Creazione e concessione di ruoli agli agenti di servizio

In Google Cloud, gli agenti di servizio a livello di progetto, cartella e organizzazione vengono creati automaticamente man mano che attivi e utilizzi i servizi Google Cloud. A questi agenti di servizio vengono anche concessi automaticamente ruoli che consentono loro di creare e accedere alle risorse per tuo conto.

Se necessario, puoi anche chiedere a Google Cloud di creare agenti a livello di progetto, di cartella e di organizzazione per un servizio prima di utilizzare il servizio. Chiedere a Google Cloud di creare agenti di servizio ti consente di concedere ruoli agli agenti di servizio prima di utilizzare un servizio. Se un agente di servizio non è stato ancora creato, non puoi concedere ruoli all'agente di servizio.

Questa opzione è utile se utilizzi una delle seguenti strategie per gestire i criteri di autorizzazione:

Un framework dichiarativo come Terraform. Se la configurazione di Terraform non include i ruoli degli agenti di servizio, questi vengono revocati quando applichi la configurazione. Creando agenti di servizio e concedendo loro ruoli nella tua configurazione Terraform, ti assicuri che questi ruoli non vengano revocati.
Un sistema di policy-as-code che archivia copie dei tuoi attuali criteri di autorizzazione in un repository di codice. Se consenti a Google Cloud di concedere automaticamente i ruoli agli agenti di servizio, questi ruoli verranno visualizzati nel criterio di autorizzazione effettivo, ma non nella copia archiviata del criterio di autorizzazione. Per risolvere questa incoerenza, potresti revocare erroneamente questi ruoli. Creando agenti di servizio e concedendo loro i ruoli in modo proattivo, puoi evitare deviazioni tra il repository del codice e i criteri di autorizzazione effettivi.

Dopo aver attivato la creazione dell'agente di servizio, devi concedere agli agenti di servizio i ruoli che in genere vengono concessi automaticamente. In caso contrario, alcuni servizi potrebbero non funzionare correttamente. Questo perché agli agenti di servizio creati su richiesta di un utente non vengono concessi automaticamente i ruoli.

Prima di iniziare

Attiva Resource Manager API.
Abilita l'API
Scopri di più sugli agenti di servizio.

Ruoli obbligatori

L'attivazione della creazione dell'agente di servizio non richiede autorizzazioni IAM. Tuttavia, hai bisogno di autorizzazioni IAM specifiche per altre attività in questa pagina:

Per ottenere l'autorizzazione necessaria per elencare i servizi disponibili e i relativi endpoint, chiedi all'amministratore di concederti il ruolo IAM Visualizzatore utilizzo dei servizi (roles/serviceusage.serviceUsageViewer) per il progetto, la cartella o l'organizzazione per cui vuoi elencare i servizi disponibili. Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso.

Questo ruolo predefinito contiene l'autorizzazione serviceusage.services.list, necessaria per elencare i servizi disponibili e i relativi endpoint.
Potresti anche essere in grado di ottenere questa autorizzazione con i ruoli personalizzati o altri ruoli predefiniti.
Per ottenere le autorizzazioni necessarie per concedere l'accesso agli agenti di servizio, chiedi all'amministratore di concederti i seguenti ruoli IAM nel progetto, nella cartella o nell'organizzazione a cui stai concedendo l'accesso:
- Concedi agli agenti di servizio l'accesso a un progetto: Amministratore IAM progetto (roles/resourcemanager.projectIamAdmin)
- Concedi agli agenti di servizio l'accesso a una cartella: Amministratore cartelle (roles/resourcemanager.folderAdmin)
- Concedi agli agenti di servizio l'accesso a progetti, cartelle e organizzazioni: Amministratore organizzazione (roles/resourcemanager.organizationAdmin)
Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso.

Questi ruoli predefiniti contengono le autorizzazioni necessarie per concedere l'accesso agli agenti di servizio. Per visualizzare le autorizzazioni esatte necessarie, espandi la sezione Autorizzazioni richieste:
Autorizzazioni obbligatorie

Per concedere l'accesso agli agenti di servizio sono necessarie le seguenti autorizzazioni:
- Concedi agli agenti di servizio l'accesso a un progetto:
  - resourcemanager.projects.getIamPolicy
  - resourcemanager.projects.setIamPolicy
- Concedi agli agenti di servizio l'accesso a una cartella:
  - resourcemanager.folders.getIamPolicy
  - resourcemanager.folders.setIamPolicy
- Concedi agli agenti di servizio l'accesso a un'organizzazione:
  - resourcemanager.organizations.getIamPolicy
  - resourcemanager.organizations.setIamPolicy
Potresti anche essere in grado di ottenere queste autorizzazioni con i ruoli personalizzati o altri ruoli predefiniti.

Identifica gli agenti di servizio da creare

Per identificare gli agenti di servizio a livello di progetto, cartella e organizzazione che devi chiedere a Google Cloud di creare:

Fai un elenco dei servizi che utilizzi e dei relativi endpoint API. Per visualizzare tutti i servizi disponibili e i relativi endpoint, utilizza uno dei seguenti metodi:
Console

Vai alla pagina Libreria API nella console Google Cloud.

Vai alla libreria API

L'endpoint API è il Nome servizio elencato nella sezione Dettagli aggiuntivi.
gcloud

Il comando gcloud services list elenca tutti i servizi disponibili per un progetto.

Prima di utilizzare uno qualsiasi dei dati di comando riportati di seguito, effettua le seguenti sostituzioni:
- EXPRESSION: facoltativo. Un'espressione per filtrare i risultati. Ad esempio, la seguente espressione filtra per tutti i servizi i cui nomi contengono googleapis.com ma non contengono sandbox:
```
name ~ googleapis.com AND name !~ sandbox
```
  Per un elenco delle espressioni di filtro, consulta gcloud topic filters.
- LIMIT: facoltativo. Il numero massimo di risultati da elencare. Il valore predefinito è unlimited.
Esegui questo comando:
Linux, macOS o Cloud Shell
```
gcloud services list --available --filter='EXPRESSION' --limit=LIMIT
```
Windows (PowerShell)
```
gcloud services list --available --filter='EXPRESSION' --limit=LIMIT
```
Windows (cmd.exe)

Nota: se questo comando utilizza ' per citare i contenuti, sostituisci queste virgolette singole con quelle doppie. Se la citazione è nidificata, usa \" per l'escape delle virgolette interne.
```
gcloud services list --available --filter='EXPRESSION' --limit=LIMIT
```
La risposta contiene i nomi e i titoli di tutti i servizi disponibili. L'endpoint API è il valore nel campo NAME.
REST

Il metodo services.list dell'API Service Usage elenca tutti i servizi disponibili per un progetto.

Prima di utilizzare i dati della richiesta, effettua le seguenti sostituzioni:
- RESOURCE_TYPE: il tipo di risorsa per cui vuoi elencare i servizi disponibili. Utilizza projects, folders o organizations.
- RESOURCE_ID: l'ID del progetto, della cartella o dell'organizzazione Google Cloud per cui vuoi elencare i servizi disponibili. Gli ID progetto sono stringhe alfanumeriche come my-project. Gli ID cartella e organizzazione sono numerici, ad esempio 123456789012.
- PAGE_SIZE: facoltativo. Il numero di servizi da includere nella risposta. Il valore predefinito è 50 e il valore massimo è 200. Se il numero di servizi è maggiore della dimensione della pagina, la risposta contiene un token di impaginazione che puoi utilizzare per recuperare la pagina dei risultati successiva.
- NEXT_PAGE_TOKEN: facoltativo. Il token di impaginazione restituito in una risposta precedente da questo metodo. Se specificato, l'elenco dei servizi inizierà dove è terminata la richiesta precedente.
Metodo HTTP e URL:
```
GET https://serviceusage.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/services?pageSize=PAGE_SIZE&pageToken=NEXT_PAGE_TOKEN
```
Per inviare la richiesta, espandi una di queste opzioni:
curl (Linux, macOS o Cloud Shell)

Nota: il comando seguente presuppone che tu abbia eseguito l'accesso all'interfaccia a riga di comando gcloud con il tuo account utente eseguendo gcloud init o gcloud auth login oppure utilizzando Cloud Shell, che ti consente di accedere automaticamente all'interfaccia a riga di comando di gcloud. . Puoi controllare l'account attualmente attivo eseguendo gcloud auth list.

Esegui questo comando:
curl -X GET \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
"https://serviceusage.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/services?pageSize=PAGE_SIZE&pageToken=NEXT_PAGE_TOKEN"
PowerShell (Windows)

Nota: il comando seguente presuppone che tu abbia eseguito l'accesso all'interfaccia a riga di comando gcloud con il tuo account utente eseguendo gcloud init o gcloud auth login . Puoi controllare l'account attualmente attivo eseguendo gcloud auth list.

Esegui questo comando:
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
-Method GET `
-Headers $headers `
-Uri "https://serviceusage.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/services?pageSize=PAGE_SIZE&pageToken=NEXT_PAGE_TOKEN" | Select-Object -Expand Content
La risposta contiene i nomi e i titoli di tutti i servizi disponibili per la risorsa. Se il numero di servizi disponibili è superiore alle dimensioni della pagina, la risposta contiene anche un token di impaginazione.

L'endpoint API è il valore nel campo name.
Nella pagina Riferimento agente di servizio, cerca ogni endpoint API.

Se l'endpoint è elencato nella tabella, trova tutti gli agenti di servizio per quell'endpoint. Ignora tutti gli agenti di servizio il cui indirizzo email contiene il segnaposto IDENTIFIER, ovvero per risorse specifiche del servizio e non per progetti, cartelle o organizzazioni.

Per ogni agente di servizio a livello di progetto, cartella e organizzazione, registra quanto segue:
- Il formato dell'indirizzo email dell'agente di servizio.
- L'eventuale ruolo concesso all'agente di servizio.

Attiva la creazione dell'agente di servizio

Quando sai quali agenti di servizio devi creare, puoi chiedere a Google Cloud di crearli.

Quando chiedi a Google Cloud di creare agenti di servizio, gli fornisci un servizio e una risorsa. Google Cloud crea quindi tutti gli agenti per quel servizio e quella risorsa.

gcloud

Per ogni servizio per cui devi creare agenti di servizio:

Controlla gli indirizzi email dell'agente di servizio per il servizio. Utilizza i segnaposto negli indirizzi email per determinare per quali risorse devi creare gli agenti di servizio:

Segnaposto	Dove creare gli agenti di servizio
`PROJECT_NUMBER`	Ogni progetto in cui utilizzerai il servizio
`FOLDER_NUMBER`	Ogni cartella in cui utilizzerai il servizio
`ORGANIZATION_NUMBER`	Ogni organizzazione in cui utilizzerai il servizio

Creare agenti di servizio per ogni risorsa.

Il comando gcloud beta services identity create crea tutti gli agenti di servizio per l'API e la risorsa specificate.

Prima di utilizzare uno qualsiasi dei dati di comando riportati di seguito, effettua le seguenti sostituzioni:
- ENDPOINT: l'endpoint dell'API per cui vuoi creare un agente di servizio, ad esempio aiplatform.googleapis.com.
- RESOURCE_TYPE: il tipo di risorsa per cui vuoi creare un agente di servizio. Utilizza project, folder o organization.
- RESOURCE_ID: l'ID del progetto, della cartella o dell'organizzazione Google Cloud per cui vuoi creare un agente di servizio. Gli ID progetto sono stringhe alfanumeriche come my-project. Gli ID cartella e organizzazione sono numerici, ad esempio 123456789012.
  
  Puoi creare agenti di servizio per una risorsa alla volta. Se devi creare agenti di servizio per più risorse, esegui il comando una volta per ogni risorsa.
Esegui questo comando:
Linux, macOS o Cloud Shell
```
gcloud beta services identity create --service=ENDPOINT \
    --RESOURCE_TYPE=RESOURCE_ID
```
Windows (PowerShell)
```
gcloud beta services identity create --service=ENDPOINT `
    --RESOURCE_TYPE=RESOURCE_ID
```
Windows (cmd.exe)
```
gcloud beta services identity create --service=ENDPOINT ^
    --RESOURCE_TYPE=RESOURCE_ID
```
La risposta contiene l'indirizzo email dell'agente di servizio principale del servizio. Questo indirizzo email include l'ID numerico del progetto, della cartella o dell'organizzazione per cui hai creato gli agenti di servizio.

Se il servizio non ha un agente di servizio principale, la risposta non contiene un indirizzo email.

Di seguito è riportato un esempio di risposta per un servizio con un agente di servizio principale.
```
Service identity created: service-232332569935@gcp-sa-aiplatform.iam.gserviceaccount.com
```
(Facoltativo) Registra l'indirizzo email dell'agente di servizio nella risposta, se presente. Questo indirizzo email identifica l'agente di servizio principale del servizio. Puoi utilizzare questo identificatore per concedere ruoli all'agente di servizio principale.

Terraform

Per scoprire come applicare o rimuovere una configurazione Terraform, consulta Comandi Terraform di base. Per maggiori informazioni, consulta la documentazione di riferimento del provider Terraform.

Per ogni servizio per cui devi creare agenti di servizio:

Controlla gli indirizzi email dell'agente di servizio per il servizio. Utilizza i segnaposto negli indirizzi email per determinare per quali risorse devi creare gli agenti di servizio:

Segnaposto	Dove creare gli agenti di servizio
`PROJECT_NUMBER`	Ogni progetto in cui utilizzerai il servizio
`FOLDER_NUMBER`	Ogni cartella in cui utilizzerai il servizio
`ORGANIZATION_NUMBER`	Ogni organizzazione in cui utilizzerai il servizio

Creare agenti di servizio per ogni risorsa. Ad esempio, il codice seguente crea tutti gli agenti di servizio a livello di progetto per AI Platform:

Nota: Terraform supporta solo l'attivazione di agenti di servizio a livello di progetto. Per attivare la creazione di agenti di servizio a livello di cartella e organizzazione, utilizza Google Cloud CLI o l'API REST.

data "google_project" "default" {
}

# Create all project-level aiplatform.googleapis.com service agents
resource "google_project_service_identity" "default" {
  provider = google-beta

  project = data.google_project.default.project_id
  service = "aiplatform.googleapis.com"
}

REST

Per ogni servizio per cui devi creare agenti di servizio:

Controlla gli indirizzi email dell'agente di servizio per il servizio. Utilizza i segnaposto negli indirizzi email per determinare per quali risorse devi creare gli agenti di servizio:

Segnaposto	Dove creare gli agenti di servizio
`PROJECT_NUMBER`	Ogni progetto in cui utilizzerai il servizio
`FOLDER_NUMBER`	Ogni cartella in cui utilizzerai il servizio
`ORGANIZATION_NUMBER`	Ogni organizzazione in cui utilizzerai il servizio

Creare agenti di servizio per ogni risorsa.

Il metodo services.generateServiceIdentity dell'API Service Usage crea tutti gli agenti di servizio per l'API e la risorsa specificate.

Prima di utilizzare i dati della richiesta, effettua le seguenti sostituzioni:
- RESOURCE_TYPE: il tipo di risorsa per cui vuoi creare un agente di servizio. Utilizza projects, folders o organizations.
- RESOURCE_ID: l'ID del progetto, della cartella o dell'organizzazione Google Cloud per cui vuoi creare gli agenti di servizio. Gli ID progetto sono stringhe alfanumeriche come my-project. Gli ID cartella e organizzazione sono numerici, ad esempio 123456789012.
  
  Puoi creare agenti di servizio per una risorsa alla volta. Se devi creare agenti di servizio per più risorse, invia una richiesta per ogni risorsa.
- ENDPOINT: l'endpoint dell'API per cui vuoi creare un agente di servizio, ad esempio aiplatform.googleapis.com.
Metodo HTTP e URL:
```
POST https://serviceusage.googleapis.com/v1beta1/RESOURCE_TYPE/RESOURCE_ID/services/ENDPOINT:generateServiceIdentity
```
Per inviare la richiesta, espandi una di queste opzioni:
curl (Linux, macOS o Cloud Shell)

Nota: il comando seguente presuppone che tu abbia eseguito l'accesso all'interfaccia a riga di comando gcloud con il tuo account utente eseguendo gcloud init o gcloud auth login oppure utilizzando Cloud Shell, che ti consente di accedere automaticamente all'interfaccia a riga di comando di gcloud. . Puoi controllare l'account attualmente attivo eseguendo gcloud auth list.

Esegui questo comando:
```
curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d "" \
     "https://serviceusage.googleapis.com/v1beta1/RESOURCE_TYPE/RESOURCE_ID/services/ENDPOINT:generateServiceIdentity"
```
PowerShell (Windows)

Nota: il comando seguente presuppone che tu abbia eseguito l'accesso all'interfaccia a riga di comando gcloud con il tuo account utente eseguendo gcloud init o gcloud auth login . Puoi controllare l'account attualmente attivo eseguendo gcloud auth list.

Esegui questo comando:
```
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -Uri "https://serviceusage.googleapis.com/v1beta1/RESOURCE_TYPE/RESOURCE_ID/services/ENDPOINT:generateServiceIdentity" | Select-Object -Expand Content
```
La risposta contiene un elemento Operation che indica lo stato della richiesta. Per controllare lo stato dell'operazione, utilizza il metodo operations.get.

Le operazioni completate contengono l'indirizzo email dell'agente di servizio principale del servizio. Questo indirizzo email include l'ID numerico del progetto, della cartella o dell'organizzazione per cui hai creato gli agenti di servizio.

Se il servizio non ha un agente di servizio principale, la risposta non contiene un indirizzo email.

Di seguito è riportato un esempio di operazione completata per un servizio con un agente di servizio principale.
```
{
  "name": "operations/finished.DONE_OPERATION",
  "done": true,
  "response": {
    "@type": "type.googleapis.com/google.api.serviceusage.v1beta1.ServiceIdentity",
    "email": "service-232332569935@gcp-sa-aiplatform.iam.gserviceaccount.com",
    "uniqueId": "112245693826560101651"
  }
}
```
(Facoltativo) Registra l'indirizzo email dell'agente di servizio nella risposta, se presente. Questo indirizzo email identifica l'agente di servizio principale del servizio. Puoi utilizzare questo identificatore per concedere ruoli all'agente di servizio principale.

Concedi ruoli agli agenti di servizio

Dopo che Google Cloud ha creato gli agenti di servizio necessari per i progetti, le cartelle e le organizzazioni, utilizza gli indirizzi email degli agenti di servizio per concedere loro i ruoli.

Se hai chiesto a Google Cloud di creare agenti di servizio, devi concedere a questi agenti i ruoli che in genere vengono concessi automaticamente. In caso contrario, alcuni servizi potrebbero non funzionare correttamente. Questo perché agli agenti di servizio creati su richiesta di un utente non vengono concessi automaticamente i ruoli.

Per informazioni su come identificare i ruoli concessi automaticamente, consulta Identificare gli agenti di servizio da creare.

Trovare l'indirizzo email dell'agente di servizio

Per trovare l'indirizzo email di un agente di servizio:

gcloud

Se non lo hai già fatto, trova il formato dell'indirizzo email dell'agente di servizio. Questo formato è documentato nel riferimento dell'agente di servizio.
Sostituisci i segnaposto nell'indirizzo email con il numero di progetto, cartella o organizzazione corrispondente.

In alternativa, se l'agente di servizio è un agente di servizio principale, puoi ottenerne l'indirizzo email attivando la creazione dell'agente di servizio per il servizio. Il comando per attivare la creazione dell'agente di servizio restituisce l'indirizzo email dell'agente di servizio principale.

Terraform

Per scoprire come applicare o rimuovere una configurazione Terraform, consulta Comandi Terraform di base. Per maggiori informazioni, consulta la documentazione di riferimento del provider Terraform.

Se non lo hai già fatto, trova il formato dell'indirizzo email dell'agente di servizio. Questo formato è documentato nel riferimento dell'agente di servizio.
Sostituisci tutti i segnaposto nell'indirizzo email con espressioni che fanno riferimento al numero di progetto, cartella o organizzazione appropriato.

Ad esempio, considera la seguente situazione:
- Il formato dell'indirizzo email è service-PROJECT_NUMBER@gcp-sa-aiplatform-cc.iam.gserviceaccount.com
- L'agente di servizio è per un progetto denominato default
In questo caso, l'indirizzo email dell'agente di servizio è il seguente:
```
service-${data.google_project.default.number}@gcp-sa-aiplatform-cc.iam.gserviceaccount.com
```

In alternativa, se un agente di servizio è l'agente di servizio principale di un servizio, puoi recuperare il relativo indirizzo email dall'attributo email della risorsa google_project_service_identity.

Ad esempio, se hai un blocco google_project_service_identity etichettato default, puoi ottenere l'indirizzo email dell'agente di servizio principale del servizio utilizzando la seguente espressione:

${google_project_service_identity.default.email}

REST

Se non lo hai già fatto, trova il formato dell'indirizzo email dell'agente di servizio. Questo formato è documentato nel riferimento dell'agente di servizio.
Sostituisci i segnaposto nell'indirizzo email con il numero di progetto, cartella o organizzazione corrispondente.

Concedi un ruolo all'agente di servizio

Dopo aver trovato l'indirizzo email dell'agente di servizio, puoi assegnargli un ruolo, proprio come faresti a qualsiasi altra entità.

Console

Nella console Google Cloud, vai alla pagina IAM.

Vai a IAM
Seleziona un progetto, una cartella o un'organizzazione.
Fai clic su Concedi accesso, poi inserisci l'indirizzo email dell'agente di servizio.
Seleziona un ruolo da concedere dall'elenco a discesa.
(Facoltativo) Aggiungi una condizione al ruolo.
Fai clic su Salva. All'agente di servizio viene concesso il ruolo nella risorsa.

gcloud

Il comando add-iam-policy-binding consente di concedere rapidamente un ruolo a un'entità.

Prima di utilizzare uno qualsiasi dei dati di comando riportati di seguito, effettua le seguenti sostituzioni:

RESOURCE_TYPE: il tipo di risorsa per cui vuoi gestire l'accesso. Utilizza projects, resource-manager folders o organizations.
RESOURCE_ID: l'ID del progetto, della cartella o dell'organizzazione di Google Cloud. Gli ID progetto sono alfanumerici, ad esempio my-project. Gli ID cartella e organizzazione sono numerici, ad esempio 123456789012.
PRINCIPAL: un identificatore dell'entità o del membro, che in genere ha il seguente formato: PRINCIPAL_TYPE:ID. Ad esempio, user:my-user@example.com. Per un elenco completo dei valori che PRINCIPAL può avere, consulta il riferimento sull'associazione dei criteri.

Per il tipo di entità user, il nome di dominio nell'identificatore deve essere un dominio Google Workspace o un dominio Cloud Identity. Per informazioni su come configurare un dominio Cloud Identity, consulta la panoramica di Cloud Identity.
ROLE_NAME: il nome del ruolo che vuoi revocare. Utilizza uno dei seguenti formati:
- Ruoli predefiniti: roles/SERVICE.IDENTIFIER
- Ruoli personalizzati a livello di progetto: projects/PROJECT_ID/roles/IDENTIFIER
- Ruoli personalizzati a livello di organizzazione: organizations/ORG_ID/roles/IDENTIFIER
Per un elenco dei ruoli predefiniti, consulta Informazioni sui ruoli.
CONDITION: la condizione da aggiungere all'associazione dei ruoli. Se non vuoi aggiungere una condizione, utilizza il valore None. Per maggiori informazioni sulle condizioni, consulta la relativa panoramica.

Esegui questo comando:

Linux, macOS o Cloud Shell

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
    --member=PRINCIPAL --role=ROLE_NAME \
    --condition=CONDITION

Windows (PowerShell)

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID `
    --member=PRINCIPAL --role=ROLE_NAME `
    --condition=CONDITION

Windows (cmd.exe)

gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID ^
    --member=PRINCIPAL --role=ROLE_NAME ^
    --condition=CONDITION

La risposta contiene il criterio IAM aggiornato.

Terraform

Per scoprire come applicare o rimuovere una configurazione Terraform, consulta Comandi Terraform di base. Per maggiori informazioni, consulta la documentazione di riferimento del provider Terraform.

# Grant the AI Platform Custom Code Service Account the Vertex AI Custom
# Code Service Agent role (roles/aiplatform.customCodeServiceAgent)
resource "google_project_iam_member" "custom_code" {
  project = data.google_project.default.project_id
  role    = "roles/aiplatform.customCodeServiceAgent"
  member  = "serviceAccount:service-${data.google_project.default.number}@gcp-sa-aiplatform-cc.iam.gserviceaccount.com"
}

# Grant the primary aiplatform.googleapis.com service agent (AI Platform
# Service Agent) the Vertex AI Service Agent role
# (roles/aiplatform.serviceAgent)
resource "google_project_iam_member" "primary" {
  project = data.google_project.default.project_id
  role    = "roles/aiplatform.serviceAgent"
  member  = "serviceAccount:${google_project_service_identity.default.email}"
}

REST

Per concedere un ruolo con l'API REST, utilizza il pattern di lettura, modifica e scrittura:

Per leggere l'attuale criterio di autorizzazione, chiama getIamPolicy().

Il metodo getIamPolicy dell'API Resource Manager ottiene il criterio di autorizzazione di un progetto, di una cartella o di un'organizzazione.

Prima di utilizzare i dati della richiesta, effettua le seguenti sostituzioni:
- API_VERSION: la versione dell'API da utilizzare. Per i progetti e le organizzazioni, utilizza v1. Per le cartelle, utilizza v2.
- RESOURCE_TYPE: il tipo di risorsa di cui vuoi gestire il criterio. Utilizza il valore projects, folders o organizations.
- RESOURCE_ID: l'ID progetto, organizzazione o cartella Google Cloud. Gli ID progetto sono stringhe alfanumeriche, come my-project. Gli ID cartella e organizzazione sono numerici, ad esempio 123456789012.
- POLICY_VERSION: la versione del criterio da restituire. Le richieste devono specificare la versione del criterio più recente, ovvero la versione 3. Per maggiori dettagli, consulta Specifica della versione di un criterio durante il recupero di un criterio.
Metodo HTTP e URL:
```
POST https://cloudresourcemanager.googleapis.com/API_VERSION/RESOURCE_TYPE/RESOURCE_ID:getIamPolicy
```
Corpo JSON della richiesta:
```
{
  "options": {
    "requestedPolicyVersion": POLICY_VERSION
  }
}
```
Per inviare la richiesta, espandi una di queste opzioni:
curl (Linux, macOS o Cloud Shell)

Nota: il comando seguente presuppone che tu abbia eseguito l'accesso all'interfaccia a riga di comando gcloud con il tuo account utente eseguendo gcloud init o gcloud auth login oppure utilizzando Cloud Shell, che ti consente di accedere automaticamente all'interfaccia a riga di comando di gcloud. . Puoi controllare l'account attualmente attivo eseguendo gcloud auth list.

Salva il corpo della richiesta in un file denominato request.json ed esegui questo comando:
```
curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudresourcemanager.googleapis.com/API_VERSION/RESOURCE_TYPE/RESOURCE_ID:getIamPolicy"
```
PowerShell (Windows)

Nota: il comando seguente presuppone che tu abbia eseguito l'accesso all'interfaccia a riga di comando gcloud con il tuo account utente eseguendo gcloud init o gcloud auth login . Puoi controllare l'account attualmente attivo eseguendo gcloud auth list.

Salva il corpo della richiesta in un file denominato request.json ed esegui questo comando:
```
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudresourcemanager.googleapis.com/API_VERSION/RESOURCE_TYPE/RESOURCE_ID:getIamPolicy" | Select-Object -Expand Content
```
Explorer API (browser)

Copia il corpo della richiesta e apri la pagina di riferimento del metodo. Il riquadro Explorer API si apre sul lato destro della pagina. Puoi interagire con questo strumento per inviare richieste. Incolla il corpo della richiesta in questo strumento, compila gli altri campi obbligatori e fai clic su Esegui.

La risposta contiene il criterio di autorizzazione della risorsa. Ad esempio:
```
{
  "version": 1,
  "etag": "BwWKmjvelug=",
  "bindings": [
    {
      "role": "roles/owner",
      "members": [
        "user:owner@example.com"
      ]
    }
  ]
}
```
Modifica il criterio di autorizzazione della risorsa utilizzando un editor di testo o in modo programmatico per aggiungere o rimuovere entità o associazioni di ruoli. Ad esempio, puoi aggiungere una nuova associazione di ruoli, rimuovere un'associazione di ruoli esistente o aggiungere o rimuovere entità da un'associazione di ruoli esistente.
Scrivi il criterio di autorizzazione aggiornato chiamando setIamPolicy().

Il metodo setIamPolicy dell'API Resource Manager imposta il criterio nella richiesta come nuovo criterio di autorizzazione per il progetto, la cartella o l'organizzazione.

Prima di utilizzare i dati della richiesta, effettua le seguenti sostituzioni:
- API_VERSION: la versione dell'API da utilizzare. Per i progetti e le organizzazioni, utilizza v1. Per le cartelle, utilizza v2.
- RESOURCE_TYPE: il tipo di risorsa di cui vuoi gestire il criterio. Utilizza il valore projects, folders o organizations.
- RESOURCE_ID: l'ID progetto, organizzazione o cartella Google Cloud. Gli ID progetto sono stringhe alfanumeriche, come my-project. Gli ID cartella e organizzazione sono numerici, ad esempio 123456789012.
- POLICY: una rappresentazione JSON del criterio che vuoi impostare. Per ulteriori informazioni sul formato di un criterio, consulta la documentazione di riferimento alle norme.
Metodo HTTP e URL:
```
POST https://cloudresourcemanager.googleapis.com/API_VERSION/RESOURCE_TYPE/RESOURCE_ID:setIamPolicy
```
Corpo JSON della richiesta:
```
{
  "policy": POLICY
}
```
Per inviare la richiesta, espandi una di queste opzioni:
curl (Linux, macOS o Cloud Shell)

Nota: il comando seguente presuppone che tu abbia eseguito l'accesso all'interfaccia a riga di comando gcloud con il tuo account utente eseguendo gcloud init o gcloud auth login oppure utilizzando Cloud Shell, che ti consente di accedere automaticamente all'interfaccia a riga di comando di gcloud. . Puoi controllare l'account attualmente attivo eseguendo gcloud auth list.

Salva il corpo della richiesta in un file denominato request.json ed esegui questo comando:
```
curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudresourcemanager.googleapis.com/API_VERSION/RESOURCE_TYPE/RESOURCE_ID:setIamPolicy"
```
PowerShell (Windows)

Nota: il comando seguente presuppone che tu abbia eseguito l'accesso all'interfaccia a riga di comando gcloud con il tuo account utente eseguendo gcloud init o gcloud auth login . Puoi controllare l'account attualmente attivo eseguendo gcloud auth list.

Salva il corpo della richiesta in un file denominato request.json ed esegui questo comando:
```
$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudresourcemanager.googleapis.com/API_VERSION/RESOURCE_TYPE/RESOURCE_ID:setIamPolicy" | Select-Object -Expand Content
```
Explorer API (browser)

Copia il corpo della richiesta e apri la pagina di riferimento del metodo. Il riquadro Explorer API si apre sul lato destro della pagina. Puoi interagire con questo strumento per inviare richieste. Incolla il corpo della richiesta in questo strumento, compila gli altri campi obbligatori e fai clic su Esegui.

La risposta contiene il criterio di autorizzazione aggiornato.

Nota: se tratti i criteri come codice e li archivi in un sistema di controllo della versione, devi archiviare il criterio restituito, non il criterio inviato nella richiesta.

Passaggi successivi

Visualizza un elenco di tutti gli agenti di servizio.
Esplora altri modi per concedere i ruoli alle entità.
Scopri come creare account di servizio gestiti dall'utente, che possono fungere da identità per i tuoi carichi di lavoro.
Scopri di più sulle best practice per l'utilizzo di Terraform su Google Cloud.
Esplora tutti gli esempi di Terraform per Google Cloud.

Creazione e concessione di ruoli agli agenti di servizio

Prima di iniziare

Ruoli obbligatori

Autorizzazioni obbligatorie

Identifica gli agenti di servizio da creare

Console

gcloud

Linux, macOS o Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

REST

curl (Linux, macOS o Cloud Shell)

PowerShell (Windows)

Attiva la creazione dell'agente di servizio

gcloud

Linux, macOS o Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

Terraform

REST

curl (Linux, macOS o Cloud Shell)

PowerShell (Windows)

Concedi ruoli agli agenti di servizio

Trovare l'indirizzo email dell'agente di servizio

gcloud

Terraform

REST

Concedi un ruolo all'agente di servizio

Console

gcloud

Linux, macOS o Cloud Shell

Windows (PowerShell)

Windows (cmd.exe)

Terraform

REST

curl (Linux, macOS o Cloud Shell)

PowerShell (Windows)

Explorer API (browser)

curl (Linux, macOS o Cloud Shell)

PowerShell (Windows)

Explorer API (browser)

Passaggi successivi