Le applicazioni App Engine richiedono un account di servizio per accedere ad altri servizi Google Cloud ed eseguire attività.
In App Engine esistono due tipi di account di servizio e qualsiasi account di servizio nel tuo progetto Cloud può essere assegnato l'account di servizio predefinito a livello di app o per versione:
Account di servizio predefinito a livello di app: questo account di servizio viene utilizzato per tutti i deployment se non configuri un "account di servizio per versione". Puoi scegliere per assegnare un account di servizio che hai creato o utilizzare account di servizio predefinito creato automaticamente che viene creato quando esegui il deployment iniziale di un servizio nel tuo progetto Cloud. Ad esempio, Account di servizio predefinito di App Engine (
PROJECT_ID@appspot.gserviceaccount.com).Account di servizio per versione: un account di servizio configurato come identità. per una versione specifica del servizio di cui hai eseguito il deployment. Quando esegui il deployment di un modello una versione più recente o una nuova versione, puoi specificare un account di servizio che agisca come e identità di base. Ad esempio, se una versione richiede autorizzazioni diverse dalle di servizio predefinito a livello di app, puoi assegnare un account di servizio specifico per quella versione.
Visualizza gli account di servizio configurati
Per visualizzare l'account di servizio predefinito a livello di app attuale, esegui gcloud app describe
.
Per visualizzare l'account di servizio utilizzato da una versione di cui è stato eseguito il deployment:
gcloud
Esegui il comando gcloud app versions describe:
gcloud app versions describe VERSION_ID --service=SERVICE_NAME
Sostituisci:
VERSION_IDcon l'ID della versione.SERVICE_NAMEcon il nome del servizio che hai creato.
Console
- Vai alla scheda Versioni di App Engine nella console. Vai a Versioni
- Individua l'indirizzo email di App Engine
un account di servizio specifico della versione. Esempio:
SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com
Assegna un account di servizio predefinito a livello di app
Per impostazione predefinita, l'account di servizio predefinito a livello di app viene creato automaticamente
Account di servizio PROJECT_ID@appspot.gserviceaccount.com. Puoi assegnare un altro servizio
che fungerà da account di servizio predefinito a livello di app utilizzando Google Cloud CLI,
Console Google Cloud o API Admin.
Specificare un account di servizio predefinito a livello di app durante la creazione dell'app
Durante il processo iniziale di creazione
dell'applicazione App Engine,
puoi scegliere di assegnare un account di servizio
creato o utilizza il modello creato automaticamente
PROJECT_ID@appspot.gserviceaccount.com affinché funga da account di servizio predefinito.
Per creare un'applicazione App Engine e assegnare un'applicazione a livello di applicazione di account di servizio predefinito, puoi utilizzare una delle seguenti opzioni:
gcloud
Esegui il comando gcloud app create:
gcloud app create --service-account=SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com
Sostituisci:
SERVICE_ACCOUNT_NAMEcon il nome dell'account di servizio che hai creato.PROJECT_IDcon l'ID del progetto Google Cloud in cui vuoi assegnare l'account di servizio.
Console
Vai alla pagina di App Engine:
Creare un progetto Google Cloud.
Nella sezione Crea app, seleziona un account di servizio da Identità e accesso API.
Aggiorna l'account di servizio predefinito a livello di app per la tua app
Per aggiornare l'account di servizio predefinito a livello di app per la tua applicazione, puoi utilizzare una delle seguenti opzioni per assegnare un nuovo account di servizio:
gcloud
Esegui il comando gcloud app update.
gcloud app update --service-account=SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com
Sostituisci:
SERVICE_ACCOUNT_NAMEcon il nome dell'account di servizio che hai creato.PROJECT_IDcon l'ID del progetto Google Cloud a cui vuoi assegnare l'account di servizio.
Ogni nuova versione di cui eseguirai il deployment in seguito utilizza il nuovo servizio predefinito a livello di app a meno che non assegni esplicitamente un account di servizio specifico per la versione.
Console
Vai alla scheda Impostazioni applicazione di App Engine nella console e fai clic su Modificare le impostazioni dell'applicazione.
Scegli un account di servizio predefinito a livello di app da Seleziona un account di servizio e fai clic su Salva.
Si aprirà la scheda Impostazioni applicazione, dove potrai visualizzare l'email dell'account di servizio predefinito a livello di app aggiornato. Esempio:
SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com.Ogni nuova versione di cui eseguirai il deployment in seguito utilizza il nuovo servizio predefinito a livello di app a meno che non assegni esplicitamente un account di servizio specifico per la versione.
Esegui il deployment con un account di servizio specifico della versione
Puoi impostare un account di servizio specifico per la versione solo durante il deployment di nuovi versions. L'uso di un account di servizio specifico della versione consente di concedere i privilegi a ogni versione dell'applicazione, in base alle attività specifiche eseguite, ed evitare di concedere più privilegi del necessario.
Devi disporre di un servizio esistente prima di eseguire il deployment dell'applicazione.
Imposta un account di servizio specifico per la versione
gcloud
Esegui il comando gcloud app deploy:
gcloud app deploy --service-account=SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com
Sostituisci:
SERVICE_ACCOUNT_NAMEcon il nome dell'account di servizio che hai creato.PROJECT_IDcon l'ID del progetto Google Cloud che vuoi assegnare l'account di servizio.
app.yaml
Nel tuo
app.yaml
specifica il tuo account di servizio aggiungendo
service_account
:
service_account: SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com
Sostituisci:
SERVICE_ACCOUNT_NAMEcon il nome dell'account di servizio che hai creato.PROJECT_IDcon l'ID del progetto Google Cloud che vuoi assegnare l'account di servizio.
appengine-web.xml
Se utilizzi i runtime Java e includi i servizi in bundle legacy di App Engine,
specifica il tuo account di servizio aggiungendo
<service-account>
in appengine-web.xml
file:
<service-account>SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com</service-account>
Sostituisci:
SERVICE_ACCOUNT_NAMEcon il nome dell'account di servizio che hai creato.PROJECT_IDcon l'ID del progetto Google Cloud che vuoi assegnare l'account di servizio.
Account di servizio predefinito di App Engine
Viene creato automaticamente l'account di servizio predefinito di App Engine quando utilizzi App Engine.
A seconda della configurazione dei criteri dell'organizzazione, l'account di servizio predefinito potrebbe
automaticamente il ruolo Editor
progetto. Ti consigliamo vivamente di disabilitare la concessione automatica del ruolo entro il giorno
applicazione del criterio dell'organizzazione iam.automaticIamGrantsForDefaultServiceAccounts
di blocco. Se hai creato la tua organizzazione dopo il 3 maggio 2024,
viene applicato per impostazione predefinita.
Se disabiliti la concessione automatica del ruolo, devi decidere quali ruoli concedere a quelli predefiniti account di servizio e poi concedi ruoli.
Se l'account di servizio predefinito ha già il ruolo Editor, ti consigliamo di sostituire il valore Ruolo Editor con ruoli meno permissivi. Per modificare in modo sicuro i ruoli dell'account di servizio, utilizza il Simulatore di criteri per vedere l'impatto dei la modifica e quindi concedere e revocare ruoli appropriati.
Per scoprire come concedere ruoli agli account di servizio e ad altre entità, consulta Gestire l'accesso a progetti, cartelle organizations.
Per modificare le autorizzazioni, eliminare e ripristinare gli account di servizio, consulta Creazione e gestione degli account di servizio.