VM mit einem vom Nutzer verwalteten Dienstkonto erstellen

In diesem Dokument wird beschrieben, wie Sie eine VM-Instanz erstellen, die für die Verwendung eines nutzerverwalteten Dienstkontos konfiguriert ist. Ein Dienstkonto ist eine spezielle Art von Konto, das in der Regel von einer Anwendung oder einer Computing-Arbeitslast für autorisierte API-Aufrufe verwendet wird.

Dienstkonten sind für Szenarien erforderlich, in denen eine Arbeitslast, z. B. eine benutzerdefinierte Anwendung, auf Google Cloud Ressourcen zugreifen oder Aktionen ohne Beteiligung der Endnutzer ausführen muss. Weitere Informationen zur Verwendung von Dienstkonten finden Sie unter Best Practices für die Verwendung von Dienstkonten.

Wenn Sie über Anwendungen verfügen, die Aufrufe an Google Cloud APIs senden müssen, empfiehlt Google, dass Sie ein nutzerverwaltetes Dienstkonto an die VM anhängen, auf der die Anwendung oder die Arbeitslast ausgeführt wird. Anschließend weisen Sie dem Dienstkonto IAM-Rollen zu, die dem Dienstkonto – und damit Anwendungen, die auf der VM ausgeführt werden, – Zugriff aufGoogle Cloud -Ressourcen gewähren.

Hinweise

• Richten Sie die Authentifizierung ein, falls Sie dies noch nicht getan haben. Bei der Authentifizierung wird Ihre Identität für den Zugriff auf Google Cloud -Dienste und APIs überprüft. Zum Ausführen von Code oder Beispielen aus einer lokalen Entwicklungsumgebung können Sie sich so bei der Compute Engine authentifizieren:
  

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. Installieren Sie die Google Cloud CLI. Initialisieren Sie die Google Cloud CLI nach der Installation mit dem folgenden Befehl:

     gcloud init

     Wenn Sie einen externen Identitätsanbieter (IdP) verwenden, müssen Sie sich zuerst mit Ihrer föderierten Identität in der gcloud CLI anmelden.

  2. Set a default region and zone.

  Terraform

  Wenn Sie die Terraform-Beispiele auf dieser Seite in einer lokalen Entwicklungsumgebung verwenden möchten, installieren und initialisieren Sie die gcloud CLI und richten Sie dann die Standardanmeldedaten für Anwendungen mit Ihren Nutzeranmeldedaten ein.

  Installieren Sie die Google Cloud CLI.

  Wenn Sie einen externen Identitätsanbieter (IdP) verwenden, müssen Sie sich zuerst mit Ihrer föderierten Identität in der gcloud CLI anmelden.

  If you're using a local shell, then create local authentication credentials for your user account:

  gcloud auth application-default login

  You don't need to do this if you're using Cloud Shell.

  If an authentication error is returned, and you are using an external identity provider (IdP), confirm that you have signed in to the gcloud CLI with your federated identity.

  Weitere Informationen finden Sie unter Set up authentication for a local development environment.

  REST

  Wenn Sie die REST API-Beispiele auf dieser Seite in einer lokalen Entwicklungsumgebung verwenden möchten, nutzen Sie die Anmeldedaten, die Sie der gcloud CLI bereitstellen.

  Installieren Sie die Google Cloud CLI.

  Wenn Sie einen externen Identitätsanbieter (IdP) verwenden, müssen Sie sich zuerst mit Ihrer föderierten Identität in der gcloud CLI anmelden.

  Weitere Informationen finden Sie in der Dokumentation zur Google Cloud -Authentifizierung unter Für die Verwendung von REST authentifizieren.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für das Projekt zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Erstellen von VMs mit Dienstkonten benötigen:

• Compute-Instanzadministrator (Version 1) (roles/compute.instanceAdmin.v1)
• Dienstkonten erstellen (roles/iam.serviceAccountCreator)
• Projekt-IAM-Administrator (roles/resourcemanager.projectIamAdmin)

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Erstellen von VMs, die Dienstkonten verwenden, erforderlich sind. Erweitern Sie den Abschnitt Erforderliche Berechtigungen, um die erforderlichen Berechtigungen anzuzeigen:

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Übersicht

Es wird empfohlen, Dienstkonten für Ihre VMs so zu konfigurieren:

1. Erstellen Sie ein neues nutzerverwaltetes Dienstkonto, anstatt das Compute Engine-Standarddienstkonto zu verwenden, und weisen Sie diesem Dienstkonto nur IAM-Rollen für die Ressourcen und Vorgänge zu, die es benötigt.
2. Hängen Sie das Dienstkonto an Ihre VM an.
3. Legen Sie den Bereich der Cloud Platform (https://www.googleapis.com/auth/cloud-platform) für Ihre VM fest. Dadurch kann das Dienstkonto der VM die Google Cloud APIs aufrufen, für die es berechtigt ist.
   • Wenn Sie das Dienstkonto über die Google Cloud Konsole angeben, legen Sie den Zugriffsbereich des Dienstkontos auf Uneingeschränkten Zugriff auf alle Cloud APIs zulassen fest.
   • Wenn Sie das Dienstkonto über die Google Cloud CLI oder die Compute Engine API angeben, können Sie den Parameter scopes zum Festlegen des Zugriffsbereichs verwenden.

Dienstkonto einrichten

Erstellen Sie ein Dienstkonto und weisen Sie die erforderlichen IAM-Rollen zu. Weisen Sie so viele IAM-Rollen wie nötig zu. Sie können die IAM-Rollen für Ihr Dienstkonto nach Bedarf ändern.

Google empfiehlt, dass Sie die Berechtigungen von Dienstkonten beschränken und regelmäßig prüfen, ob Ihre Dienstkontoberechtigungen aktuell sind.

Verwenden Sie eine der folgenden Methoden, um das Dienstkonto einzurichten.

resource "google_service_account" "default" {
  account_id   = "service-account-id"
  display_name = "Service Account"
}

VM erstellen und Dienstkonto anhängen

Nachdem Sie das Dienstkonto erstellt haben, erstellen Sie eine VM und hängen Sie das Dienstkonto an, das Sie im vorherigen Abschnitt erstellt haben. Legen Sie außerdem den Zugriffsbereich der VM auf cloud-platform fest.

Wenn Sie bereits eine VM haben und diese VM für die Verwendung eines anderen Dienstkontos konfigurieren möchten, finden Sie weitere Informationen unter Angehängtes Dienstkonto ändern.

Verwenden Sie eine der folgenden Methoden, um eine VM zu erstellen und das Dienstkonto anzuhängen.

gcloud compute instances create VM_NAME \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --scopes=https://www.googleapis.com/auth/cloud-platform

gcloud compute instances create example-vm \
    --service-account [email protected] \
    --scopes=https://www.googleapis.com/auth/cloud-platform

resource "google_compute_instance" "default" {
  name         = "my-test-vm"
  machine_type = "n1-standard-1"
  zone         = "us-central1-a"

  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-11"
    }
  }

  // Local SSD disk
  scratch_disk {
    interface = "SCSI"
  }

  network_interface {
    network = "default"

    access_config {
      // Ephemeral public IP
    }
  }

  service_account {
    # Google recommends custom service accounts with `cloud-platform` scope with
    # specific permissions granted via IAM Roles.
    # This approach lets you avoid embedding secret keys or user credentials
    # in your instance, image, or app code
    email  = google_service_account.default.email
    scopes = ["cloud-platform"]
  }
}

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

{
   "machineType":"zones/MACHINE_TYPE_ZONE/machineTypes/MACHINE_TYPE",
   "name":"VM_NAME",
   
   "disks":[
      {
         "initializeParams":{
            "sourceImage":"projects/IMAGE_PROJECT/global/images/IMAGE"
         },
         "boot":true
      }
   ],
   
   
   "networkInterfaces":[
      {
         "network":"global/networks/NETWORK_NAME"
      }
   ],
   
  "serviceAccounts": [
      {
      "email": "SERVICE_ACCOUNT_EMAIL",
      "scopes": ["https://www.googleapis.com/auth/cloud-platform"]
      }
   ],
   "shieldedInstanceConfig":{
      "enableSecureBoot":"ENABLE_SECURE_BOOT"
   }
}

Auf andere Google Cloud -Dienste zugreifen und diese verwenden

Nachdem Ihre VM für die Verwendung des Dienstkontos konfiguriert wurde, können sich Anwendungen mit dem Dienstkonto authentifizieren. Die gängigste Methode ist die Authentifizierung mithilfe von Standardanmeldedaten für Anwendungen und einer Clientbibliothek. Einige Google Cloud -Tools wie die gcloud CLI können automatisch das Dienstkonto verwenden, um von einer VM aus auf Google Cloud APIs zuzugreifen. Weitere Informationen finden Sie unter Arbeitslasten mit Dienstkonten authentifizieren.

Wenn ein Dienstkonto gelöscht wird, haben Anwendungen darüber keinen Zugriff mehr aufGoogle Cloud -Ressourcen. Wenn Sie die standardmäßigen App Engine- und Compute Engine-Dienstkonten löschen, haben ihre VMs keinen Zugriff mehr auf Ressourcen in dem Projekt. Wenn Sie nicht sicher sind, ob ein Dienstkonto verwendet wird, empfehlen wir Ihnen, das Dienstkonto zu deaktivieren, bevor Sie es löschen. Deaktivierte Dienstkonten lassen sich wieder aktivieren, wenn sie noch benötigt werden.

Beispiel: Zugriff auf Cloud Storage-Ressourcen von Ihrer VM aus

Nachdem Sie Ihre VM für die Verwendung eines Dienstkontos mit der Rolle storage.admin konfiguriert haben, können Sie Tools wie die gcloud CLI und zum Verwalten von Dateien verwenden, die Sie in Cloud Storage gespeichert haben. Führen Sie die folgenden Schritte aus, um auf Ihre Cloud Storage-Ressourcen zuzugreifen:

1. Prüfen Sie, ob das mit der VM verknüpfte Dienstkonto die Rolle roles/storage.admin hat.

2. Wenn Ihre VM ein benutzerdefiniertes Betriebssystem-Image verwendet, installieren Sie die gcloud CLI. Standardmäßig ist die gcloud CLI auf den meisten öffentlichen Betriebssystem-Images installiert, die von Google Cloudbereitgestellt werden.

3. Stellen Sie eine Verbindung zur VM her.

4. Verwenden Sie auf der VM die Google Cloud CLI, um Ihre Cloud Storage-Ressourcen zu verwalten.

Nächste Schritte

• Arbeitslasten mithilfe von Dienstkonten authentifizieren
• Informationen zum Ändern des Dienstkontos, das einer VM zugeordnet ist
• Dienstkonten auflisten und bearbeiten
• Best Practices für die Arbeit mit Dienstkonten lesen und Sicherheitsrisiken minimieren.