Mengonfigurasi identitas layanan untuk kumpulan pekerja

Halaman ini menunjukkan cara mengonfigurasi dan melihat identitas layanan yang mengontrol akses dari kumpulan pekerja Cloud Run ke Google Cloud API.

Kumpulan pekerja Cloud Run memiliki identitas layanan yang digunakan sebagai akun yang diautentikasi untuk mengakses API Google Cloud dari penampung instance Cloud Run Anda. Untuk mempelajari identitas layanan lebih lanjut, lihat panduan Pengantar identitas layanan.

Cara penggunaan identitas layanan

Di Cloud Run, identitas layanan adalah akun layanan yang merupakan resource dan akun utama.

• Identitas layanan sebagai resource: Untuk melampirkan akun layanan sebagai identitas layanan, akun deployer harus memiliki akses ke resource identitas layanan. Operasi tertentu, seperti membuat atau memperbarui gabungan pekerja, mengharuskan akun deployer memiliki izin pada resource identitas layanan.
• Identitas layanan sebagai akun utama: Untuk mengakses Google Cloud API dari kumpulan pekerja Cloud Run, Anda harus memberikan peran atau izin yang diperlukan kepada identitas layanan untuk operasi yang ingin dilakukan oleh kumpulan pekerja Anda.

Bagian berikutnya membahas peran yang diperlukan untuk memberikan akses akun deployer pada resource identitas layanan dan memberikan peran atau izin yang diperlukan oleh akun utama layanan.

Peran yang diperlukan

Anda atau administrator Anda harus memberikan peran dan izin IAM untuk akun deployer dan identitas layanan.

Mendapatkan rekomendasi untuk membuat akun layanan khusus

Saat Anda membuat akun layanan baru dari konsol Google Cloud , langkah opsional "Berikan akses project ke akun layanan ini" ditujukan untuk akses tambahan yang diperlukan. Misalnya, satu layanan Cloud Run dapat memanggil layanan Cloud Run pribadi lainnya, atau dapat mengakses database Cloud SQL. Keduanya memerlukan peran IAM tertentu. Untuk mengetahui informasi selengkapnya, lihat dokumentasi tentang mengelola akses.

Layanan Pemberi rekomendasi juga secara otomatis memberikan rekomendasi untuk membuat akun layanan khusus dengan serangkaian izin minimal yang diperlukan.

Mengonfigurasi identitas layanan

Jika belum membuat akun layanan, Anda dapat membuat akun layanan yang dikelola pengguna di IAM atau di Cloud Run.

Untuk mengonfigurasi identitas layanan, gunakan konsolGoogle Cloud atau gcloud CLI:

gcloud beta run worker-pools update WORKER_POOL --service-account SERVICE_ACCOUNT

gcloud beta run worker-pools deploy WORKER_POOL --image IMAGE_URL --service-account SERVICE_ACCOUNT

resource "google_cloud_run_v2_worker_pool" "default" {
  name     = "WORKER_POOL"
  location = "REGION"
  launch_stage = "BETA"

  template {
    containers {
      image = "IMAGE_URL"
    }
  }
  service_account = "SERVICE_ACCOUNT"
}

Menggunakan akun layanan dalam project lain

Jika Anda mengonfigurasi akun layanan dari Google Cloud project yang berbeda dengan resource Cloud Run, lakukan hal berikut:

1. Anda atau administrator Anda harus memberikan peran Pengguna Akun Layanan (roles/iam.serviceAccountUser) pada akun layanan yang Anda gunakan sebagai identitas layanan.

   Konsol

   1. Buka halaman Service accounts di konsol Google Cloud :

      Buka halaman Service accounts

   2. Pilih alamat email akun layanan yang Anda gunakan sebagai identitas layanan.

   3. Klik tab Izin.

   4. Klik tombol person_add Grant access.

   5. Masukkan alamat email akun deployer yang cocok dengan akun utama yang Anda beri peran Admin atau Developer.

   6. Di menu drop-down Pilih peran, pilih peran Akun Layanan > Pengguna Akun Layanan.

   7. Klik Simpan.

   gcloud

   Gunakan perintah gcloud iam service-accounts add-iam-policy-binding, dengan mengganti variabel yang ditandai dengan nilai yang sesuai:

   gcloud iam service-accounts add-iam-policy-binding \
       SERVICE_ACCOUNT_NAME@SERVICE_ACCOUNT_PROJECT_ID.iam.gserviceaccount.com \
       --member="PRINCIPAL" \
       --role="roles/iam.serviceAccountUser"

   Ganti kode berikut:

   • SERVICE_ACCOUNT_NAME: nama akun layanan yang Anda lampirkan ke resource Cloud Run
   • SERVICE_ACCOUNT_PROJECT_ID: project ID tempat akun layanan berada

   • PRINCIPAL: akun deployer yang Anda tambahkan pengikatannya, menggunakan format user|group|serviceAccount:email atau domain:domain—misalnya:

     • user:test-user@gmail.com
     • group:admins@example.com
     • serviceAccount:test123@example.domain.com
     • domain:example.domain.com

2. Anda atau administrator harus memberikan peran Service Account Token Creator (roles/iam.serviceAccountTokenCreator) kepada agen layanan resource Cloud Run di akun layanan yang Anda gunakan sebagai identitas layanan. Agen layanan mengikuti format service-PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com.

   Konsol

   1. Buka halaman Service accounts di konsol Google Cloud :

      Buka halaman Service accounts

   2. Pilih alamat email akun layanan yang Anda gunakan sebagai identitas layanan.

   3. Klik tab Izin.

   4. Klik tombol person_add Grant access.

   5. Masukkan alamat email agen layanan. Contoh: service-PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com

   6. Di menu drop-down Pilih peran, pilih peran Akun Layanan > Pembuat Token Akun Layanan.

   7. Klik Simpan.

   gcloud

   Gunakan perintah gcloud iam service-accounts add-iam-policy-binding:

   gcloud iam service-accounts add-iam-policy-binding \
       SERVICE_ACCOUNT_NAME@SERVICE_ACCOUNT_PROJECT_ID.iam.gserviceaccount.com \
       --member="serviceAccount:service-CLOUD_RUN_RESOURCE_PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com" \
       --role="roles/iam.serviceAccountTokenCreator"

   Ganti kode berikut:

   • SERVICE_ACCOUNT_NAME: nama akun layanan yang Anda lampirkan ke resource Cloud Run
   • SERVICE_ACCOUNT_PROJECT_ID: project ID tempat akun layanan berada
   • CLOUD_RUN_RESOURCE_PROJECT_NUMBER: nomor project tempat Cloud Run berada

   Perintah ini mencetak kebijakan izin yang diperbarui untuk akun layanan yang dikelola pengguna.

3. Project yang berisi akun layanan ini mengharuskan kebijakan organisasi iam.disableCrossProjectServiceAccountUsage ditetapkan ke status false atau unenforced di tingkat folder atau diwariskan dari setelan level project. Secara default, nilai ini ditetapkan ke true.

   Konsol

   1. Buka halaman Kebijakan organisasi di konsol Google Cloud :

      Buka Organization policies

   2. Dari pemilih project, pilih organisasi dan project yang ingin Anda nonaktifkan penggunaan akun layanan lintas projectnya.

   3. Pilih kebijakan disable cross-project service account usage.

   4. Klik Manage Policy.

   5. Di bagian Sumber kebijakan, pilih Ganti kebijakan induk.

   6. Klik Add a rule.

   7. Di bagian Enforcement, pilih Off.

   8. Untuk menerapkan kebijakan, klik Setel kebijakan.

   gcloud

   Di project yang memiliki akun layanan, pastikan batasan kebijakan organisasi iam.disableCrossProjectServiceAccountUsage tidak diterapkan. Batasan ini diterapkan secara default.

   Untuk menonaktifkan batasan kebijakan organisasi ini, jalankan:

   gcloud resource-manager org-policies disable-enforce iam.disableCrossProjectServiceAccountUsage
       --project=SERVICE_ACCOUNT_PROJECT_ID

   Ganti SERVICE_ACCOUNT_PROJECT_ID dengan project ID yang berisi akun layanan.

Anda dapat menerapkan keanggotaan peran secara langsung ke resource akun layanan atau mendapatkannya dari level yang lebih tinggi dalam hierarki resource.

Melihat konfigurasi akun layanan untuk kumpulan pekerja

1. Di konsol Google Cloud , buka Cloud Run:

   Buka Cloud Run

2. Klik Worker pools untuk menampilkan daftar worker pool yang di-deploy.

3. Klik kumpulan pekerja yang ingin Anda periksa untuk menampilkan panel detailnya.

4. Klik tab Security untuk menampilkan informasi keamanan kumpulan pekerja, termasuk akun layanan.

Langkah berikutnya

• Untuk mengetahui informasi selengkapnya tentang akun layanan, lihat panduan akun layanan IAM dan akun layanan yang dikelola pengguna.
• Jika layanan, tugas, atau kumpulan pekerja Cloud Run Anda mengakses API atau layanan Google, Anda harus mengonfigurasi akun layanan sebagai identitas layanan.Google Cloud Pelajari lebih lanjut.