Cambio de la cuenta de servicio predeterminada de Cloud Build

Cloud Build selecciona automáticamente el servicio de Cloud Build cuenta para ejecutar compilaciones en tu nombre, a menos que anules este comportamiento. Es posible que esta cuenta de servicio predeterminada tenga permisos demasiado amplios para tu caso de uso, como acceso a los repositorios de Container Registry y a cualquier bucket de Cloud Storage de tu proyecto.

El comportamiento predeterminado de cómo Cloud Build usa cuentas de servicio en proyectos se cambiaron a lo largo de varias semanas en mayo y junio de 2024. Estos mejoran la postura de seguridad predeterminada de nuestros clientes avanzar. Para inhabilitar estos cambios, configura la restricción de la política de la organización.

Antes de este cambio, Cloud Build usaba una cuenta de servicio específica de Cloud Build como la predeterminada, que ahora se conoce como la cuenta de servicio heredada de Cloud Build.

Después de este cambio, Cloud Build usará Cuenta de servicio predeterminada de Compute Engine como la cuenta de servicio predeterminada.

El impacto de tus proyectos depende de si formas parte de una organización:

  • Proyectos sin una organización. Si ejecutas la primera compilación en tu proyecto después del cambio, ese proyecto usará la cuenta de servicio de Compute Engine de forma predeterminada para las compilaciones enviadas con la API de Cloud Build o la CLI de Google Cloud. Estos proyectos no tendrán la opción usar la cuenta de servicio heredada de Cloud Build, pero puede usar una cuenta de servicio especificada por el usuario.

  • Proyectos con una organización. Si ejecutas la primera compilación en tu proyecto después del cambio, ese proyecto usará la cuenta de servicio de Compute Engine de forma predeterminada para las compilaciones enviadas con la API de Cloud Build o Google Cloud CLI. Puedes usar una cuenta de servicio especificada por el usuario o inhabilitar el cambio habilitando la cuenta de servicio de Cloud Build en tu organización.

  • Proyectos existentes sin una organización Si ejecutaste la primera compilación tu proyecto antes del cambio, ese proyecto continuará el comportamiento anterior, con el servicio heredado de forma predeterminada para todas tus compilaciones. Puedes continuar usando una cuenta de servicio especificada por el usuario, ya sea una cuenta de servicio de Compute Engine o crear una propia.

  • Proyectos existentes con una organización. Si ejecutaste la primera compilación en tu proyecto antes del cambio, ese proyecto continuará con el comportamiento anterior y usará la cuenta de servicio heredada de Cloud Build de forma predeterminada. También puedes seguir usando un servicio especificado por el usuario cuenta de servicio.

  • Activación. Deberás especificar una cuenta de servicio cuando crees o actualices un activador, a menos que la cuenta de servicio predeterminada de tu proyecto sea la cuenta de servicio heredada de Cloud Build.

  • Nombre de la cuenta de servicio de Cloud Build: La cuenta de servicio de Cloud Build se denominará cuenta de servicio heredada de Cloud Build.

¿Qué debes hacer?

Si eres parte de una organización, esta puede configurar el comportamiento de todos los proyectos configurando una política de la organización con el restricciones elegidas.

Tu organización puede inhabilitar estos cambios estableciendo los siguientes parámetros Las restricciones booleanas de las políticas de la organización:

  • Sin aplicación forzosa: constraints/cloudbuild.disableCreateDefaultServiceAccount
  • No aplicada: constraints/cloudbuild.useComputeServiceAccount
  • Forzado: constraints/cloudbuild.useBuildServiceAccount

Si no puedes o no quieres ajustar la política de la organización y habilitas la API de Cloud Build después del cambio, validar que el servicio predeterminado de Compute Engine cuenta de servicio o tu cuenta de servicio creada por el usuario tenga suficiente permisos para tu compilación. En particular, el usuario que envía la compilación debe Tener el permiso iam.serviceAccounts.actAs en el servicio de servicio predeterminada.

Nuevas restricciones de las políticas de la organización

Cloud Build presentó nuevas restricciones booleanas de la política de la organización para configurar lo siguiente:

  • La capacidad de usar la cuenta de servicio heredada de Cloud Build.
  • La cuenta de servicio predeterminada para todos los proyectos de una organización.

Para modificar las políticas de la organización, puedes usar la consola de Google Cloud Google Cloud CLI:

Para obtener más información sobre las políticas de la organización, consulta la Introducción al Servicio de políticas de la organización.

Configura la disponibilidad de la cuenta de servicio heredada de Cloud Build

Para configurar la disponibilidad del servicio heredado de Cloud Build cuando habilites la API de Cloud Build, Cloud Build Ingresa la siguiente restricción de política booleana:

  • No se aplica: constraints/cloudbuild.disableCreateDefaultServiceAccount. Permite el uso de la cuenta de servicio heredada de Cloud Build en nuevas proyectos.

  • Fecha de aplicación forzosa: constraints/cloudbuild.disableCreateDefaultServiceAccount. Inhabilita el uso de la cuenta de servicio heredada de Cloud Build en las proyectos. Este es el valor predeterminado de la restricción.

Esta restricción solo afecta a los proyectos que ejecutan su primera compilación después del y se implementó el cambio. Si decides no aplicar la restricción de política, el cambio será permanente para todos los proyectos que ejecuten su primera compilación cuando esa configuración esté activa. No puedes desactivar la disponibilidad de la cuenta de servicio heredada de Cloud Build en un proyecto en el que la cuenta de servicio estaba disponible anteriormente. Sin embargo, incluso si la cuenta de servicio está disponible, puedes evitar que los usuarios de tu organización la usen, como se describe en la siguiente sección.

Al igual que con todas las políticas y restricciones de la organización, puedes establecer estas políticas a nivel de la organización o del proyecto.

Configura la cuenta de servicio predeterminada para una organización

Para configurar qué cuenta de servicio predeterminada se usa en una organización, Cloud Build presenta dos nuevas restricciones booleanas de políticas:

Puedes configurar estas políticas de forma independiente entre sí, pero son Es útil cuando se combinan las reglas de aplicación en las siguientes situaciones:

  • Usa la cuenta de servicio predeterminada de Compute Engine para ambas compilaciones enviadas de forma manual y compilaciones activadas. Establece las siguientes restricciones en la política de tu organización:

    • No aplicada: constraints/cloudbuild.useBuildServiceAccount
    • Forzado: constraints/cloudbuild.useComputeServiceAccount

  • Usa una cuenta de servicio especificada por el usuario para ambas opciones enviadas de forma manual. compilaciones y activadas. Por lo general, esta es la opción más segura. Establece las siguientes restricciones en la política de tu organización:

    • No aplicada: constraints/cloudbuild.useBuildServiceAccount
    • No aplicada: constraints/cloudbuild.useComputeServiceAccount

  • Seguir usando la cuenta de servicio heredada de Cloud Build Si conoces las compensaciones de seguridad involucradas, establece las siguientes restricciones en la política de tu organización:

    • Sin aplicación forzosa: constraints/cloudbuild.disableCreateDefaultServiceAccount
    • No aplicada: constraints/cloudbuild.useComputeServiceAccount
    • Forzado: constraints/cloudbuild.useBuildServiceAccount

  • Continúa usando la cuenta de servicio heredada de Cloud Build para los proyectos que habilitaron la API de Cloud Build antes del cambio y comienza a usar la cuenta de servicio predeterminada de Compute Engine para los proyectos nuevos. Asegúrate de comprender las compensaciones de seguridad involucradas, establezca las siguientes restricciones en la política de tu organización:

    • Forzado: constraints/cloudbuild.disableCreateDefaultServiceAccount
    • Fecha de aplicación forzosa: constraints/cloudbuild.useComputeServiceAccount
    • Forzado: constraints/cloudbuild.useBuildServiceAccount

Cómo obtener la cuenta de servicio predeterminada actual de un proyecto

Para determinar qué cuenta de servicio usa Cloud Build de forma predeterminada para un proyecto, puedes usar Google Cloud CLI o la API de Cloud Build:

gcloud CLI

Ejecuta el siguiente comando para obtener la cuenta de servicio predeterminada proyecto:

gcloud builds get-default-service-account

API de Cloud Build

Usa cURL para llamar la API de Cloud Build:

curl -X GET -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     https://cloudbuild.googleapis.com/v1/projects/PROJECT_ID/locations/REGION/defaultServiceAccount

Reemplaza los valores de marcador de posición por los siguientes: