設定服務的身分

Cloud Run 服務或修訂版本具有服務身分，可做為經過驗證的帳戶，從 Cloud Run 執行個體容器存取 Google Cloud API。如要進一步瞭解服務身分，請參閱服務身分簡介指南。

服務身分的使用方式

在 Cloud Run 中，服務身分是服務帳戶，既是資源也是主體。

• 服務身分做為資源：如要將服務帳戶附加為服務身分，部署人員帳戶必須具備服務身分資源的存取權。某些作業 (例如建立或更新服務或修訂版本) 需要部署者帳戶對服務身分資源擁有權限。
• 以主體身分使用的服務身分：如要從 Cloud Run 服務或修訂版本存取 Google Cloud API，您必須授予服務身分執行服務或修訂版本所需作業的角色或權限。

下一節將說明授予部署者帳戶服務身分資源存取權，以及授予服務帳戶主體所需角色或權限時，必須具備的角色。

必要的角色

您或管理員必須為部署者帳戶和服務身分授予 IAM 角色和權限。

取得建立專屬服務帳戶的建議

從 Google Cloud 控制台建立新服務帳戶時，選用步驟「將專案存取權授予這個服務帳戶」適用於任何額外存取權需求。舉例來說，一個 Cloud Run 服務可能會叫用另一個私人 Cloud Run 服務，或存取 Cloud SQL 資料庫，這兩種情況都需要特定的 IAM 角色。詳情請參閱管理存取權的說明文件。

最佳化建議服務也會自動提供最佳化建議，協助您建立專屬服務帳戶，並授予最基本的必要權限。

設定服務身分

如果您尚未建立服務帳戶，可以在 IAM 或 Cloud Run 中建立使用者管理的服務帳戶。

如要設定服務身分，請在建立新服務或部署新版本時，使用 Google Cloud 控制台、gcloud CLI、API (YAML) 或 Terraform：

gcloud run services update SERVICE --service-account SERVICE_ACCOUNT

gcloud run deploy --image IMAGE_URL --service-account SERVICE_ACCOUNT

resource "google_service_account" "cloudrun_service_identity" {
  account_id = "my-service-account"
}

resource "google_cloud_run_v2_service" "default" {
  name     = "id-service"
  location = "us-central1"

  deletion_protection = false # set to "true" in production

  template {
    containers {
      image = "us-docker.pkg.dev/cloudrun/container/hello"
    }
    service_account = google_service_account.cloudrun_service_identity.email
  }
}

使用其他專案中的服務帳戶

如果您設定的服務帳戶來自與 Cloud Run 資源不同的 Google Cloud 專案 ，請按照下列步驟操作：

1. 您或管理員必須在您用來做為服務身分的服務帳戶上，授予「服務帳戶使用者」角色 (roles/iam.serviceAccountUser)。

   控制台

   1. 前往 Google Cloud 控制台的「Service accounts」(服務帳戶) 頁面：

      前往「Service accounts」(服務帳戶)

   2. 選取您做為服務身分使用的服務帳戶電子郵件地址。

   3. 按一下「Permissions」(權限) 分頁標籤。

   4. 按一下「授予存取權」person_add按鈕。

   5. 輸入與您要授予管理員或開發人員角色的主體相符的部署者帳戶電子郵件地址。

   6. 在「Select a role」(請選擇角色) 下拉式選單中，選取「Service Accounts」(服務帳戶) >「Service Account User」(服務帳戶使用者) 角色。

   7. 按一下 [儲存]。

   gcloud

   使用 gcloud iam service-accounts add-iam-policy-binding 指令，並將醒目顯示的變數改為適當的值：

   gcloud iam service-accounts add-iam-policy-binding \
       SERVICE_ACCOUNT_NAME@SERVICE_ACCOUNT_PROJECT_ID.iam.gserviceaccount.com \
       --member="PRINCIPAL" \
       --role="roles/iam.serviceAccountUser"

   取代：

   • SERVICE_ACCOUNT_NAME：您要將 Cloud Run 資源附加至的服務帳戶名稱。
   • SERVICE_ACCOUNT_PROJECT_ID：服務帳戶所在的專案 ID。

   • PRINCIPAL，使用 user|group|serviceAccount:email 或 domain:domain 格式，為要新增繫結的部署者帳戶新增繫結。PRINCIPAL例如：

     • user:test-user@gmail.com
     • group:admins@example.com
     • serviceAccount:test123@example.domain.com
     • domain:example.domain.com

2. 您或管理員必須在您做為服務身分使用的服務帳戶上，將服務帳戶符記建立者角色 (roles/iam.serviceAccountTokenCreator) 授予 Cloud Run 資源的服務代理人。服務代理的格式為 service-PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com。

   控制台

   1. 前往 Google Cloud 控制台的「Service accounts」(服務帳戶) 頁面：

      前往「Service accounts」(服務帳戶)

   2. 選取您做為服務身分使用的服務帳戶電子郵件地址。

   3. 按一下「Permissions」(權限) 分頁標籤。

   4. 按一下「授予存取權」person_add按鈕。

   5. 輸入服務專員的電子郵件地址。例如 service-PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com。

   6. 在「Select a role」(請選擇角色) 下拉式選單中，選取「Service Accounts」(服務帳戶) >「Service Account Token Creator」(服務帳戶憑證建立者) 角色。

   7. 按一下 [儲存]。

   gcloud

   使用 gcloud iam service-accounts add-iam-policy-binding 指令：

   gcloud iam service-accounts add-iam-policy-binding \
       SERVICE_ACCOUNT_NAME@SERVICE_ACCOUNT_PROJECT_ID.iam.gserviceaccount.com \
       --member="serviceAccount:service-CLOUD_RUN_RESOURCE_PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com" \
       --role="roles/iam.serviceAccountTokenCreator"

   替換下列值：

   • SERVICE_ACCOUNT_NAME：您要將 Cloud Run 資源附加至的服務帳戶名稱。
   • SERVICE_ACCOUNT_PROJECT_ID：服務帳戶所在的專案 ID。
   • CLOUD_RUN_RESOURCE_PROJECT_NUMBER： Cloud Run 所在的專案編號。

   這個指令會列印使用者管理服務帳戶的更新允許政策。

3. 含有這個服務帳戶的專案需要將機構政策 iam.disableCrossProjectServiceAccountUsage 設為 false，或在資料夾層級取消強制執行，或從專案層級設定繼承。預設值為 true。

   控制台

   1. 前往 Google Cloud 控制台的「Organization policies」(機構政策) 頁面：

      前往「機構政策」

   2. 從專案挑選器中，選取要停用跨專案服務帳戶的機構和專案。

   3. 選取「停用跨專案服務帳戶」政策。

   4. 按一下「管理政策」。

   5. 在「政策來源」下方，選取「覆寫上層政策」。

   6. 點選「新增規則」。

   7. 在「Enforcement」(強制執行) 下方，選取「Off」(關閉)。

   8. 如要強制執行這項政策，請按一下「設定政策」。

   gcloud

   在擁有服務帳戶的專案中，請確保系統不會強制執行iam.disableCrossProjectServiceAccountUsage機構政策限制。這項限制預設為強制執行。

   如要停用這項機構政策限制，請執行下列指令：

   gcloud resource-manager org-policies disable-enforce iam.disableCrossProjectServiceAccountUsage
       --project=SERVICE_ACCOUNT_PROJECT_ID

   將 SERVICE_ACCOUNT_PROJECT_ID 替換為包含服務帳戶的專案 ID。

您可以直接將角色成員資格套用至服務帳戶資源，或從資源階層中的較高層級繼承。

後續步驟

• 如要進一步瞭解服務帳戶，請參閱 IAM 服務帳戶和使用者管理的服務帳戶指南。
• 如果 Cloud Run 服務、工作或工作人員集區會存取 Google API 或Google Cloud 服務，您必須將服務帳戶設定為服務身分。瞭解詳情。