Controllo dell'accesso con IAM (2ª generazione)

Nota: Questi contenuti si applicano solo a Cloud Functions (2nd gen). Consulta Cloud Functions confronto tra versioni per ulteriori informazioni.

Per la versione 1ª generazione. di questo documento, vedi Controllo dell'accesso con IAM (1ª generazione).

Tu (ovvero l'account utente o di servizio che esegue il deployment della funzione) puoi impostare l'accesso usando i ruoli a livello di progetto. Assegna un ruolo a un membro del progetto o account di servizio per determinare il livello di accesso del progetto Google Cloud e delle relative risorse. Per impostazione predefinita, tutti i progetti Google Cloud con un solo utente, l'autore del progetto originale. Nessun altro utente ha accesso a al progetto e, di conseguenza, l'accesso alle funzioni, finché un utente non viene aggiunto come membro del team di progetto.

Controllo dell'accesso per gli utenti

Puoi aggiungere utenti al tuo progetto come membri del team e assegnare loro dei ruoli utilizzando Identity and Access Management (IAM).

Cloud Functions supporta ruoli di base di Editor, Proprietario e Visualizzatore, che concedono le seguenti autorizzazioni:

• Editor e Proprietario: accesso in lettura e scrittura a tutti e risorse correlate alle funzioni. Consente agli utenti di eseguire il deployment, l'aggiornamento e l'eliminazione funzioni. Accesso aggiuntivo ad altre risorse nel progetto.
• Visualizzatore: accesso di sola lettura a funzioni e posizioni. Consente agli utenti le funzioni e vederne i dettagli, ma non consente di visualizzare codice sorgente. Accesso aggiuntivo ad altre risorse nel progetto.

Cloud Functions supporta inoltre le funzioni Cloud Functions Ruoli predefiniti di Sviluppatore e Visualizzatore, che concedono le seguenti autorizzazioni:

• Sviluppatore: accesso in lettura e scrittura a tutti. e risorse correlate alle funzioni. Consente agli utenti di eseguire il deployment, l'aggiornamento e l'eliminazione funzioni. Nessun accesso ad altre risorse nel progetto.
• Visualizzatore: accesso di sola lettura a funzioni e posizioni. Consente agli utenti le funzioni e vederne i dettagli, ma non consente di visualizzare codice sorgente. Nessun accesso ad altre risorse nel progetto.

Nota: per scrivere o accedere ai log di Cloud Functions, un membro del progetto deve disporre delle autorizzazioni di logging appropriate. Per ulteriori informazioni, consulta Guida al controllo dell'accesso di Cloud Logging.

Controllo dell'accesso per gli account di servizio

R service account è un tipo speciale di Account Google Cloud che funge da identità per un utente "non umano" che deve autenticarsi e avere l'autorizzazione ad accedere ai dati ed eseguire varie azioni. Alcune di questi account sono creati e gestiti da Google stessa e sono noti come agenti di servizio.

Per Cloud Functions vengono utilizzati i seguenti account di servizio:

Nome	ID membro	Ruolo
Account di servizio predefinito Compute Engine	[e-mail]	Editor
Agente di servizio Google Cloud Functions	[e-mail]	Cloud Functions Service Agent
—	[e-mail]	Account di servizio Cloud Build
Account di servizio Cloud Build	[e-mail]	Cloud Build Service Agent
Agente di servizio Google Container Registry	[e-mail]	Agente di servizio Container Registry
Agente di servizio Artifact Registry	[e-mail]	Agente di servizio Artifact Registry

Nota:

Lo iam.automaticIamGrantsForDefaultServiceAccounts vincolo del criterio dell'organizzazione impedisce che il ruolo Editor venga concesso automaticamente agli account di servizio predefiniti. Se creato la tua organizzazione dopo il 3 maggio 2024, questo vincolo viene applicato predefinito.

Ti consigliamo vivamente di applicare questo vincolo per disabilitare la concessione automatica del ruolo. Se Se disattivi la concessione automatica del ruolo, devi decidere quali ruoli concedere al servizio predefinito account e poi concedi questi ruoli per te.

Se l'account di servizio predefinito ha già il ruolo Editor, ti consigliamo di sostituire il valore Ruolo Editor con ruoli meno permissivi. Per modificare in modo sicuro i ruoli dell'account di servizio, utilizza il Simulatore di criteri per vedere l'impatto dei la modifica e quindi concedere e revocare ruoli appropriati.

Account di servizio di runtime

In fase di runtime, le impostazioni predefinite di Cloud Functions all'utilizzo dell'account di servizio predefinito ([e-mail]), che ha a sua volta il ruolo Editor per il progetto. Puoi modificare i ruoli di questo servizio per limitare o estendere le autorizzazioni per le funzioni in esecuzione. Puoi cambiare anche l'account di servizio utilizzato fornisci un account di servizio individuale non predefinito.

Per saperne di più sugli account di servizio, consulta documentazione sugli account di servizio.

Account di servizio amministrativi

Per eseguire azioni amministrative sul progetto durante la creazione: Aggiornamento o eliminazione di funzioni per tutti i progetti in Cloud Functions è necessario l'account di servizio dell'agente di servizio Google Cloud Functions ([e-mail]).

Inoltre, tutti i runtime eseguono la creazione e l'archiviazione di immagini container del progetto. A questo scopo, dovrai anche eseguire il provisioning di quanto segue:

• L'account di servizio Cloud Build di base ([e-mail])
• L'account di servizio dell'agente di servizio Cloud Build ([e-mail])
• L'account di servizio dell'agente di servizio di Google Container Registry ([e-mail])

Questi account di servizio devono avere i ruoli elencati nella table.

Account di servizio dell'agente di servizio Google Cloud Functions

Per impostazione predefinita, l'account di servizio dell'agente di servizio Google Cloud Functions ([e-mail] ha il ruolo cloudfunctions.serviceAgent sul tuo progetto. Creazione, aggiornamento e l'eliminazione delle funzioni potrebbe non riuscire se modifichi le autorizzazioni di questo account.

Nota: l'autenticazione come account di servizio di runtime dall'interno della funzione potrebbe non riuscire se modifichi l'account di servizio autorizzazioni.

Ecco alcune delle autorizzazioni più importanti che cloudfunctions.serviceAgent usa:

Autorizzazione	Descrizione
roles/artifactregistry.admin	Gestisci repository e archivia immagini build in Artifact Registry.
roles/cloudbuild.builds.editor	Necessaria per utilizzare Cloud Build per eseguire build nel progetto utente.
roles/cloudbuild.customworkers.builder	Crea build nei worker personalizzati di Cloud Build.
compute.globalOperations.get, compute.networks.access e vpcaccess.connectors.{get, use}	Esegui il provisioning delle funzioni con accesso al VPC dei progetti consumer.
roles/eventarc.developer	Gestisci i trigger Eventarc per le funzioni.
firebasedatabase.instances.{get, update}	Creare funzioni attivate da Firebase Realtime Database.
iam.serviceAccounts.{actAs, getAccessToken, signBlob}	Può recuperare le credenziali dell'account di servizio di runtime.
iam.serviceAccounts.getOpenIdToken	necessario all'agente per ottenere un token OpenID su un'autorità specificata dall'utente. Il token OpenID viene utilizzato per richiamare funzioni abilitate per IAM.
pubsub.subscriptions	Gestire gli abbonamenti nel progetto dell'utente.
pubsub.topics	Gestire gli argomenti nel progetto dell'utente.
roles/run.developer	Gestire il servizio Cloud Run per le funzioni.
storage.buckets.create, storage.objects.{delete, get, create, list}	Obbligatorio per archiviare il codice sorgente nel progetto utente.

Puoi visualizzare l'intero set di autorizzazioni nei ruoli IAM predefiniti o eseguendo questo comando:

gcloud iam roles describe roles/cloudfunctions.serviceAgent

Puoi reimpostare il ruolo predefinito di questo account di servizio rimuovendo qualsiasi ruolo attualmente ha e aggiunge il ruolo Agente di servizio Cloud Functions:

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member serviceAccount:[e-mail] \
  --role roles/cloudfunctions.serviceAgent

Risoluzione degli errori relativi alle autorizzazioni

Se ricevi errori di autorizzazione durante il deployment, l'aggiornamento, l'eliminazione o l'esecuzione nel tuo progetto, segui questi passaggi:

1. Assicurati di disporre del ruolo Editor o Proprietario per il progetto. che stai utilizzando il ruolo Sviluppatore Cloud Functions.

   Se utilizzi il ruolo Sviluppatore Cloud Functions nel progetto livello, assicurati inoltre di avere ha concesso all'utente il ruolo Utente account di servizio IAM.

   Attualmente, sono consentite solo autorizzazioni di esecuzione a livello di funzione.

2. Verifica che l'account di servizio dell'agente di servizio Cloud Functions ([e-mail]) ha il ruolo cloudfunctions.serviceAgent del tuo progetto.

   Assicurati che la casella Includi concessioni dei ruoli fornite da Google nella Scheda Autorizzazioni della pagina Console IAM viene controllato per vedere questo account. In alternativa, puoi utilizzare gcloud projects add-iam-policy-binding PROJECT_ID.

3. Assicurati di disporre delle autorizzazioni per le origini trigger, ad esempio Pub/Sub o Cloud Storage.

Se ricevi un errore di "autorizzazioni insufficienti" o hai altri i problemi di autenticazione quando esegui le funzioni, assicurati che il runtime che l'account di servizio disponga delle autorizzazioni corrette per accedere alle risorse le funzioni necessarie. Quindi, ripeti i passaggi 2 e 3.

Se ricevi un errore di tipo "servizio non disponibile" durante il deployment,: assicurati che l'account di servizio di runtime [e-mail] esiste nel tuo progetto. Per ricreare questo account di servizio se è stato eliminato, consulta Annullare l'eliminazione di un account di servizio.

Vedi anche Risoluzione dei problemi di Cloud Functions.