In diesem Dokument wird gezeigt, wie Sie ein Dienstkonto für den Zugriff auf Anthos-Komponenten erstellen.
Diese Anleitung ist Teil einer Kurzanleitung. Eine vollständige Anleitung zur Verwendung von Dienstkonten mit Anthos-Cluster auf VMware (GKE On-Prem) finden Sie unter Dienstkonten und Schlüssel.
Hinweise
Erstellen Sie ein Google Cloud-Projekt (Kurzanleitung).
Dienstkonto für den Komponentenzugriff erstellen
Anthos-Cluster auf VMware verwendet ein Dienstkonto, um Anthos-Komponenten in Ihrem Namen von Container Registry herunterzuladen. Dieses Konto wird als Dienstkonto für den Komponentenzugriff bezeichnet.
Für diese Themen der Kurzanleitung wird ein einzelnes Google Cloud-Projekt verwendet. Im vorherigen Kurzanleitungsthema haben Sie bereits festgelegt, welches Google Cloud-Projekt verwendet werden soll: Google Cloud-Projekt (Kurzanleitung).
Das Dienstkonto für den Komponentenzugriff ist ein untergeordnetes Google Cloud-Projekt und ihm werden Rollen für dieses Google Cloud-Projekt gewährt.
So erstellen Sie ein Dienstkonto für den Komponentenzugriff:
gcloud iam service-accounts create component-access-sa \
--display-name "Component Access Service Account" \
--project PROJECT_ID
Ersetzen Sie PROJECT_ID durch die ID Ihres Google Cloud-Projekts.
So erstellen Sie einen JSON-Schlüssel für das Dienstkonto für den Komponentenzugriff:
gcloud iam service-accounts keys create component-access-key.json \ --iam-account component-access-sa@[PROJECT_ID].iam.gserviceaccount.com
Dienstkonto für den Komponentenzugriff Rollen zuweisen
Dem Dienstkonto für den Komponentenzugriff müssen in Ihrem Google Cloud-Projekt die folgenden IAM-Rollen zugewiesen werden. Diese Rollen sind erforderlich, damit Anthos-Cluster auf VMware Preflight-Prüfungen ausführen kann:
- serviceusage.serviceUsageViewer
- iam.roleViewer
- iam.serviceAccountViewer
So weisen Sie Rollen zu:
gcloud projects add-iam-policy-binding PROJECT_ID \
--member "serviceAccount:component-access-sa@[PROJECT_ID].iam.gserviceaccount.com" \
--role "roles/serviceusage.serviceUsageViewer"
gcloud projects add-iam-policy-binding PROJECT_ID \
--member "serviceAccount:component-access-sa@[PROJECT_ID].iam.gserviceaccount.com" \
--role "roles/iam.roleViewer"
gcloud projects add-iam-policy-binding PROJECT_ID \
--member "serviceAccount:component-access-sa@[PROJECT_ID].iam.gserviceaccount.com" \
--role "roles/iam.serviceAccountViewer"
Nächste Schritte
Administrator-Workstation erstellen (Kurzanleitung)