使用用户管理的服务账号

App Engine 应用需要服务账号才能访问其他 Google Cloud 服务并执行任务。默认情况下，App Engine 默认服务账号用作 App Engine 应用的身份。您还可以指定不同的用户管理的服务账号，以用作特定 App Engine 应用版本的身份。这样，您可以根据每个版本所执行的特定任务来为其授予不同的权限，同时可避免授予超出需求的权限。

本指南介绍了如何在部署新版本时指定不同的用户管理的服务账号。如果您在部署特定版本的应用时不需要创建不同的服务账号，则可以继续使用默认服务账号，而无需指定服务账号。

创建用户管理的服务账号

如需创建用户管理的服务账号，请参阅这些说明。定义要为服务账号授予的 Identity and Access Management (IAM) 角色时，您可以参考授予 App Engine 访问权限的角色。

如果您需要在创建服务账号之前查看 IAM 概念，请参阅 IAM 概念概览和服务账号指南。

警告：请勿移除项目中的现有 App Engine 标准环境服务代理。服务代理会将用户管理的服务账号委派给应用的身份。如果您移除服务代理，则会看到 IAM 权限错误。

部署应用时指定服务账号

注意：如果在 app.yaml 文件和 gcloud CLI 中指定了用户管理的服务账号，则使用 gcloud 设置。

gcloudapp.yaml

运行 gcloud app deploy 命令并指定您的服务账号：

gcloud app deploy --service-account=SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

在 app.yaml 文件中，通过添加 service_account 元素来指定您的服务账号：

service_account: SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

后续步骤

遵循使用服务账号的最佳实践。