使用用户管理的服务帐号

App Engine 应用需要服务帐号才能访问其他 Google Cloud 服务并执行任务。默认情况下,App Engine 默认服务帐号用作 App Engine 应用的身份。您还可以指定用户管理的服务帐号,以用作特定 App Engine 应用版本的身份。这样,您就可以根据每个版本所执行的特定任务来为其授予不同的权限,同时可避免授予超出需求的权限。

本指南介绍了如何在部署新版本时指定用户管理的服务帐号。如果您在部署特定版本的应用时不需要创建不同的服务帐号,则可以继续使用默认服务帐号,而无需指定服务帐号。

创建用户管理的服务帐号

如需创建用户管理的服务帐号,请参阅这些说明。定义用于授予服务帐号的 Identity and Access Management (IAM) 角色时,您可以参考授予对 App Engine 的访问权限的角色

如果您需要在创建服务帐号之前查看 IAM 概念,请参阅 IAM 概念概览服务帐号指南。

部署应用时指定服务帐号

gcloud

运行 gcloud beta app deploy 命令并指定您的服务帐号:

gcloud app deploy --service-account=SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

appengine-web.xml

appengine-web.xml 文件中,通过添加 service-account 元素来指定您的服务帐号:

service-account=SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

后续步骤

遵循有关如何管理和保护服务帐号的最佳做法,请参阅使用和管理服务帐号以及保护服务帐号