Memberikan Service Account User untuk akun layanan run-as

Halaman ini mencantumkan akun utama yang memerlukan peran Service Account User (roles/iam.serviceAccountUser) untuk perubahan otorisasi mendatang, dan menjelaskan cara memberikannya.

Siapa yang memerlukan peran Service Account User

Akun utama berikut memerlukan peran Service Account User di akun layanan yang tercantum:

Utama Akun layanan
Pengguna yang memublikasikan atau menguji integrasi, termasuk otomatisasi deployment. Akun layanan run-as integrasi
Pengguna dan otomatisasi yang menjalankan integrasi melalui API atau konsol Google Cloud , secara sinkron atau asinkron. Akun layanan run-as integrasi
Akun layanan yang digunakan pemicu untuk memulai integrasi. Hal ini mencakup Email akun layanan dari Pemicu Cloud Scheduler, atau Akun layanan dari Pemicu Cloud Pub/Sub, Pemicu Eventarc, atau Pemicu peristiwa Integration Connectors. Hal ini tidak diperlukan jika akun pemicu adalah akun layanan run-as itu sendiri. Akun layanan run-as integrasi
Pengguna yang menyetujui atau melanjutkan operasi yang ditangguhkan. Akun layanan run-as integrasi
Akun utama yang memulai integrasi yang memanggil sub-integrasi menggunakan tugas Call Integration. Untuk integrasi yang dimulai oleh pemicu dengan akun layanan, ini adalah akun layanan pemicu. Akun layanan run-as sub-integrasi, selain akun layanan run-as integrasi panggilan
Akun layanan run-as integrasi panggilan, saat memanggil sub-integrasi secara asinkron. Hal ini tidak diperlukan jika kedua integrasi menggunakan akun layanan yang sama. Akun layanan run-as sub-integrasi
Pengguna yang membuat atau mengedit profil autentikasi jenis Service account atau OIDC token. Akun layanan yang disebutkan dalam profil
Pengguna yang memublikasikan atau menguji integrasi yang menggunakan profil tersebut, termasuk otomatisasi deployment. Akun layanan yang disebutkan dalam profil
Akun utama yang menjalankan integrasi yang mencapai tugas menggunakan profil tersebut. Untuk operasi asinkron atau terjadwal, ini adalah akun layanan run-as integrasi, atau agen layanan Application Integration, service-PROJECT_NUMBER@gcp-sa-integrations.iam.gserviceaccount.com, jika integrasi tidak memilikinya. Menetapkan akun layanan run-as adalah perbaikan yang direkomendasikan dalam kasus tersebut. Akun layanan yang disebutkan dalam profil

Menyimpan draf tidak memerlukan peran Pengguna Akun Layanan. Pemeriksaan otorisasi pada publikasi, pengujian, dan penyimpanan profil autentikasi saat ini berlaku. Pemeriksaan pada menjalankan, menyetujui, memanggil sub-integrasi, dan menjalankan tugas yang menggunakan profil autentikasi akan berlaku seiring berjalannya peluncuran. Berikan peran ini secara proaktif untuk memastikan integrasi Anda terus berjalan dengan sukses.

Memberikan peran

Untuk memberikan peran kepada akun utama, jalankan perintah berikut:

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT \
    --project=SERVICE_ACCOUNT_PROJECT_ID \
    --member='user:PRINCIPAL' \
    --role='roles/iam.serviceAccountUser'

Ganti kode berikut:

  • SERVICE_ACCOUNT: Alamat email akun layanan run-as, atau akun yang disebutkan dalam profil autentikasi.
  • SERVICE_ACCOUNT_PROJECT_ID: ID project yang memiliki akun layanan.
  • PRINCIPAL: Alamat email pengguna.

Untuk jenis akun utama lainnya, gunakan awalan --member yang sesuai:

  • Grup: Gunakan group:. Sebaiknya gunakan grup Google, bukan akun pengguna perorangan, untuk menyederhanakan pengelolaan akses saat anggota tim berubah.
  • Akun layanan: Gunakan serviceAccount: untuk proses otomatis, aplikasi, dan akun layanan pemicu.

Untuk memberikan peran di konsol Google Cloud :

  1. Buka IAM & Admin > Service Accounts.
  2. Pilih akun layanan.
  3. Klik Permissions > Grant access.

Untuk memberikan peran ini, Anda memerlukan peran roles/iam.serviceAccountAdmin di akun layanan. Project Owner memiliki izin ini secara default. Untuk mengetahui informasi selengkapnya, lihat Mengelola akses ke akun layanan.

Langkah berikutnya