Build サービスアカウントを設定する（ソースデプロイ）
コレクションでコンテンツを整理必要に応じて、コンテンツの保存と分類を行います。

ソースデプロイ中に、Cloud Run は Cloud Run サービスのビルドとデプロイで Cloud Build を利用します。

このページでは、サービスのビルド時に Cloud Build が使用するユーザー指定のサービスアカウントの設定方法を説明します。このガイドは、Google Cloud CLI を使用して Cloud Run のサービスまたは関数をデプロイし、Cloud Build で使用するビルドサービスアカウントをカスタマイズする必要があるプラットフォームデベロッパーを対象としています。ビルドサービスアカウントの gcloud CLI フラグは、ソースのデプロイ（--source）でサポートされていますが、コンテナイメージのデプロイ（--image）ではサポートされていません。

始める前に

Cloud Build API を有効にします。

gcloud services enable cloudbuild.googleapis.com

Cloud Build のサービスアカウントとして使用するサービスアカウントを作成するか、既存のサービスアカウントを用意します。

必要なロール

ユーザーまたは管理者は、デプロイ担当者アカウントと Cloud Build サービスアカウントに次の IAM ロールを付与する必要があります。

クリックしてデプロイ担当者アカウントに必要なロールを表示

ソースからビルドしてデプロイするために必要な権限を取得するには、次の IAM ロールを付与するよう管理者に依頼してください。

プロジェクトに対する Cloud Run ソースデベロッパー（roles/run.sourceDeveloper）
プロジェクトの Service Usage ユーザー（roles/serviceusage.serviceUsageConsumer）
Cloud Run サービス ID に対するサービスアカウントユーザー（roles/iam.serviceAccountUser）

クリックして Cloud Build サービスアカウントに必要なロールを表示

関数をデプロイするときに Cloud Build サービスアカウントがビルドを実行できるようにするには、プロジェクトの Cloud Build サービスアカウントに Cloud Run ビルダー（roles/run.builder）ロールを付与するよう管理者に依頼します。

Cloud Run に関連付けられている IAM ロールと権限のリストについては、Cloud Run IAM ロールと Cloud Run IAM 権限をご覧ください。Cloud Run サービスがGoogle Cloud API（Cloud クライアントライブラリなど）と連携している場合は、サービス ID の構成ガイドをご覧ください。ロールの付与の詳細については、デプロイ権限とアクセスの管理をご覧ください。

Cloud Build のサービスアカウントを指定する

デフォルトでは、ソースからサービスまたは関数をデプロイする際に Cloud Build のサービスアカウントが指定されていない場合、Cloud Build はデフォルトの Cloud Build サービスアカウントを使用します。

最小権限の原則に沿ってサービスのセキュリティポスチャーを改善するベストプラクティスとして、ソースから関数をデプロイする際に独自のサービスアカウントを指定してビルドを実行することをおすすめします。

gcloud

ソースコードからサービスをデプロイするときに Cloud Build のサービスアカウントを指定するには、--build-service-account フラグを使用します。

gcloud run deploy SERVICE \
    --source . \
    --build-service-account projects/PROJECT_ID/serviceAccounts/BUILD_SERVICE_ACCOUNT

次のように置き換えます。

SERVICE は、Cloud Run サービスの名前に置き換えます。
PROJECT_ID は、ビルドサービスアカウントが作成されるプロジェクト ID です。
BUILD_SERVICE_ACCOUNT は、ユーザー指定のサービスアカウントに置き換えます。

関数をデプロイする場合は、ソースコードから関数のエントリポイントを指定して --function フラグを追加します。