binding SA_ID \
    --member=PRINCIPAL --role=ROLE_NAME \
    --condition=CONDITION

다음 값을 제공합니다.

• SA_ID: 서비스 계정의 ID입니다. SA_NAME@PROJECT_ID.iam.gserviceaccount.com 형식의 서비스 계정 이메일 주소이거나 서비스 계정의 고유 숫자 ID일 수 있습니다.

• PRINCIPAL: 주 구성원이나 구성원의 식별자로, 대개 PRINCIPAL-TYPE:ID 형식을 따릅니다. 예를 들면 user:my-user@example.com입니다. PRINCIPAL가 가질 수 있는 값의 전체 목록은 정책 binding 참조를 확인하세요.

  주 구성원 유형 user의 경우 식별자의 도메인 이름은 Google Workspace 도메인이나 Cloud ID 도메인이어야 합니다. Cloud ID 도메인을 설정하는 방법은 Cloud ID 개요를 참조하세요.

• ROLE_NAME: 부여할 역할의 이름입니다. 다음 형식 중 하나를 사용하세요.

  • 사전 정의된 역할: roles/SERVICE.IDENTIFIER
  • 프로젝트 수준 커스텀 역할: projects/PROJECT_ID/roles/IDENTIFIER
  • 조직 수준 커스텀 역할: organizations/ORG_ID/roles/IDENTIFIER

  사전 정의된 역할의 목록은 역할 이해를 참조하세요.

• CONDITION: 선택사항. 역할 바인딩에 추가할 조건입니다. 조건에 대한 자세한 내용은 조건 개요를 참조하세요.

예를 들어 서비스 계정 my-service-account@my-project.iam.gserviceaccount.com에 대해 my-user@example.com 사용자에게 서비스 계정 사용자 역할을 부여하려면 다음 안내를 따르세요.

gcloud iam service-accounts add-iam-policy-binding my-service-account@my-project.iam.gserviceaccount.com \
    --member=user:my-user@example.com --role=roles/iam.serviceAccountUser

콘솔

1. Google Cloud 콘솔에서 서비스 계정 페이지로 이동합니다.

   서비스 계정으로 이동

2. 프로젝트를 선택합니다.

3. 서비스 계정의 이메일 주소를 클릭합니다.

4. 권한 탭으로 이동하고 이 서비스 계정에 대한 액세스 권한이 있는 주 구성원 섹션을 찾습니다.

5. 액세스 권한을 취소하려는 주 구성원의 이메일 주소가 있는 행을 찾습니다. 그런 다음 이 행에서 edit 주 구성원 수정을 클릭합니다.

6. 취소하려는 역할의 삭제 delete 버튼을 클릭한 다음 저장을 클릭합니다.

gcloud

사용자에게서 역할을 빠르게 취소하려면 remove-iam-policy-binding 명령어를 실행합니다.

gcloud iam service-accounts remove-iam-policy-binding SA_ID \
    --member=PRINCIPAL --role=ROLE_NAME

다음 값을 제공합니다.

• SA_ID: 서비스 계정의 ID입니다. SA_NAME@PROJECT_ID.iam.gserviceaccount.com 형식의 서비스 계정 이메일 주소이거나 서비스 계정의 고유 숫자 ID일 수 있습니다.

• PRINCIPAL: 주 구성원이나 구성원의 식별자로, 대개 PRINCIPAL-TYPE:ID 형식을 따릅니다. 예를 들면 user:my-user@example.com입니다. PRINCIPAL가 가질 수 있는 값의 전체 목록은 정책 binding 참조를 확인하세요.

  주 구성원 유형 user의 경우 식별자의 도메인 이름은 Google Workspace 도메인이나 Cloud ID 도메인이어야 합니다. Cloud ID 도메인을 설정하는 방법은 Cloud ID 개요를 참조하세요.

• ROLE_NAME: 취소할 역할의 이름입니다. 다음 형식 중 하나를 사용하세요.

  • 사전 정의된 역할: roles/SERVICE.IDENTIFIER
  • 프로젝트 수준 커스텀 역할: projects/PROJECT_ID/roles/IDENTIFIER
  • 조직 수준 커스텀 역할: organizations/ORG_ID/roles/IDENTIFIER

  사전 정의된 역할의 목록은 역할 이해를 참조하세요.

예를 들어 my-service-account@my-project.iam.gserviceaccount.com 서비스 계정에 대해 my-user@example.com 사용자에게서 서비스 계정 사용자 역할을 취소하려면 다음 안내를 따르세요.

gcloud iam service-accounts remove-iam-policy-binding my-service-account@my-project.iam.gserviceaccount.com \
    --member=user:my-user@example.com --role=roles/iam.serviceAccountUser

gcloud

서비스 계정의 허용 정책을 가져오려면 서비스 계정에 대해 get-iam-policy 명령어를 실행합니다.

gcloud iam service-accounts get-iam-policy SA_ID --format=FORMAT > PATH

다음 값을 제공합니다.

• SA_ID: 서비스 계정의 ID입니다. SA_NAME@PROJECT_ID.iam.gserviceaccount.com 형식의 서비스 계정 이메일 주소이거나 서비스 계정의 고유 숫자 ID일 수 있습니다.

• FORMAT: 허용 정책의 형식입니다. json 또는 yaml을 사용합니다.

• PATH: 허용 정책에 대한 새 출력 파일의 경로입니다.

예를 들어 다음 명령어는 서비스 계정 my-service-account의 허용 정책을 가져오고 이를 JSON 형식으로 홈 디렉터리에 저장합니다.

gcloud iam service-accounts get-iam-policy my-service-account --format json > ~/policy.json

REST

serviceAccounts.getIamPolicy 메서드에서 서비스 계정의 허용 정책을 가져옵니다.

요청 데이터를 사용하기 전에 다음을 바꿉니다.

• PROJECT_ID: Google Cloud 프로젝트 ID. 프로젝트 ID는 my-project 같은 영숫자 문자열입니다.

• SA_ID: 서비스 계정의 ID입니다. SA_NAME@PROJECT_ID.iam.gserviceaccount.com 형식의 서비스 계정 이메일 주소이거나 서비스 계정의 고유 숫자 ID일 수 있습니다.

• POLICY_VERSION: 반환할 정책 버전입니다. 요청에는 정책 버전 3인 최신 정책 버전이 지정되어야 합니다. 자세한 내용은 정책을 가져올 때 정책 버전 지정을 참조하세요.

HTTP 메서드 및 URL:

POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_ID:getIamPolicy

JSON 요청 본문:

{
  "options": {
    "requestedPolicyVersion": POLICY_VERSION
  }
}

요청을 보내려면 다음 옵션 중 하나를 펼칩니다.

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_ID:getIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_ID:getIamPolicy" | Select-Object -Expand Content

응답에는 서비스 계정의 허용 정책이 포함됩니다. 예를 들면 다음과 같습니다.

{
  "version": 1,
  "etag": "BwWKmjvelug=",
  "bindings": [
    {
      "role": "roles/serviceAccountAdmin",
      "members": [
        "user:admin@example.com"
      ]
    }
  ]
}

적절한 유형의 파일로 응답을 저장합니다(json 또는 yaml).

Java

IAM용 클라이언트 라이브러리를 설치하고 사용하는 방법은 IAM 클라이언트 라이브러리를 참조하세요. 자세한 내용은 IAM Java API 참고 문서를 참조하세요.

IAM에 인증하려면 애플리케이션 기본 사용자 인증 정보를 설정합니다. 자세한 내용은 로컬 개발 환경의 인증 설정을 참조하세요.

import com.google.cloud.iam.admin.v1.IAMClient;
import com.google.iam.admin.v1.ServiceAccountName;
import com.google.iam.v1.GetIamPolicyRequest;
import com.google.iam.v1.Policy;
import java.io.IOException;

public class GetServiceAccountPolicy {
  public static void main(String[] args) throws IOException {
    // TODO(developer): Replace the variables before running the sample.
    // TODO: Replace with your project ID.
    String projectId = "your-project-id";
    // TODO: Replace with your service account name.
    String serviceAccount = "your-service-account";
    getPolicy(projectId, serviceAccount);
  }

  // Gets a service account's IAM policy.
  public static Policy getPolicy(String projectId, String serviceAccount) throws IOException {

    // Construct the service account email.
    // You can modify the ".iam.gserviceaccount.com" to match the name of the service account
    // whose allow policy you want to get.
    String serviceAccountEmail = serviceAccount + "@" + projectId + ".iam.gserviceaccount.com";

    // Initialize client that will be used to send requests.
    // This client only needs to be created once, and can be reused for multiple requests.
    try (IAMClient iamClient = IAMClient.create()) {
      GetIamPolicyRequest request = GetIamPolicyRequest.newBuilder()
              .setResource(ServiceAccountName.of(projectId, serviceAccountEmail).toString())
              .build();
      Policy policy = iamClient.getIamPolicy(request);
      System.out.println("Policy retrieved: " + policy.toString());
      return policy;
    }
  }
}

Python

IAM용 클라이언트 라이브러리를 설치하고 사용하는 방법은 IAM 클라이언트 라이브러리를 참조하세요. 자세한 내용은 IAM Python API 참고 문서를 참조하세요.

IAM에 인증하려면 애플리케이션 기본 사용자 인증 정보를 설정합니다. 자세한 내용은 로컬 개발 환경의 인증 설정을 참조하세요.

from google.cloud import iam_admin_v1
from google.iam.v1 import iam_policy_pb2, policy_pb2


def get_service_account_iam_policy(project_id: str, account: str) -> policy_pb2.Policy:
    """
    Get policy for service account.
    project_id: ID or number of the Google Cloud project you want to use.
    account: ID or email which is unique identifier of the service account.
    """

    iam_client = iam_admin_v1.IAMClient()
    request = iam_policy_pb2.GetIamPolicyRequest()
    request.resource = f"projects/{project_id}/serviceAccounts/{account}"

    policy = iam_client.get_iam_policy(request)
    return policy

gcloud

주 구성원을 기존 역할 결합에 추가하여 허용 정책을 수정합니다. 업데이트된 허용 정책을 설정해야만 이 변경사항이 적용됩니다.

예를 들어 허용 정책에 다음 역할 결합이 포함된다고 가정해보세요. 이 역할 결합은 서비스 계정 사용자 역할(roles/iam.serviceAccountUser)을 kai@example.com에 부여합니다.

{
  "role": "roles/iam.serviceAccountUser",
  "members": [
    "user:kai@example.com"
  ]
}

역할 바인딩을 raha@example.com에 부여하려면 raha@example.com을 기존 역할 바인딩에 추가합니다.

{
  "role": "roles/iam.serviceAccountUser",
  "members": [
    "user:kai@example.com",
    "user:raha@example.com"
  ]
}

REST

주 구성원을 기존 역할 결합에 추가하여 허용 정책을 수정합니다. 업데이트된 허용 정책을 설정해야만 이 변경사항이 적용됩니다.

예를 들어 허용 정책에 다음 역할 결합이 포함된다고 가정해보세요. 이 역할 결합은 서비스 계정 사용자 역할(roles/iam.serviceAccountUser)을 kai@example.com에 부여합니다.

{
  "role": "roles/iam.serviceAccountUser",
  "members": [
    "user:kai@example.com"
  ]
}

역할 바인딩을 raha@example.com에 부여하려면 raha@example.com을 기존 역할 바인딩에 추가합니다.

{
  "role": "roles/iam.serviceAccountUser",
  "members": [
    "user:kai@example.com",
    "user:raha@example.com"
  ]
}

gcloud

주 구성원에 역할을 부여하는 새 역할 바인딩을 추가하여 허용 정책을 수정합니다. 업데이트된 허용 정책을 설정해야만 이 변경사항이 적용됩니다.

예를 들어 raha@example.com에 서비스 계정 토큰 생성자 역할(roles/iam.serviceAccountTokenCreator)을 부여하려면 해당 허용 정책의 bindings 배열에 다음 역할 결합을 추가합니다.

{
  "role": "roles/iam.serviceAccountTokenCreator",
  "members": [
    "user:raha@example.com"
  ]
}

REST

주 구성원에 역할을 부여하는 새 역할 바인딩을 추가하여 허용 정책을 수정합니다. 업데이트된 허용 정책을 설정해야만 이 변경사항이 적용됩니다.

예를 들어 raha@example.com에 서비스 계정 토큰 생성자 역할(roles/iam.serviceAccountTokenCreator)을 부여하려면 해당 허용 정책의 bindings 배열에 다음 역할 결합을 추가합니다.

{
  "role": "roles/iam.serviceAccountTokenCreator",
  "members": [
    "user:raha@example.com"
  ]
}

gcloud

주 구성원이나 전체 역할 결합을 삭제하여 허용 정책을 수정합니다. 업데이트된 허용 정책을 설정해야만 이 변경사항이 적용됩니다.

예를 들어 허용 정책에 다음 역할 결합이 포함된다고 가정해보세요. 이 역할 결합은 서비스 계정 사용자 역할(roles/iam.serviceAccountUser)을 kai@example.com 및 raha@example.com에 부여합니다.

{
  "role": "roles/iam.serviceAccountUser",
  "members": [
    "user:kai@example.com",
    "user:raha@example.com"
  ]
}

kai@example.com에서 역할을 취소하려면 역할 결합에서 kai@example.com을 삭제합니다.

{
  "role": "roles/iam.serviceAccountUser",
  "members": [
    "user:raha@example.com"
  ]
}

kai@example.com 및 raha@example.com 모두에서 역할을 취소하려면 허용 정책에서 역할 결합을 삭제합니다.

REST

주 구성원이나 전체 역할 결합을 삭제하여 허용 정책을 수정합니다. 업데이트된 허용 정책을 설정해야만 이 변경사항이 적용됩니다.

예를 들어 허용 정책에 다음 역할 결합이 포함된다고 가정해보세요. 이 역할 결합은 서비스 계정 사용자 역할(roles/iam.serviceAccountUser)을 kai@example.com 및 raha@example.com에 부여합니다.

{
  "role": "roles/iam.serviceAccountUser",
  "members": [
    "user:kai@example.com",
    "user:raha@example.com"
  ]
}

kai@example.com에서 역할을 취소하려면 역할 결합에서 kai@example.com을 삭제합니다.

{
  "role": "roles/iam.serviceAccountUser",
  "members": [
    "user:raha@example.com"
  ]
}

kai@example.com 및 raha@example.com 모두에서 역할을 취소하려면 허용 정책에서 역할 결합을 삭제합니다.

gcloud

리소스에 대해 허용 정책을 설정하려면 서비스 계정에 대해 set-iam-policy 명령어를 실행합니다.

gcloud iam service-accounts set-iam-policy SA_ID PATH

다음 값을 제공합니다.

• SA_ID: 서비스 계정의 ID입니다. SA_NAME@PROJECT_ID.iam.gserviceaccount.com 형식의 서비스 계정 이메일 주소이거나 서비스 계정의 고유 숫자 ID일 수 있습니다.

• PATH: 새 허용 정책이 포함된 파일의 경로입니다.

응답에는 업데이트된 허용 정책이 포함됩니다.

예를 들어 다음 명령어는 policy.json에 저장된 허용 정책을 서비스 계정 my-service-account@my-project.iam.gserviceaccount.com의 허용 정책으로 설정합니다.

gcloud iam service-accounts set-iam-policy my-service-account@my-project.iam.gserviceaccount.com \
    ~/policy.json

REST

serviceAccounts.setIamPolicy 메서드에서 서비스 계정에 대한 업데이트된 허용 정책을 설정합니다.

요청 데이터를 사용하기 전에 다음을 바꿉니다.

• PROJECT_ID: Google Cloud 프로젝트 ID. 프로젝트 ID는 my-project 같은 영숫자 문자열입니다.

• SA_ID: 서비스 계정의 ID입니다. SA_NAME@PROJECT_ID.iam.gserviceaccount.com 형식의 서비스 계정 이메일 주소이거나 서비스 계정의 고유 숫자 ID일 수 있습니다.

• POLICY: 설정하려는 정책의 JSON 표현입니다. 정책 형식에 대한 자세한 내용은 정책 참조를 확인하세요.

  예를 들어 이전 단계에 표시된 허용 정책을 설정하려면 policy를 다음으로 바꿉니다.

  {
    "version": 1,
    "etag": "BwUqLaVeua8=",
    "bindings": [
      {
        "role": "roles/iam.serviceAccountUser",
        "members": [
          "user:robin@example.com"
        ]
      },
      {
        "role": "roles/serviceAccountAdmin",
        "members": [
          "user:admin@example.com"
        ]
      }
    ]
  }

HTTP 메서드 및 URL:

POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_ID:setIamPolicy

JSON 요청 본문:

{
  "policy": POLICY
}

요청을 보내려면 다음 옵션 중 하나를 펼칩니다.

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_ID:setIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_ID:setIamPolicy" | Select-Object -Expand Content

응답에는 업데이트된 허용 정책이 포함됩니다.

Java

IAM용 클라이언트 라이브러리를 설치하고 사용하는 방법은 IAM 클라이언트 라이브러리를 참조하세요. 자세한 내용은 IAM Java API 참고 문서를 참조하세요.

IAM에 인증하려면 애플리케이션 기본 사용자 인증 정보를 설정합니다. 자세한 내용은 로컬 개발 환경의 인증 설정을 참조하세요.

import com.google.cloud.iam.admin.v1.IAMClient;
import com.google.iam.admin.v1.ServiceAccountName;
import com.google.iam.v1.Policy;
import com.google.iam.v1.SetIamPolicyRequest;
import com.google.protobuf.FieldMask;
import java.io.IOException;
import java.util.Arrays;
import java.util.List;

public class SetServiceAccountPolicy {
  public static void main(String[] args) throws IOException {
    // TODO(developer): Replace the variables before running the sample.
    // TODO: Replace with your project ID.
    String projectId = "your-project-id";
    // TODO: Replace with your service account name.
    String serviceAccount = "your-service-account";
    // TODO: Replace with your policy, GetPolicy.getPolicy(projectId, serviceAccount).
    Policy policy = Policy.newBuilder().build();

    setServiceAccountPolicy(policy, projectId, serviceAccount);
  }

  // Sets a service account's policy.
  public static Policy setServiceAccountPolicy(Policy policy, String projectId,
                                               String serviceAccount) throws IOException {

    // Construct the service account email.
    // You can modify the ".iam.gserviceaccount.com" to match the name of the service account
    // whose allow policy you want to set.
    String accountEmail = String.format("%s@%s.iam.gserviceaccount.com", serviceAccount, projectId);

    // Initialize client that will be used to send requests.
    // This client only needs to be created once, and can be reused for multiple requests.
    try (IAMClient iamClient = IAMClient.create()) {
      List<String> paths = Arrays.asList("bindings", "etag");
      SetIamPolicyRequest request = SetIamPolicyRequest.newBuilder()
              .setResource(ServiceAccountName.of(projectId, accountEmail).toString())
              .setPolicy(policy)
              // A FieldMask specifying which fields of the policy to modify. Only
              // the fields in the mask will be modified. If no mask is provided, the
              // following default mask is used:
              // `paths: "bindings, etag"`
              .setUpdateMask(FieldMask.newBuilder().addAllPaths(paths).build())
              .build();

      return iamClient.setIamPolicy(request);
    }
  }
}

Python

IAM용 클라이언트 라이브러리를 설치하고 사용하는 방법은 IAM 클라이언트 라이브러리를 참조하세요. 자세한 내용은 IAM Python API 참고 문서를 참조하세요.

IAM에 인증하려면 애플리케이션 기본 사용자 인증 정보를 설정합니다. 자세한 내용은 로컬 개발 환경의 인증 설정을 참조하세요.

from google.cloud import iam_admin_v1
from google.iam.v1 import iam_policy_pb2, policy_pb2


def set_service_account_iam_policy(
    project_id: str, account: str, policy: policy_pb2.Policy
) -> policy_pb2.Policy:
    """
    Set policy for service account. Pay attention that previous state will be completely rewritten.
    If you want to update only part of the policy follow the approach read->modify->write.
    For more details about policies check out https://cloud.google.com/iam/docs/policies

    project_id: ID or number of the Google Cloud project you want to use.
    account: ID or email which is unique identifier of the service account.
    policy: Policy which has to be set.
    """

    # Same approach as for policies on project level, but client stub is different.
    iam_client = iam_admin_v1.IAMClient()
    request = iam_policy_pb2.SetIamPolicyRequest()
    request.resource = f"projects/{project_id}/serviceAccounts/{account}"

    # request.etag field also will be merged which means you are secured from collision,
    # but it means that request may fail and you need to leverage exponential reties approach
    # to be sure policy has been updated.
    request.policy.MergeFrom(policy)

    policy = iam_client.set_iam_policy(request)
    return policy