커스텀 서비스 계정을 사용하여 작업 액세스 제어

이 문서에서는 작업의 VM이 액세스할 수 있는 리소스 및 애플리케이션에 영향을 주는 Batch 작업의 서비스 계정을 지정하는 방법을 설명합니다. 커스텀 서비스 계정을 지정하지 않으면 작업이 기본적으로 프로젝트의 모든 VM에 자동으로 연결되는 Compute Engine 기본 서비스 계정을 사용하도록 지정됩니다. 따라서 커스텀 서비스 계정을 사용하면 작업 권한을 보다 확실하게 관리할 수 있으며 권한을 제한하는 데 효과적입니다.

작업의 서비스 계정에 대해 자세히 알아보세요.

시작하기 전에

커스텀 서비스 계정을 사용하는 작업 만들기

커스텀 서비스 계정을 사용하는 작업을 만들려면 다음 방법 중 하나를 선택합니다.

  • 이 섹션에 표시된 것처럼 작업 정의에 커스텀 서비스 계정을 지정합니다.
  • Compute Engine 인스턴스 템플릿을 사용하고 인스턴스 템플릿과 작업 정의 모두에 커스텀 서비스 계정을 지정합니다.

이 섹션에서는 커스텀 서비스 계정을 사용하는 작업을 만드는 방법에 대한 예시를 제공합니다. gcloud CLI 또는 Batch API를 사용하여 커스텀 서비스 계정을 사용하는 작업을 만들 수 있습니다.

gcloud

gcloud CLI를 사용하여 커스텀 서비스 계정을 사용하는 작업을 만들려면 gcloud batch jobs submit 명령어를 사용하여 작업의 구성 파일에 커스텀 서비스 계정을 지정합니다.

예를 들어 커스텀 서비스 계정을 사용하는 스크립트 작업을 만들려면 다음 안내를 따르세요.

  1. 현재 디렉터리에 다음 콘텐츠로 hello-world-service-account.json이라는 JSON 파일을 만듭니다.

    {
    "taskGroups": [
        {
            "taskSpec": {
                "runnables": [
                    {
                        "script": {
                            "text": "echo Hello World! This is task $BATCH_TASK_INDEX."
                        }
                    }
                ]
            }
        }
    ],
    "allocationPolicy": {
        "serviceAccount": {
            "email": "SERVICE_ACCOUNT_EMAIL"
        }
    }
}

    여기서 SERVICE_ACCOUNT_EMAIL은 서비스 계정의 이메일 주소입니다. serviceAccount 필드를 지정하지 않았으면 값이 기본 Compute Engine 서비스 계정으로 설정됩니다.

  2. 다음 명령어를 실행합니다.

    gcloud batch jobs submit example-service-account-job \
  --location us-central1 \
  --config hello-world-service-account.json

API

Batch API를 사용하여 커스텀 서비스 계정을 사용하는 작업을 만들려면 jobs.create 메서드를 사용하고 allocationPolicy 필드에 커스텀 서비스 계정을 지정합니다.

예를 들어 커스텀 서비스 계정을 사용하는 스크립트 작업을 만들려면 다음 요청을 수행합니다.

POST https://batch.googleapis.com/v1/projects/PROJECT_ID/locations/us-central1/jobs?job_id=example-service-account-job

{
    "taskGroups": [
        {
            "taskSpec": {
                "runnables": [
                    {
                        "script": {
                            "text": "echo Hello World! This is task $BATCH_TASK_INDEX."
                        }
                    }
                ]
            }
        }
    ],
    "allocationPolicy": {
        "serviceAccount": {
            "email": "SERVICE_ACCOUNT_EMAIL"
        }
    }
}

다음을 바꿉니다.

다음 단계