Zugriff für das Cloud Build-Standarddienstkonto konfigurieren

Cloud Build verwendet ein Standarddienstkonto, um Builds für Sie auszuführen. Wenn das Legacy-Dienstkonto von Cloud Build beispielsweise erstellt wurde, wird ihm automatisch das Cloud Build-Dienstkonto zugewiesen. Rolle für das Projekt. Mit dieser Rolle erhält das Dienstkonto Berechtigungen zum Ausführen mehrerer Aufgaben. Sie können dem Dienstkonto jedoch weitere Berechtigungen erteilen, um zusätzliche Aufgaben auszuführen. Auf dieser Seite wird erläutert, wie Sie dem standardmäßigen Cloud Build-Dienstkonto Berechtigungen erteilen und entziehen.

Hinweise

Cloud Build-Standarddienstkonto über die Seite „Einstellungen“ eine Rolle zuweisen

Sie können Cloud Build bestimmte häufig verwendete IAM-Rollen zuweisen Standarddienstkonto mithilfe der Cloud Build-Seite "Einstellungen" in der Google Cloud Console:

  1. Öffnen Sie die Seite mit den Cloud Build-Einstellungen:

    Zur Seite mit den Cloud Build-Einstellungen

    Sie sehen die Seite Dienstkontoberechtigungen:

    Screenshot der Seite "Dienstkontoberechtigungen"

  2. Wählen Sie im Drop-down-Menü das Dienstkonto aus, das Sie aktualisieren möchten.

  3. Legen Sie den Status der Rolle, die Sie hinzufügen möchten, auf Aktivieren fest.

Dem Cloud Build-Standarddienstkonto über die IAM-Seite eine Rolle zuweisen

Wenn die Rolle, die Sie zuweisen möchten, nicht auf der Seite „Cloud Build-Einstellungen“ in der Google Cloud Console aufgeführt ist, verwenden Sie die IAM-Seite, um die Rolle zuzuweisen:

  1. Zur Seite "IAM":

    IAM-Seite öffnen

  2. Wählen Sie Ihr Google Cloud-Projekt aus.

  3. Klicken Sie über der Berechtigungstabelle auf das Kästchen Von Google bereitgestellte Rollenzuweisungen einschließen.

    Jetzt werden in der Berechtigungstabelle mehr Zeilen angezeigt.

  4. Suchen Sie in der Berechtigungstabelle nach Ihrem Cloud Build-Standarddienstkonto.

  5. Klicken Sie auf das Stiftsymbol.

  6. Wählen Sie die Rolle aus, die Sie dem Cloud Build-Dienst gewähren möchten Konto.

  7. Klicken Sie auf Speichern.

Rolle aus dem Cloud Build-Dienstkonto widerrufen

  1. Zur Seite "IAM":

    IAM-Seite öffnen

  2. Wählen Sie Ihr Google Cloud-Projekt aus.

  3. Klicken Sie über der Berechtigungstabelle auf das Kästchen Von Google bereitgestellte Rollenzuweisungen einschließen.

    Jetzt werden in der Berechtigungstabelle mehr Zeilen angezeigt.

  4. Suchen Sie in der Berechtigungstabelle nach Ihrem Cloud Build-Standarddienstkonto.

  5. Klicken Sie auf das Stiftsymbol.

  6. Suchen Sie die Rolle, die Sie widerrufen möchten, und klicken Sie auf den Papierkorb neben der Rolle.

Cloud Build-Dienst-Agent eine Rolle zuweisen

Neben dem Cloud Build-Standarddienstkonto hat Cloud Build einen Cloud Build-Dienst-Agenten, über den andere Google Cloud-Dienste auf Ihre Ressourcen zugreifen können. Nachdem Sie die Cloud Build API aktiviert haben, wird der Dienst-Agent automatisch im Google Cloud-Projekt erstellt. Der Dienst-Agent hat das folgende Format, wobei PROJECT_NUMBER Ihre Projektnummer ist:

     service-PROJECT_NUMBER@gcp-sa-cloudbuild.iam.gserviceaccount.com

Sie können den Dienst-Agent für ein Projekt ansehen, indem Sie die IAM-Seite in der Google Cloud Console und aktivieren Sie das Kästchen Von Google verwaltete Dienstkonten anzeigen.

Wenn Sie die Rolle des Cloud Build-Dienst-Agents für Ihr Projekt versehentlich widerrufen haben, können Sie sie manuell gewähren:

Console

  1. Öffnen Sie in der Google Cloud Console die Seite IAM:

    Zur Seite "IAM"

  2. Klicken Sie auf Zugriff erlauben.

  3. Fügen Sie das folgende Hauptkonto hinzu, wobei PROJECT_NUMBER Ihre Projektnummer ist:

    service-PROJECT_NUMBER@gcp-sa-cloudbuild.iam.gserviceaccount.com

  4. Wählen Sie Service Management > Cloud Build-Dienst-Agent als Rolle aus.

  5. Klicken Sie auf Speichern.

gcloud

Weisen Sie dem Cloud Build-Dienst-Agent die IAM-Rolle roles/cloudbuild.serviceAgent zu:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-cloudbuild.iam.gserviceaccount.com" \
    --role="roles/cloudbuild.serviceAgent"

Ersetzen Sie die Platzhalterwerte im Befehl durch Folgendes:

  • PROJECT_ID: die Projekt-ID
  • PROJECT_NUMBER: die Projektnummer

Nächste Schritte