En plus du compte de service App Engine par défaut, l'environnement standard App Engine inclut un compte de service géré par Google, appelé agent de service de l'environnement standard App Engine. L'agent de service permet à votre projet Google Cloud d'interagir avec les ressources de votre application indépendamment des autres services Google Cloud.
Google crée automatiquement ce compte lorsque vous déployez la première application d'un projet dans l'environnement standard App Engine à l'aide des outils App Engine, tels que la commande gcloud app deploy.
L'agent de service n'est pas répertorié sur la page "Comptes de service" de la console Google Cloud et présente les restrictions suivantes :
- Ne révoquez pas les rôles attribués à l'agent de service.
- N'attribuez pas le rôle d'agent de service de l'environnement standard App Engine associé à un autre compte, car les autorisations que ce rôle inclut peuvent changer sans préavis.
Vérifier l'agent de service de l'environnement standard App Engine
Pour vérifier que l'agent de service existe dans votre projet Google Cloud, procédez comme suit :
Ouvrez la console Google Cloud.
Dans l'angle supérieur droit de la page Autorisations, cochez la case Inclure les attributions de rôles fournies par Google.
Dans la liste Comptes principaux, recherchez l'ID de l'agent de service de l'environnement standard App Engine, qui utilise l'ID
service-PROJECT_NUMBER@gcp-gae-service.iam.gserviceaccount.com.Vérifiez que l'agent de service a reçu le rôle Agent de service de l'environnement standard App Engine.
Rôle d'agent de service
L'agent de service a le rôle d'agent de service de l'environnement standard App Engine. Le rôle comprend un ensemble d'autorisations requis par l'environnement standard Python 2 pour gérer vos applications d'environnement standard. Par exemple, ce rôle inclut des autorisations permettant d'effectuer les tâches suivantes :
- Obtenez un jeton d'accès permettant aux instances App Engine d'accéder à d'autres ressources Google Cloud, telles qu'un bucket Cloud Storage.
- Utilisez l'API Blobstore des anciens services groupés App Engine.
Le rôle d'agent de service de l'environnement standard App Engine est réservé à l'agent de service. N'attribuez pas ce rôle IAM à un autre compte, car les autorisations qu'il inclut peuvent changer sans préavis.
Restaurer un agent de service supprimé
Si vous supprimez accidentellement l'agent de service de l'environnement standard App Engine, vous pouvez le restaurer en procédant comme suit :
Ouvrez la console Google Cloud.
Cliquez sur Ajouter.
Saisissez l'ID de l'agent de service au format
service-PROJECT_NUMBER@gcp-gae-service.iam.gserviceaccount.com.Sélectionnez le rôle Agent de service de l'environnement standard App Engine.
Cliquez sur Enregistrer.