Auf dieser Seite wird erläutert, wie Sie Dienstkonten mit der Identity and Access Management (IAM) API, der Google Cloud Console und dem gcloud
-Befehlszeilentool erstellen und verwalten.
Standardmäßig können Sie jedem Projekt bis zu 100 Dienstkonten hinzufügen, die den Zugriff auf Ihre Ressourcen steuern. Sie haben auch die Möglichkeit, gegebenenfalls eine Kontingenterhöhung anzufordern. Weitere Informationen zu Kontingenten und Limits finden Sie in diesem Artikel.
Hinweis
- Sie müssen die Informationen zu IAM-Dienstkonten verstehen
- Installieren Sie das
gcloud
-Befehlszeilentool
Erforderliche Berechtigungen
Gewähren Sie eine der folgenden Rollen, um zuzulassen, dass ein Nutzer Dienstkonten verwalten kann:
- Dienstkontonutzer (
roles/iam.serviceAccountUser
): Umfasst Berechtigungen zum Auflisten von Dienstkonten, Abrufen von Details zu einem Dienstkonto und zum Übernehmen der Identität eines Dienstkontos. - Dienstkontoadministrator (
roles/iam.serviceAccountAdmin
): Umfasst Berechtigungen zum Auflisten von Dienstkonten und zum Abrufen von Details zu einem Dienstkonto. Umfasst außerdem Berechtigungen zum Erstellen, Aktualisieren und Löschen von Dienstkonten sowie zum Anzeigen oder Ändern der IAM-Richtlinie für ein Dienstkonto.
Weitere Informationen zu diesen Rollen finden Sie unter Dienstkontenrollen.
Einfache IAM-Rollen enthalten auch Berechtigungen zum Verwalten von Dienstkonten. In einer Produktionsumgebung sollten Sie keine einfachen Rollen zuweisen, Sie können sie aber in einer Entwicklungs- oder Testumgebung gewähren.
Dienstkonto erstellen
Das Erstellen eines Dienstkontos ist mit dem Hinzufügen eines Mitglieds zu Ihrem Projekt vergleichbar. Das Dienstkonto gehört jedoch eher zu Ihren Anwendungen als zu einem bestimmten Endnutzer.
Wenn Sie ein Dienstkonto erstellen, müssen Sie eine alphanumerische ID angeben (in den Beispielen unten sa-name
). Beispiel: my-service-account
. Die ID muss zwischen 6 und 30 Zeichen lang sein und alphanumerische Zeichen in Kleinschreibung sowie Bindestriche enthalten. Nachdem Sie ein Dienstkonto erstellt haben, können Sie den Namen nicht mehr ändern.
Der Name des Dienstkontos ist eine eindeutige Kennung. Er wird in der E-Mail-Adresse des Dienstkontos angezeigt, die während der Erstellung bereitgestellt wird. Beispiel: sa-name@project-id.iam.gserviceaccount.com
.
Jedes Dienstkonto hat außerdem eine eindeutige numerische ID, die automatisch erstellt wird.
Außerdem geben Sie beim Erstellen eines Dienstkontos diese Informationen an:
sa-description
ist eine optionale Beschreibung für das Dienstkonto.sa-display-name
ist ein Anzeigename für das Dienstkonto.project-id
ist die ID des Google Cloud-Projekts.
Für das Erstellen eines Dienstkontos benötigen Nutzer mindestens die Rolle „Dienstkontoadministrator“ (roles/iam.serviceAccountAdmin
) oder die einfache Rolle „Bearbeiter“ (roles/editor
). In einer Produktionsumgebung sollten Sie keine einfachen Rollen zuweisen, Sie können sie aber in einer Entwicklungs- oder Testumgebung gewähren.
Nachdem Sie ein Dienstkonto erstellt haben, müssen Sie möglicherweise 60 Sekunden oder länger warten, bis Sie das Dienstkonto verwenden können. Wenn Sie ein Dienstkonto direkt nach dem Erstellen verwenden und eine Fehlermeldung erhalten, warten Sie mindestens 60 Sekunden und versuchen Sie es dann noch einmal.
Console
-
Rufen Sie in der Cloud Console die Seite Dienstkonten auf.
Zur Seite „Dienstkonten“ - Wählen Sie ein Projekt aus.
- Klicken Sie auf Dienstkonto erstellen.
-
Geben Sie einen Dienstkontonamen ein, der in der Cloud Console angezeigt werden soll.
Die Cloud Console generiert anhand dieses Namens eine Dienstkonto-ID. Bearbeiten Sie die ID bei Bedarf. Sie können die ID später nicht mehr ändern.
- Optional: Geben Sie eine Beschreibung für das Dienstkonto ein.
-
Wenn Sie die Zugriffssteuerungen derzeit nicht festlegen möchten, klicken Sie auf Fertig, um das Erstellen des Dienstkontos abzuschließen.
Wenn Sie die Zugriffssteuerungen jetzt festlegen möchten, klicken Sie auf Erstellen und fahren Sie mit dem nächsten Schritt fort.
- Optional: Wählen Sie eine oder mehrere IAM-Rollen aus, die dem Dienstkonto für das Projekt zugewiesen werden sollen.
- Wenn Sie alle Rollen hinzugefügt haben, klicken Sie auf Weiter.
- Optional: Fügen Sie im Feld Rolle „Dienstkontonutzer“ Mitglieder hinzu, die die Identität des Dienstkontos annehmen können.
- Optional: Fügen Sie im Feld Rolle "Dienstkontoadministrator" Mitglieder hinzu, die das Dienstkonto verwalten können.
- Klicken Sie auf Fertig, um das Erstellen des Dienstkontos abzuschließen.
gcloud
-
Führen Sie den Befehl
gcloud iam service-accounts create
aus, um das Dienstkonto zu erstellen.gcloud iam service-accounts create SERVICE_ACCOUNT_ID \ --description="DESCRIPTION" \ --display-name="DISPLAY_NAME"
Ersetzen Sie die folgenden Werte:
SERVICE_ACCOUNT_ID
: Geben Sie die ID des Dienstkontos an.DESCRIPTION
: Optional. Geben Sie eine Beschreibung für das Dienstkonto ein.DISPLAY_NAME
: Geben Sie einen Dienstkontonamen ein, der in der Cloud Console angezeigt werden soll.
-
Optional: Führen Sie den Befehl
gcloud projects add-iam-policy-binding
aus, um dem Dienstkonto eine IAM-Rolle für Ihr Projekt zuzuweisen:gcloud projects add-iam-policy-binding PROJECT_ID \ --member="serviceAccount:SERVICE_ACCOUNT_ID@PROJECT_ID.iam.gserviceaccount.com" \ --role="ROLE_NAME"
Ersetzen Sie die folgenden Werte:
PROJECT_ID
: die Projekt-IDSERVICE_ACCOUNT_ID
: die Dienstkonto-IDROLE_NAME
: ein Rollenname, z. B.roles/compute.osLogin
-
Optional: Damit Nutzer die Identität des Dienstkontos annehmen können, müssen Sie den Befehl
gcloud iam service-accounts add-iam-policy-binding
ausführen. Damit gewähren Sie einem Nutzer die Rolle „Dienstkontonutzer“ (roles/iam.serviceAccountUser
) für das Dienstkonto:gcloud iam service-accounts add-iam-policy-binding \ SERVICE_ACCOUNT_ID@PROJECT_ID.iam.gserviceaccount.com \ --member="user:USER_EMAIL" \ --role="roles/iam.serviceAccountUser"
Ersetzen Sie die folgenden Werte:
PROJECT_ID
: die Projekt-IDSERVICE_ACCOUNT_ID
: die Dienstkonto-IDUSER_EMAIL
: die E-Mail-Adresse des Nutzers
REST
Mit der Methode serviceAccounts.create
wird ein Dienstkonto erstellt.
Ersetzen Sie diese Werte in den folgenden Anweisungen:
project-id
: Ihre Google Cloud-Projekt-ID.sa-name
: Die alphanumerische ID Ihres Dienstkontos. Dieser Name muss zwischen 6 und 30 Zeichen lang sein und kann alphanumerische Zeichen in Kleinbuchstaben sowie Bindestriche enthalten.sa-description
: Optional. Eine Beschreibung des Dienstkontos.sa-display-name
: Ein für Nutzer lesbarer Name des Dienstkontos.
HTTP-Methode und URL:
POST https://iam.googleapis.com/v1/projects/project-id/serviceAccounts
JSON-Text anfordern:
{ "accountId": "sa-name", "serviceAccount": { "description": "sa-description", "displayName": "sa-display-name" } }
Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:
Sie sollten ungefähr so eine JSON-Antwort erhalten:
{ "name": "projects/my-project/serviceAccounts/my-service-account@my-project.iam.gserviceaccount.com", "projectId": "my-project", "uniqueId": "123456789012345678901", "email": "my-service-account@my-project.iam.gserviceaccount.com", "displayName": "My service account", "etag": "BwUp3rVlzes=", "description": "A service account for running jobs in my project", "oauth2ClientId": "987654321098765432109" }
C#
Richten Sie für dieses Beispiel C# wie in der IAM-Kurzanleitung zur Verwendung von Clientbibliotheken beschrieben ein. Weitere Informationen finden Sie in der Referenzdokumentation zur IAM C# API.
Go
Richten Sie für dieses Beispiel Go wie in der Kurzanleitung zur Verwendung von Clientbibliotheken beschrieben ein. Weitere Informationen finden Sie in der Referenzdokumentation zur IAM Go API.
Java
Richten Sie für dieses Beispiel Java wie in der IAM-Kurzanleitung zur Verwendung von Clientbibliotheken beschrieben ein. Weitere Informationen finden Sie in der Referenzdokumentation zur IAM Java API.
Python
Richten Sie für dieses Beispiel Python wie in der IAM-Kurzanleitung zur Verwendung von Clientbibliotheken beschrieben ein. Weitere Informationen finden Sie in der Referenzdokumentation zur IAM Python API.
Nachdem Sie ein Dienstkonto erstellt haben, weisen Sie dem Dienstkonto mindestens eine Rolle zu, damit es Aufgaben für Sie erfüllen kann.
Wenn das Dienstkonto auf Ressourcen in anderen Projekten zugreifen muss, müssen Sie außerdem in der Regel die APIs für diese Ressourcen in dem Projekt aktivieren, in dem Sie das Dienstkonto erstellt haben.
Dienstkonten auflisten
Bei der Auflistung von Dienstkonten können Sie Parameter angeben, um die Anzahl der Dienstkonten zu beschränken, die in der Antwort enthalten sind. Anschließend können Sie ListServiceAccountsResponse.next_page_token
in einer nachfolgenden Anfrage verwenden, um die verbleibenden Dienstkonten aufzulisten.
Verwenden Sie diese Methode, um Dienstkonten und Schlüssel zu prüfen oder um benutzerdefinierte Tools für die Verwaltung von Dienstkonten zu erstellen.
Für das Auflisten von Dienstkonten benötigen Nutzer mindestens die Rolle "Dienstkontoinhaber" (roles/iam.serviceAccountUser
) oder die einfache Rolle "Betrachter" (roles/viewer
).
Console
Rufen Sie in der Cloud Console die Seite Dienstkonten auf.
Wählen Sie ein Projekt aus.
Auf der Seite Dienstkonten werden alle nutzerverwalteten Dienstkonten im ausgewählten Projekt aufgeführt. Auf dieser Seite sind keine von Google verwalteten Dienstkonten aufgeführt.
gcloud
Zum Auflisten aller Dienstkonten in einem Projekt können Sie den Befehl gcloud iam service-accounts list
verwenden.
Befehl:
gcloud iam service-accounts list
Die Ausgabe ist die Liste aller Dienstkonten im Projekt:
NAME EMAIL sa-display-name-1 sa-name-1@project-id.iam.gserviceaccount.com sa-display-name-2 sa-name-2@project-id.iam.gserviceaccount.com
REST
Mit der Methode serviceAccounts.list
werden alle Dienstkonten in Ihrem Projekt aufgelistet.
Ersetzen Sie diese Werte in den folgenden Anweisungen:
project-id
: Ihre Google Cloud-Projekt-ID.
HTTP-Methode und URL:
GET https://iam.googleapis.com/v1/projects/project-id/serviceAccounts
Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:
Sie sollten in etwa folgende JSON-Antwort erhalten:
{ "accounts": [ { "name": "projects/my-project/serviceAccounts/sa-1@my-project.iam.gserviceaccount.com", "projectId": "my-project", "uniqueId": "123456789012345678901", "email": "sa-1@my-project.iam.gserviceaccount.com", "description": "My first service account", "displayName": "Service account 1", "etag": "BwUpTsLVUkQ=", "oauth2ClientId": "987654321098765432109" }, { "name": "projects/my-project/serviceAccounts/sa-2@my-project.iam.gserviceaccount.com", "projectId": "my-project", "uniqueId": "234567890123456789012", "email": "sa-2@my-project.iam.gserviceaccount.com", "description": "My second service account", "displayName": "Service account 2", "etag": "UkQpTwBVUsL=", "oauth2ClientId": "876543210987654321098" } ] }
C#
Richten Sie für dieses Beispiel C# wie in der IAM-Kurzanleitung zur Verwendung von Clientbibliotheken beschrieben ein. Weitere Informationen finden Sie in der Referenzdokumentation zur IAM C# API.
Go
Richten Sie für dieses Beispiel Go wie in der Kurzanleitung zur Verwendung von Clientbibliotheken beschrieben ein. Weitere Informationen finden Sie in der Referenzdokumentation zur IAM Go API.
Java
Richten Sie für dieses Beispiel Java wie in der IAM-Kurzanleitung zur Verwendung von Clientbibliotheken beschrieben ein. Weitere Informationen finden Sie in der Referenzdokumentation zur IAM Java API.
Python
Richten Sie für dieses Beispiel Python wie in der IAM-Kurzanleitung zur Verwendung von Clientbibliotheken beschrieben ein. Weitere Informationen finden Sie in der Referenzdokumentation zur IAM Python API.
Dienstkonto aktualisieren
Der Anzeigename und die Beschreibung eines Dienstkontos werden häufig verwendet, um zusätzliche Informationen über das Dienstkonto zu erfassen, etwa den Zweck des Dienstkontos oder eine Kontaktperson für das Konto.
Damit Nutzer den Namen oder die Beschreibung eines Dienstkontos aktualisieren können, muss ihnen mindestens die Rolle "Dienstkontoadministrator" (roles/iam.serviceAccountAdmin
) oder die einfache Rolle "Bearbeiter" (roles/editor
) erteilt werden.
Console
Rufen Sie in der Cloud Console die Seite Dienstkonten auf.
Wählen Sie ein Projekt aus.
Klicken Sie auf die E-Mail-Adresse des Dienstkontos, das Sie umbenennen möchten.
Geben Sie den neuen Namen in das Feld Name ein und klicken Sie auf Speichern.
gcloud
Aktualisieren Sie mit dem Befehl gcloud iam service-accounts update
ein Dienstkonto.
Befehl:
gcloud iam service-accounts update \ sa-name@project-id.iam.gserviceaccount.com \ --description="updated-sa-description" \ --display-name="updated-display-name"
Die Ausgabe ist das umbenannte Dienstkonto:
description: updated-sa-description displayName: updated-display-name name: projects/project-id/serviceAccounts/sa-name@project-id.iam.gserviceaccount.com
REST
Mit der Methode serviceAccounts.patch
wird ein Dienstkonto aktualisiert.
Ersetzen Sie diese Werte in den folgenden Anweisungen:
project-id
: Ihre Google Cloud-Projekt-ID.sa-id
: Die ID Ihres Dienstkontos. Dies kann entweder die E-Mail-Adresse des Dienstkontos im Formatsa-name@project-id.iam.gserviceaccount.com
oder die eindeutige numerische ID des Dienstkontos sein.sa-name
: Die alphanumerische ID Ihres Dienstkontos. Dieser Name muss zwischen 6 und 30 Zeichen lang sein und kann alphanumerische Zeichen in Kleinbuchstaben sowie Bindestriche enthalten.- Ersetzen Sie mindestens eines der folgenden:
updated-display-name
: Ein neuer Anzeigename für das Dienstkonto.updated-description
: Eine neue Beschreibung des Dienstkontos.
HTTP-Methode und URL:
PATCH https://iam.googleapis.com/v1/projects/project-id/serviceAccounts/sa-id
JSON-Text anfordern:
{ "serviceAccount": { "email": "sa-name@project-id.iam.gserviceaccount.com", "displayName": "updated-display-name", "description": "updated-description" }, "updateMask": "displayName,description" }
Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:
Sie sollten ungefähr so eine JSON-Antwort erhalten:
{ "name": "projects/my-project/serviceAccounts/my-service-account@my-project.iam.gserviceaccount.com", "displayName": "My updated service account", "description": "An updated description of my service account" }
C#
Richten Sie für dieses Beispiel C# wie in der IAM-Kurzanleitung zur Verwendung von Clientbibliotheken beschrieben ein. Weitere Informationen finden Sie in der Referenzdokumentation zur IAM C# API.
Go
Richten Sie für dieses Beispiel Go wie in der Kurzanleitung zur Verwendung von Clientbibliotheken beschrieben ein. Weitere Informationen finden Sie in der Referenzdokumentation zur IAM Go API.
Java
Richten Sie für dieses Beispiel Java wie in der IAM-Kurzanleitung zur Verwendung von Clientbibliotheken beschrieben ein. Weitere Informationen finden Sie in der Referenzdokumentation zur IAM Java API.
Python
Richten Sie für dieses Beispiel Python wie in der IAM-Kurzanleitung zur Verwendung von Clientbibliotheken beschrieben ein. Weitere Informationen finden Sie in der Referenzdokumentation zur IAM Python API.
Dienstkonto deaktivieren
Ähnlich wie beim Löschen eines Dienstkontos haben Anwendungen beim Deaktivieren eines Dienstkontos darüber keinen Zugriff mehr auf Google Cloud-Ressourcen. Wenn Sie die standardmäßigen App Engine- und Compute Engine-Dienstkonten deaktivieren, können die Instanzen nicht mehr auf Ressourcen im Projekt zugreifen. Wenn Sie versuchen, ein bereits deaktiviertes Dienstkonto zu deaktivieren, hat dies keine Auswirkungen.
Im Gegensatz zum Löschen eines Dienstkontos können deaktivierte Dienstkonten bei Bedarf problemlos wieder aktiviert werden. Es wird empfohlen, ein Dienstkonto vor dem Löschen zu deaktivieren, um sicherzustellen, dass keine kritischen Anwendungen das Dienstkonto verwenden.
Für das Deaktivieren eines Dienstkontos benötigen Nutzer mindestens die Rolle "Dienstkontoadministrator" (roles/iam.serviceAccountAdmin
) oder die einfache Rolle "Bearbeiter" (roles/editor
).
Console
Rufen Sie in der Cloud Console die Seite Dienstkonten auf.
Wählen Sie ein Projekt aus.
Klicken Sie auf den Namen des Dienstkontos, das Sie deaktivieren möchten.
Klicken Sie unter Dienstkontostatus auf Dienstkonto deaktivieren und dann auf Deaktivieren, um die Änderung zu bestätigen.
gcloud
Deaktivieren Sie mit dem Befehl gcloud iam service-accounts disable
ein Dienstkonto.
Befehl:
gcloud iam service-accounts disable sa-name@project-id.iam.gserviceaccount.com
Ausgabe:
Disabled service account sa-name@project-id.iam.gserviceaccount.com
REST
Mit der Methode serviceAccounts.disable
wird ein Dienstkonto sofort deaktiviert.
Ersetzen Sie diese Werte in den folgenden Anweisungen:
project-id
: Ihre Google Cloud-Projekt-ID.sa-id
: Die ID Ihres Dienstkontos. Dies kann entweder die E-Mail-Adresse des Dienstkontos im Formatsa-name@project-id.iam.gserviceaccount.com
oder die eindeutige numerische ID des Dienstkontos sein.
HTTP-Methode und URL:
POST https://iam.googleapis.com/v1/projects/project-id/serviceAccounts/sa-id:disable
Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:
Bei Erfolg ist der Antworttext leer.
C#
Richten Sie für dieses Beispiel C# wie in der IAM-Kurzanleitung zur Verwendung von Clientbibliotheken beschrieben ein. Weitere Informationen finden Sie in der Referenzdokumentation zur IAM C# API.
Go
Richten Sie für dieses Beispiel Go wie in der Kurzanleitung zur Verwendung von Clientbibliotheken beschrieben ein. Weitere Informationen finden Sie in der Referenzdokumentation zur IAM Go API.
Java
Richten Sie für dieses Beispiel Java wie in der IAM-Kurzanleitung zur Verwendung von Clientbibliotheken beschrieben ein. Weitere Informationen finden Sie in der Referenzdokumentation zur IAM Java API.
Python
Richten Sie für dieses Beispiel Python wie in der IAM-Kurzanleitung zur Verwendung von Clientbibliotheken beschrieben ein. Weitere Informationen finden Sie in der Referenzdokumentation zur IAM Python API.
Dienstkonto aktivieren
Nach der Aktivierung eines deaktivierten Dienstkontos erhalten Anwendungen darüber wieder Zugriff auf Google Cloud-Ressourcen.
Sie können jederzeit ein deaktiviertes Dienstkonto wieder aktivieren. Wenn Sie versuchen, ein bereits aktiviertes Dienstkonto zu aktivieren, hat dies keine Auswirkungen.
Für das Aktivieren eines Dienstkontos benötigen Nutzer mindestens die Rolle "Dienstkontoadministrator" (roles/iam.serviceAccountAdmin
) oder die einfache Rolle "Bearbeiter" (roles/editor
).
Console
Rufen Sie in der Cloud Console die Seite Dienstkonten auf.
Wählen Sie ein Projekt aus.
Klicken Sie auf den Namen des Dienstkontos, das Sie aktivieren möchten.
Klicken Sie unter Dienstkontostatus auf Dienstkonto aktivieren und dann auf Aktivieren, um die Änderung zu bestätigen.
gcloud
Aktivieren Sie mit dem Befehl gcloud iam service-accounts enable
ein Dienstkonto.
Befehl:
gcloud iam service-accounts enable sa-name@project-id.iam.gserviceaccount.com
Ausgabe:
Enabled service account sa-name@project-id.iam.gserviceaccount.com
REST
Mit der Methode serviceAccounts.enable
wird ein zuvor deaktiviertes Dienstkonto aktiviert.
Ersetzen Sie diese Werte in den folgenden Anweisungen:
project-id
: Ihre Google Cloud-Projekt-ID.sa-id
: Die ID Ihres Dienstkontos. Dies kann entweder die E-Mail-Adresse des Dienstkontos im Formatsa-name@project-id.iam.gserviceaccount.com
oder die eindeutige numerische ID des Dienstkontos sein.
HTTP-Methode und URL:
POST https://iam.googleapis.com/v1/projects/project-id/serviceAccounts/sa-id:enable
Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:
Bei Erfolg ist der Antworttext leer.
C#
Richten Sie für dieses Beispiel C# wie in der IAM-Kurzanleitung zur Verwendung von Clientbibliotheken beschrieben ein. Weitere Informationen finden Sie in der Referenzdokumentation zur IAM C# API.
Go
Richten Sie für dieses Beispiel Go wie in der Kurzanleitung zur Verwendung von Clientbibliotheken beschrieben ein. Weitere Informationen finden Sie in der Referenzdokumentation zur IAM Go API.
Java
Richten Sie für dieses Beispiel Java wie in der IAM-Kurzanleitung zur Verwendung von Clientbibliotheken beschrieben ein. Weitere Informationen finden Sie in der Referenzdokumentation zur IAM Java API.
Python
Richten Sie für dieses Beispiel Python wie in der IAM-Kurzanleitung zur Verwendung von Clientbibliotheken beschrieben ein. Weitere Informationen finden Sie in der Referenzdokumentation zur IAM Python API.
Dienstkonto löschen
Wenn Sie ein Dienstkonto löschen, haben Anwendungen darüber keinen Zugriff mehr auf Google Cloud-Ressourcen. Wenn Sie die App Engine- und Compute Engine-Dienstkonten löschen, haben die Instanzen keinen Zugriff mehr auf Ressourcen in dem Projekt.
Seien Sie bei Löschvorgängen vorsichtig. Achten Sie darauf, dass ein Dienstkonto nicht mehr von kritischen Anwendungen verwendet wird, bevor Sie es löschen. Wenn Sie nicht sicher sind, ob ein Dienstkonto aktuell verwendet wird, sollten Sie das Dienstkonto deaktivieren, bevor Sie es löschen. Deaktivierte Dienstkonten können problemlos wieder aktiviert werden, wenn sie noch verwendet werden.
Wenn ein Dienstkonto gelöscht wird, werden seine Rollenbindungen nicht sofort entfernt. Sie werden spätestens nach 60 Tagen automatisch aus dem System gelöscht.
Gelöschte Dienstkonten werden nicht auf Ihr Dienstkontokontingent angerechnet.
Für das Löschen eines Dienstkontos benötigen Nutzer mindestens die Rolle "Dienstkontoadministrator" (roles/iam.serviceAccountAdmin
) oder die einfache Rolle "Bearbeiter" (roles/editor
).
Console
Rufen Sie in der Cloud Console die Seite Dienstkonten auf.
Wählen Sie ein Projekt aus.
Wählen Sie das Dienstkonto aus, das Sie löschen möchten, und klicken Sie auf Löschen
.
gcloud
Löschen Sie mit dem Befehl gcloud iam service-accounts delete
ein Dienstkonto.
Befehl:
gcloud iam service-accounts delete \ sa-name@project-id.iam.gserviceaccount.com
Ausgabe:
Deleted service account sa-name@project-id.iam.gserviceaccount.com
REST
Mit der Methode serviceAccounts.delete
wird ein Dienstkonto gelöscht.
Ersetzen Sie diese Werte in den folgenden Anweisungen:
project-id
: Ihre Google Cloud-Projekt-ID.sa-id
: Die ID Ihres Dienstkontos. Dies kann entweder die E-Mail-Adresse des Dienstkontos im Formatsa-name@project-id.iam.gserviceaccount.com
oder die eindeutige numerische ID des Dienstkontos sein.
HTTP-Methode und URL:
DELETE https://iam.googleapis.com/v1/projects/project-id/serviceAccounts/sa-id
Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:
Bei Erfolg ist der Antworttext leer.
C#
Richten Sie für dieses Beispiel C# wie in der IAM-Kurzanleitung zur Verwendung von Clientbibliotheken beschrieben ein. Weitere Informationen finden Sie in der Referenzdokumentation zur IAM C# API.
Go
Richten Sie für dieses Beispiel Go wie in der Kurzanleitung zur Verwendung von Clientbibliotheken beschrieben ein. Weitere Informationen finden Sie in der Referenzdokumentation zur IAM Go API.
Java
Richten Sie für dieses Beispiel Java wie in der IAM-Kurzanleitung zur Verwendung von Clientbibliotheken beschrieben ein. Weitere Informationen finden Sie in der Referenzdokumentation zur IAM Java API.
Python
Richten Sie für dieses Beispiel Python wie in der IAM-Kurzanleitung zur Verwendung von Clientbibliotheken beschrieben ein. Weitere Informationen finden Sie in der Referenzdokumentation zur IAM Python API.
Dienstkonto wiederherstellen
In einigen Fällen können Sie mit dem Befehl undelete
ein gelöschtes Dienstkonto wiederherstellen. Sie können ein gelöschtes Dienstkonto wiederherstellen, wenn es die folgenden Kriterien erfüllt:
Das Dienstkonto wurde vor weniger als 30 Tagen gelöscht.
Nach 30 Tagen entfernt IAM das Dienstkonto endgültig. Google Cloud kann das Dienstkonto nicht wiederherstellen, wenn es endgültig entfernt wurde, auch wenn Sie eine Supportanfrage stellen.
Es ist kein Dienstkonto mit dem gleichen Namen wie das gelöschte Dienstkonto vorhanden.
Angenommen, Sie löschen versehentlich das Dienstkonto
my-service-account@project-id.iam.gserviceaccount.com
. Sie benötigen weiterhin ein Dienstkonto mit diesem Namen, also erstellen Sie ein neues Dienstkonto, das ebenfalls den Namenmy-service-account@project-id.iam.gserviceaccount.com
hat.Das neue Dienstkonto übernimmt nicht die Berechtigungen des gelöschten Dienstkontos. Tatsächlich ist es völlig unabhängig vom gelöschten Dienstkonto. Sie können das ursprüngliche Dienstkonto jedoch nicht wiederherstellen, da das neue Dienstkonto denselben Namen hat.
Löschen Sie das neue Dienstkonto und versuchen Sie, das ursprüngliche Dienstkonto wiederherzustellen, um dieses Problem zu beheben.
Wenn Sie das Dienstkonto nicht wiederherstellen können, können Sie ein neues Dienstkonto mit demselben Namen erstellen, alle Rollen aus dem gelöschten Dienstkonto widerrufen und dem neuen Dienstkonto dieselben Rollen zuweisen. Weitere Informationen finden Sie unter Richtlinien mit gelöschten Mitgliedern.
Numerische ID des Dienstkontos ermitteln
Wenn Sie ein Dienstkonto wiederherstellen, müssen Sie seine numerische ID angeben. Die numerische ID ist eine 21-stellige Zahl, z. B. 123456789012345678901
, die das Dienstkonto eindeutig identifiziert. Wenn Sie beispielsweise ein Dienstkonto löschen und dann ein neues Dienstkonto mit dem gleichen Namen erstellen, haben das ursprüngliche Dienstkonto und das neue Dienstkonto unterschiedliche numerische IDs.
Wenn Sie wissen, dass eine Bindung in einer IAM-Richtlinie das gelöschte Dienstkonto enthält, können Sie die Richtlinie abrufen und dann die numerische ID in der Richtlinie suchen. Die numerische ID wird an den Namen des gelöschten Dienstkontos angehängt. In dieser Richtlinie lautet die numerische ID für das gelöschte Dienstkonto beispielsweise 123456789012345678901
:
{ "version": 1, "etag": "BwUjMhCsNvY=", "bindings": [ { "members": [ "deleted:serviceAccount:my-service-account@project-id.iam.gserviceaccount.com?uid=123456789012345678901" ], "role": "roles/iam.serviceAccountUser" }, ] }
Alternativ können Sie in Ihren Audit-Logs nach dem Vorgang DeleteServiceAccount
suchen, durch den das Dienstkonto gelöscht wurde:
Rufen Sie in der Google Cloud Console die Seite Loganzeige auf.
Klicken Sie oben auf der Seite im Suchfeld auf den Erweiterungspfeil
und wählen Sie In erweiterten Filter umwandeln aus.Geben Sie im Suchfeld die folgende Abfrage ein und ersetzen Sie dabei
service-account-email
durch die E-Mail-Adresse Ihres Dienstkontos (z. B.my-service-account@project-id.iam.gserviceaccount.com
):resource.type="service_account" resource.labels.email_id="service-account-email" "DeleteServiceAccount"
Wenn das Dienstkonto vor mehr als einer Stunde gelöscht wurde, wählen Sie zuerst die Drop-down-Liste
Letzte Stunde und dann einen längeren Zeitraum aus.Wenn das Dienstkonto vor mehr als 7 Tagen gelöscht wurde, wählen Sie Kein Limit aus.
Klicken Sie auf Filter senden. Die Loganzeige zeigt die
DeleteServiceAccount
-Vorgänge an, die die Dienstkonten mit dem von Ihnen angegebenen Namen betrafen. Die numerische ID für jedes Dienstkonto wird neben dem TextDeleteServiceAccount
angezeigt.Wenn die Suchergebnisse nur einen
DeleteServiceAccount
-Vorgang enthalten, notieren Sie sich die numerische ID. Stellen Sie das Dienstkonto mit der numerischen ID wieder her.Wenn es mehr als ein Suchergebnis gibt, klicken Sie neben einem Suchergebnis auf den Erweiterungspfeil
. Prüfen Sie die Details des Logeintrags und legen Sie fest, ob im Logeintrag der Vorgang angezeigt wird, den Sie rückgängig machen möchten. Wiederholen Sie diesen Vorgang, bis Sie den richtigen Logeintrag gefunden haben, und notieren Sie sich die numerische ID in diesem Eintrag.
Dienstkonto mit numerischer ID wiederherstellen
Wenn Sie die numerische ID für das gelöschte Dienstkonto gefunden haben, können Sie versuchen, das Dienstkonto wiederherzustellen.
gcloud
Stellen Sie mit dem Befehl gcloud beta iam service-accounts undelete
aus, ein Dienstkonto wieder her.
Befehl:
gcloud beta iam service-accounts undelete account-id
Ausgabe:
restoredAccount: email: sa-name@project-id.iam.gserviceaccount.com etag: BwWWE7zpApg= name: projects/project-id/serviceAccounts/sa-name@project-id.iam.gserviceaccount.com oauth2ClientId: '123456789012345678901' projectId: project-id uniqueId: 'account-id'
REST
Mit der Methode serviceAccounts.undelete
wird ein gelöschtes Dienstkonto wiederhergestellt.
Ersetzen Sie diese Werte in den folgenden Anweisungen:
project-id
: Ihre Google Cloud-Projekt-ID.sa-numeric-id
: Die eindeutige numerische ID des Dienstkontos.
HTTP-Methode und URL:
POST https://iam.googleapis.com/v1/projects/project-id/serviceAccounts/sa-numeric-id:undelete
Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:
Wenn das Konto wiederhergestellt werden kann, erhalten Sie einen 200 OK
-Antwortcode mit Details zum wiederhergestellten Dienstkonto. Dieser sieht in etwa so aus:
{ "restoredAccount": { "name": "projects/my-project/serviceAccounts/my-service-account@my-project.iam.gserviceaccount.com", "projectId": "my-project", "uniqueId": "123456789012345678901", "email": "my-service-account@my-project.iam.gserviceaccount.com", "displayName": "My service account", "etag": "BwUp3rVlzes=", "description": "A service account for running jobs in my project", "oauth2ClientId": "987654321098765432109" } }
Nächste Schritte
- Mehr über das Erstellen und Verwalten von Dienstkontoschlüsseln
- Informieren Sie sich über den Prozess zum Zuweisen von IAM-Rollen für alle Mitgliedertypen, einschließlich Dienstkonten.
- Erfahren Sie mehr darüber, wie Sie mit dem IAM Recommender die Berechtigungen für alle Mitglieder, einschließlich Dienstkonten, einschränken.
- So erlauben Sie Mitgliedern, sich als Dienstkonten auszugeben.
Jetzt testen
Wenn Sie mit Google Cloud noch nicht vertraut sind, erstellen Sie einfach ein Konto, um die Leistungsfähigkeit unserer Produkte in der Praxis zu prüfen und zu bewerten. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.
Jetzt kostenlos starten