Configura l'identità del servizio per i pool di worker

Questa pagina mostra come configurare e visualizzare l'identità del servizio che controlla l'accesso dai pool di worker Cloud Run alle API Google Cloud .

Un pool di worker Cloud Run ha un'identità di servizio utilizzata come account autenticato per accedere alle API Google Cloud dal container dell'istanza Cloud Run. Per saperne di più sull'identità del servizio, consulta la guida Introduzione all'identità del servizio.

Come viene utilizzata l'identità del servizio

In Cloud Run, l'identità del servizio è un account di servizio che è sia una risorsa che un'entità.

• Identità di servizio come risorsa: per collegare un account di servizio come identità di servizio, l'account del responsabile del deployment deve avere accesso alla risorsa identità di servizio. Alcune operazioni, come la creazione o l'aggiornamento di un pool di worker, richiedono che l'account del deployment disponga delle autorizzazioni per la risorsa dell'identità del servizio.
• Identità del servizio come principal: per accedere alle API Google Cloud da un pool di worker Cloud Run, devi concedere all'identità del servizio i ruoli o le autorizzazioni richiesti per le operazioni che vuoi che il pool di worker esegua.

La sezione successiva illustra i ruoli richiesti per concedere all'account di deployment l'accesso alla risorsa di identità del servizio e per concedere i ruoli o le autorizzazioni di cui ha bisogno iaccount di serviziont.

Ruoli obbligatori

Tu o il tuo amministratore dovete concedere ruoli e autorizzazioni IAM per l'account di deployment e l'identità del servizio.

Ricevere consigli per creare service account dedicati

Quando crei un nuovo account di servizio dalla console Google Cloud , il passaggio facoltativo "Concedi a questo account di servizio l'accesso al progetto" riguarda qualsiasi accesso aggiuntivo richiesto. Ad esempio, un servizio Cloud Run potrebbe richiamare un altro servizio Cloud Run privato o potrebbe accedere a un database Cloud SQL, entrambi richiedono ruoli IAM specifici. Per ulteriori informazioni, consulta la documentazione sulla gestione dell'accesso.

Il servizio Recommender fornisce anche automaticamente consigli per creare service account dedicati con il set minimo di autorizzazioni richieste.

Configura l'identità del servizio

Se non hai ancora creato un account di servizio, puoi crearne uno gestito dall'utente in IAM o in Cloud Run.

Per configurare un'identità di servizio, utilizza la consoleGoogle Cloud o gcloud CLI:

gcloud beta run worker-pools update WORKER_POOL --service-account SERVICE_ACCOUNT

gcloud beta run worker-pools deploy WORKER_POOL --image IMAGE_URL --service-account SERVICE_ACCOUNT

resource "google_cloud_run_v2_worker_pool" "default" {
  name     = "WORKER_POOL"
  location = "REGION"
  launch_stage = "BETA"

  template {
    containers {
      image = "IMAGE_URL"
    }
  }
  service_account = "SERVICE_ACCOUNT"
}

Utilizzo degli account di servizio in altri progetti

Se configuri un account di servizio di un Google Cloud progetto diverso dalla risorsa Cloud Run, procedi nel seguente modo:

1. Tu o il tuo amministratore dovete concedere il ruolo Utente service account (roles/iam.serviceAccountUser) nel account di servizio che utilizzi come identità del servizio.

   Console

   1. Vai alla pagina Service Accounts della console Google Cloud :

      Vai ad Account di servizio

   2. Seleziona l'indirizzo email del account di servizio che utilizzi come identità del servizio.

   3. Fai clic sulla scheda Autorizzazioni.

   4. Fai clic sul pulsante person_add Concedi l'accesso.

   5. Inserisci l'indirizzo email dell'account di deployment che corrisponde all'entità a cui stai concedendo il ruolo Amministratore o Sviluppatore.

   6. Nel menu a discesa Seleziona un ruolo, seleziona il ruolo Account di servizio > Utente account di servizio.

   7. Fai clic su Salva.

   gcloud

   Utilizza il comando gcloud iam service-accounts add-iam-policy-binding, sostituendo le variabili evidenziate con i valori appropriati:

   gcloud iam service-accounts add-iam-policy-binding \
       SERVICE_ACCOUNT_NAME@SERVICE_ACCOUNT_PROJECT_ID.iam.gserviceaccount.com \
       --member="PRINCIPAL" \
       --role="roles/iam.serviceAccountUser"

   Sostituisci quanto segue:

   • SERVICE_ACCOUNT_NAME: il nome del account di servizio a cui stai collegando la risorsa Cloud Run
   • SERVICE_ACCOUNT_PROJECT_ID: l'ID progetto in cui si trova ilaccount di serviziot

   • PRINCIPAL: l'account di deployment per cui stai aggiungendo il binding, utilizzando il formato user|group|serviceAccount:email o domain:domain, ad esempio:

     • user:test-user@gmail.com
     • group:admins@example.com
     • serviceAccount:test123@example.domain.com
     • domain:example.domain.com

2. Tu o il tuo amministratore dovete concedere all'agente di servizio della risorsa Cloud Run il ruolo Creatore token service account (roles/iam.serviceAccountTokenCreator) per il account di servizio che utilizzi come identità di servizio. L'agente di servizio segue il formato service-PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com.

   Console

   1. Vai alla pagina Service Accounts della console Google Cloud :

      Vai ad Account di servizio

   2. Seleziona l'indirizzo email del account di servizio che utilizzi come identità del servizio.

   3. Fai clic sulla scheda Autorizzazioni.

   4. Fai clic sul pulsante person_add Concedi l'accesso.

   5. Inserisci l'indirizzo email dell'agente di servizio. Ad esempio service-PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com.

   6. Nel menu a discesa Seleziona un ruolo, seleziona il ruolo Account di servizio > Creatore token account di servizio.

   7. Fai clic su Salva.

   gcloud

   Utilizza il comando gcloud iam service-accounts add-iam-policy-binding:

   gcloud iam service-accounts add-iam-policy-binding \
       SERVICE_ACCOUNT_NAME@SERVICE_ACCOUNT_PROJECT_ID.iam.gserviceaccount.com \
       --member="serviceAccount:service-CLOUD_RUN_RESOURCE_PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com" \
       --role="roles/iam.serviceAccountTokenCreator"

   Sostituisci quanto segue:

   • SERVICE_ACCOUNT_NAME: il nome del account di servizio a cui stai collegando la risorsa Cloud Run
   • SERVICE_ACCOUNT_PROJECT_ID: l'ID progetto in cui si trova ilaccount di serviziot
   • CLOUD_RUN_RESOURCE_PROJECT_NUMBER: il numero di progetto in cui si trova Cloud Run

   Il comando stampa il criterio di autorizzazione aggiornato per l'account di servizio gestito dall'utente.

3. Il progetto contenente questo account di servizio richiede che org-policy iam.disableCrossProjectServiceAccountUsage sia impostato su false o non applicato a livello di cartella o ereditato dalle impostazioni a livello di progetto. Per impostazione predefinita, questo valore è impostato su true.

   Console

   1. Vai alla pagina Policy dell'organizzazione nella console Google Cloud :

      Vai a Policy dell'organizzazione

   2. Nel selettore di progetti, seleziona l'organizzazione e il progetto per cui vuoi disattivare l'utilizzo dei account di servizio tra i progetti.

   3. Seleziona il criterio Disabilita l'utilizzo account di servizio tra i progetti.

   4. Fai clic su Gestisci policy.

   5. In Origine criterio, seleziona Esegui override della policy dell'unità organizzativa principale.

   6. Fai clic su Aggiungi una regola.

   7. In Applicazione forzata, seleziona Off.

   8. Per applicare la policy, fai clic su Imposta policy.

   gcloud

   Nel progetto che contiene il account di servizio, assicurati che il vincolo del criterio dell'organizzazione iam.disableCrossProjectServiceAccountUsage non sia applicato. Questo vincolo viene applicato per impostazione predefinita.

   Per disattivare questo vincolo dei criteri dell'organizzazione, esegui:

   gcloud resource-manager org-policies disable-enforce iam.disableCrossProjectServiceAccountUsage
       --project=SERVICE_ACCOUNT_PROJECT_ID

   Sostituisci SERVICE_ACCOUNT_PROJECT_ID con l'ID progetto che contiene il account di servizio.

Puoi applicare le appartenenze ai ruoli direttamente alla risorsa account di servizio o ereditarle dai livelli superiori della gerarchia delle risorse.

Visualizza la configurazione del account di servizio per il pool di worker

1. Nella console Google Cloud , vai a Cloud Run:

   Vai a Cloud Run

2. Fai clic su Pool di worker per visualizzare l'elenco dei pool di worker di cui è stato eseguito il deployment.

3. Fai clic sul worker pool che vuoi esaminare per visualizzare il relativo riquadro dei dettagli.

4. Fai clic sulla scheda Sicurezza per visualizzare le informazioni sulla sicurezza del pool di worker, inclusi gli account di servizio.

Passaggi successivi

• Per ulteriori informazioni sui service account, consulta le guide Service account IAM e Service account gestito dall'utente.
• Se il tuo servizio, job o pool di worker Cloud Run accede alle API Google o ai serviziGoogle Cloud , devi configurare il tuo account di servizio come identità del servizio. Scopri di più.