Configura account di servizio App Engine

Le applicazioni App Engine richiedono un account di servizio per accedere ad altri servizi Google Cloud ed eseguire attività.

In App Engine esistono due tipi di account di servizio e puoi assegnare qualsiasi account di servizio nel progetto Cloud in modo che agisca da account di servizio predefinito a livello di app o per versione:

  • Account di servizio predefinito a livello di app: questo account di servizio viene utilizzato per tutti i servizi di cui hai eseguito il deployment se non configuri un "account di servizio per versione". Puoi scegliere di assegnare un account di servizio che hai creato o utilizzare l'account di servizio predefinito creato automaticamente che viene creato quando esegui il deployment iniziale di un servizio nel tuo progetto Cloud. Ad esempio, l'account di servizio predefinito di App Engine (PROJECT_ID@appspot.gserviceaccount.com).

  • Account di servizio per versione: un account di servizio configurato come identità per una versione specifica del servizio di cui è stato eseguito il deployment. Quando esegui il deployment di una versione esistente o di una nuova versione, puoi specificare un account di servizio che funga da identità di quella versione. Ad esempio, se una versione richiede autorizzazioni diverse dall'account di servizio predefinito a livello di app, puoi assegnare un account di servizio specifico per quella versione.

Visualizza gli account di servizio configurati

Per visualizzare l'account di servizio predefinito a livello di app attuale, esegui il comando gcloud app describe.

Per visualizzare l'account di servizio utilizzato da una versione di cui è stato eseguito il deployment:

gcloud

Esegui il comando gcloud app versions describe:

  gcloud app versions describe VERSION_ID --service=SERVICE_NAME

Sostituisci:

  • VERSION_ID con l'ID della versione.
  • SERVICE_NAME con il nome del servizio che hai creato.

Console

  1. Vai alla scheda Versioni di App Engine nella console. Vai a Versioni
  2. Individua l'indirizzo email dell'account di servizioo specifico della versione di App Engine. Esempio: SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

Assegna un account di servizio predefinito a livello di app

Per impostazione predefinita, l'account di servizio predefinito a livello di app è l'account di servizio PROJECT_ID@appspot.gserviceaccount.com creato automaticamente. Puoi assegnare un altro account di servizio da utilizzare come account di servizio predefinito a livello di app utilizzando Google Cloud CLI, la console Google Cloud o l'API Admin.

Specificare un account di servizio predefinito a livello di app durante la creazione dell'app

Durante il processo di creazione iniziale dell'applicazione App Engine, puoi scegliere di assegnare un account di servizio che hai creato o di utilizzare l'account di servizio PROJECT_ID@appspot.gserviceaccount.com creato automaticamente come predefinito.

Per creare un'applicazione App Engine e assegnare un account di servizio predefinito a livello di app, puoi utilizzare una delle seguenti opzioni:

gcloud

Esegui il comando gcloud app create:

gcloud app create --service-account=SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

Sostituisci:

  • SERVICE_ACCOUNT_NAME con il nome dell'account di servizio che hai creato.
  • PROJECT_ID con l'ID del progetto Google Cloud in cui vuoi assegnare l'account di servizio.

Console

  1. Vai alla pagina di App Engine:

    Vai ad App Engine

  2. Creare un progetto Google Cloud.

  3. Nella sezione Crea app, seleziona un account di servizio da Identità e accesso API.

Aggiorna l'account di servizio predefinito a livello di app per la tua app

Per aggiornare l'account di servizio predefinito a livello di app per la tua applicazione, puoi utilizzare una delle seguenti opzioni per assegnare un nuovo account di servizio:

gcloud

Esegui il comando gcloud app update.

    gcloud app update --service-account=SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

Sostituisci:

  • SERVICE_ACCOUNT_NAME con il nome dell'account di servizio che hai creato.
  • PROJECT_ID con l'ID del progetto Google Cloud in cui vuoi assegnare l'account di servizio.

Ogni nuova versione di cui eseguirai il deployment in seguito utilizza il nuovo account di servizio predefinito a livello di app, a meno che non assegni esplicitamente un account di servizio specifico per la versione.

Console

  1. Vai alla scheda Impostazioni applicazione di App Engine nella console e fai clic su Modifica impostazioni applicazione.

    Vai alle impostazioni dell'applicazione

  2. Scegli un account di servizio predefinito a livello di app da Seleziona un account di servizio e fai clic su Salva.

    Si aprirà la scheda Impostazioni applicazione, dove potrai visualizzare l'indirizzo email dell'account di servizio predefinito a livello di app aggiornato. Esempio: SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com.

    Ogni nuova versione di cui eseguirai il deployment in seguito utilizza il nuovo account di servizio predefinito a livello di app, a meno che non assegni esplicitamente un account di servizio specifico per la versione.

Esegui il deployment con un account di servizio specifico della versione

Puoi impostare un account di servizio specifico per la versione solo durante il deployment delle nuove versioni. L'utilizzo di un account di servizio specifico della versione consente di concedere privilegi diversi a ogni versione dell'applicazione in base alle attività specifiche che esegue, senza dover concedere più privilegi del necessario.

Devi disporre di un account di servizio esistente prima di eseguire il deployment dell'applicazione.

Imposta un account di servizio specifico per la versione

gcloud

Esegui il comando gcloud app deploy:

  gcloud app deploy --service-account=SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

Sostituisci:

  • SERVICE_ACCOUNT_NAME con il nome dell'account di servizio che hai creato.
  • PROJECT_ID con l'ID del progetto Google Cloud in cui vuoi assegnare l'account di servizio.

app.yaml

Nel file app.yaml, specifica il tuo account di servizio aggiungendo l'elemento service_account:

service_account: SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

Sostituisci:

  • SERVICE_ACCOUNT_NAME con il nome dell'account di servizio che hai creato.
  • PROJECT_ID con l'ID del progetto Google Cloud in cui vuoi assegnare l'account di servizio.

Account di servizio predefinito di App Engine

L'account di servizio predefinito di App Engine viene creato automaticamente quando usi App Engine.

A seconda della configurazione dei criteri dell'organizzazione, all'account di servizio predefinito potrebbe essere concesso automaticamente il ruolo Editor per il progetto. Ti consigliamo vivamente di disabilitare la concessione automatica del ruolo applicando il vincolo iam.automaticIamGrantsForDefaultServiceAccounts del criterio dell'organizzazione. Se hai creato la tua organizzazione dopo il 3 maggio 2024, questo vincolo viene applicato per impostazione predefinita.

Se disabiliti la concessione automatica dei ruoli, devi decidere quali ruoli concedere agli account di servizio predefiniti e poi concedere questi ruoli autonomamente.

Se l'account di servizio predefinito ha già il ruolo Editor, ti consigliamo di sostituire quest'ultimo con ruoli meno permissivi. Per modificare in modo sicuro i ruoli dell'account di servizio, utilizza il Simulatore di criteri per vedere l'impatto della modifica, quindi concedi e revoca i ruoli appropriati.

Per scoprire come concedere i ruoli agli account di servizio e ad altre entità, vedi Gestire l'accesso a progetti, cartelle e organizzazioni.

Per modificare le autorizzazioni, eliminare e ripristinare gli account di servizio, consulta Creazione e gestione degli account di servizio.