In questa pagina viene spiegato come eliminare e annullare l'eliminazione degli account di servizio utilizzando l'API Identity and Access Management (IAM), la console Google Cloud e lo strumento a riga di comando gcloud
.
Prima di iniziare
Attiva IAM API.
Configurare l'autenticazione.
Select the tab for how you plan to use the samples on this page:
Console
When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.
gcloud
Nella console Google Cloud, attiva Cloud Shell.
Nella parte inferiore della console Google Cloud viene avviata una sessione di Cloud Shell che mostra un prompt della riga di comando. Cloud Shell è un ambiente shell con Google Cloud CLI già installato e con valori già impostati per il progetto attuale. L'inizializzazione della sessione può richiedere alcuni secondi.
C++
Per utilizzare gli C++ esempi in questa pagina in una località dell'ambiente di sviluppo, installare e inizializzare gcloud CLI quindi configura Credenziali predefinite dell'applicazione con le tue credenziali utente.
- Installa Google Cloud CLI.
-
Per initialize gcloud CLI, esegui questo comando:
gcloud init
-
Crea credenziali di autenticazione locali per il tuo Account Google:
gcloud auth application-default login
Per ulteriori informazioni, vedi Configurare l'autenticazione per un ambiente di sviluppo locale nella documentazione sull'autenticazione di Google Cloud.
C#
Per utilizzare gli .NET esempi in questa pagina in una località dell'ambiente di sviluppo, installare e inizializzare gcloud CLI quindi configura Credenziali predefinite dell'applicazione con le tue credenziali utente.
- Installa Google Cloud CLI.
-
Per initialize gcloud CLI, esegui questo comando:
gcloud init
-
Crea credenziali di autenticazione locali per il tuo Account Google:
gcloud auth application-default login
Per ulteriori informazioni, vedi Configurare l'autenticazione per un ambiente di sviluppo locale nella documentazione sull'autenticazione di Google Cloud.
Vai
Per utilizzare gli Go esempi in questa pagina in una località dell'ambiente di sviluppo, installare e inizializzare gcloud CLI quindi configura Credenziali predefinite dell'applicazione con le tue credenziali utente.
- Installa Google Cloud CLI.
-
Per initialize gcloud CLI, esegui questo comando:
gcloud init
-
Crea credenziali di autenticazione locali per il tuo Account Google:
gcloud auth application-default login
Per ulteriori informazioni, vedi Configurare l'autenticazione per un ambiente di sviluppo locale nella documentazione sull'autenticazione di Google Cloud.
Java
Per utilizzare gli Java esempi in questa pagina in una località dell'ambiente di sviluppo, installare e inizializzare gcloud CLI quindi configura Credenziali predefinite dell'applicazione con le tue credenziali utente.
- Installa Google Cloud CLI.
-
Per initialize gcloud CLI, esegui questo comando:
gcloud init
-
Crea credenziali di autenticazione locali per il tuo Account Google:
gcloud auth application-default login
Per ulteriori informazioni, vedi Configurare l'autenticazione per un ambiente di sviluppo locale nella documentazione sull'autenticazione di Google Cloud.
Python
Per utilizzare gli Python esempi in questa pagina in una località dell'ambiente di sviluppo, installare e inizializzare gcloud CLI quindi configura Credenziali predefinite dell'applicazione con le tue credenziali utente.
- Installa Google Cloud CLI.
-
Per initialize gcloud CLI, esegui questo comando:
gcloud init
-
Crea credenziali di autenticazione locali per il tuo Account Google:
gcloud auth application-default login
Per ulteriori informazioni, vedi Configurare l'autenticazione per un ambiente di sviluppo locale nella documentazione sull'autenticazione di Google Cloud.
REST
Per utilizzare gli esempi di API REST in questa pagina in un ambiente di sviluppo locale, utilizzi le credenziali che fornisci a gcloud CLI.
Installa Google Cloud CLI, quindi initialize eseguendo questo comando:
gcloud init
Per ulteriori informazioni, vedi Esegui l'autenticazione per l'utilizzo di REST nella documentazione sull'autenticazione di Google Cloud.
Informazioni sugli account di servizio IAM
Ruoli obbligatori
Per ottenere le autorizzazioni necessarie per eliminare e annullare l'eliminazione degli account di servizio, chiedi all'amministratore di concederti i seguenti ruoli IAM sul progetto:
-
Per eliminare gli account di servizio:
Elimina account di servizio (
roles/iam.serviceAccountDeleter
) -
Per eliminare e annullare l'eliminazione degli account di servizio:
Amministratore account di servizio (
roles/iam.serviceAccountAdmin
)
Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso.
Potresti anche essere in grado di ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.
Per saperne di più su questi ruoli, consulta Ruoli degli account di servizio.
I ruoli IAM di base contengono anche le autorizzazioni per gestire gli account di servizio. Non devi concedere ruoli di base in un ambiente di produzione, ma puoi concederli in un ambiente di sviluppo o test.
Eliminazione di un account di servizio
Quando elimini un account di servizio, le applicazioni non avranno più accesso alle risorse Google Cloud tramite quell'account di servizio. Se elimini gli account di servizio predefiniti di App Engine e Compute Engine, le app App Engine e le istanze VM di Compute Engine che utilizzano questi account non avranno più accesso alle risorse del progetto.
Elimina gli account di servizio con cautela. Assicurati che le applicazioni critiche non utilizzino più un account di servizio prima di eliminarlo. Se non sai con certezza se un account di servizio sia in uso, Google consiglia di disattivarlo anziché eliminarlo. Gli account di servizio disabilitati possono essere riattivati se sono ancora necessari.
Se vuoi ripristinare un account di servizio eliminato, puoi undelete se sono trascorsi al massimo 30 giorni da quando hai eliminato l'account di servizio. Dopo 30 giorni IAM rimuove definitivamente l'account di servizio. Google Cloud non può recuperare l'account di servizio dopo che è stato rimosso definitivamente, anche se invii una richiesta di assistenza.
Per ridurre ulteriormente il rischio di eliminare un account di servizio necessario, puoi anche attivare i suggerimenti sul rischio di modifica. I suggerimenti relativi alle modifiche sui rischi generano avvisi quando tenti di eliminare account di servizio che Google Cloud ha identificato come importanti.
Se elimini un account di servizio e poi ne crei uno nuovo con lo stesso nome, il nuovo account di servizio viene considerato come un'identità separata e non eredita i ruoli concessi all'account di servizio eliminato. Al contrario, quando elimini un account di servizio e poi ne annulli l'eliminazione, l'identità dell'account di servizio non cambia e l'account di servizio conserva i propri ruoli.
Quando un account di servizio viene eliminato, le relative associazioni di ruoli non vengono rimosse immediatamente, ma vengono eliminate automaticamente dal sistema dopo un massimo di 60 giorni. Fino a quel momento, l'account di servizio verrà visualizzato nelle associazioni di ruoli con un prefisso
deleted:
e un suffisso?uid=NUMERIC_ID
, doveNUMERIC_ID
è un ID numerico univoco per l'account di servizio.Gli account di servizio eliminati non vengono conteggiati ai fini della quota degli account di servizio.
Console
Nella console Google Cloud, vai alla pagina Account di servizio.
Seleziona un progetto.
Seleziona l'account di servizio che vuoi eliminare, quindi fai clic su Elimina
.
gcloud
-
Nella console Google Cloud, attiva Cloud Shell.
Nella parte inferiore della console Google Cloud viene avviata una sessione di Cloud Shell che mostra un prompt della riga di comando. Cloud Shell è un ambiente shell con Google Cloud CLI già installato e con valori già impostati per il progetto attuale. L'inizializzazione della sessione può richiedere alcuni secondi.
-
Esegui il comando
gcloud iam service-accounts delete
per eliminare un account di servizio.Comando:
gcloud iam service-accounts delete \ SA_NAME@PROJECT_ID.iam.gserviceaccount.com
Output:
Deleted service account SA_NAME@PROJECT_ID.iam.gserviceaccount.com
C++
Per scoprire come installare e utilizzare la libreria client per IAM, vedi librerie client IAM. Per maggiori informazioni, consulta la documentazione di riferimento dell'API IAM C++.
Per eseguire l'autenticazione in IAM, configura Credenziali predefinite dell'applicazione. Per saperne di più, consulta Prima di iniziare.
C#
Per scoprire come installare e utilizzare la libreria client per IAM, vedi librerie client IAM. Per maggiori informazioni, consulta la documentazione di riferimento dell'API IAM C#.
Per eseguire l'autenticazione in IAM, configura Credenziali predefinite dell'applicazione. Per saperne di più, consulta Prima di iniziare.
Go
Per scoprire come installare e utilizzare la libreria client per IAM, vedi librerie client IAM. Per maggiori informazioni, consulta la documentazione di riferimento dell'API IAM Go.
Per eseguire l'autenticazione in IAM, configura Credenziali predefinite dell'applicazione. Per saperne di più, consulta Prima di iniziare.
Java
Per scoprire come installare e utilizzare la libreria client per IAM, vedi librerie client IAM. Per maggiori informazioni, consulta la documentazione di riferimento dell'API IAM Java.
Per eseguire l'autenticazione in IAM, configura Credenziali predefinite dell'applicazione. Per saperne di più, consulta Prima di iniziare.
Python
Per scoprire come installare e utilizzare la libreria client per IAM, vedi librerie client IAM. Per maggiori informazioni, consulta la documentazione di riferimento dell'API IAM Python.
Per eseguire l'autenticazione in IAM, configura Credenziali predefinite dell'applicazione. Per saperne di più, consulta Prima di iniziare.
REST
Il metodo
serviceAccounts.delete
elimina un account di servizio.Prima di utilizzare i dati della richiesta, effettua le seguenti sostituzioni:
PROJECT_ID
: l'ID del tuo progetto Google Cloud. Gli ID progetto sono stringhe alfanumeriche comemy-project
.SA_ID
: l'ID del tuo account di servizio. Può trattarsi dell'indirizzo email dell'account di servizio nel moduloSA_NAME@PROJECT_ID.iam.gserviceaccount.com
o dell'ID numerico univoco dell'account di servizio.
Metodo HTTP e URL:
DELETE https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_ID
Per inviare la richiesta, espandi una di queste opzioni:
In caso di esito positivo, il corpo della risposta sarà vuoto.
Annullare l'eliminazione di un account di servizio
In alcuni casi, puoi utilizzare il comando
undelete
per annullare l'eliminazione di un account di servizio eliminato. Generalmente, puoi annullare l'eliminazione di un account di servizio eliminato se soddisfa i seguenti criteri:L'account di servizio è stato eliminato meno di 30 giorni fa.
Dopo 30 giorni, IAM rimuove definitivamente l'account di servizio. Google Cloud non può recuperare l'account di servizio dopo che è stato rimosso definitivamente, anche se invii una richiesta di assistenza.
Non esiste un account di servizio con lo stesso nome dell'account di servizio eliminato.
Ad esempio, supponiamo di aver eliminato accidentalmente l'account di servizio
my-service-account@project-id.iam.gserviceaccount.com
. Devi comunque avere un account di servizio con quel nome, quindi creane uno nuovo con lo stesso nome,my-service-account@project-id.iam.gserviceaccount.com
.Il nuovo account di servizio non eredita le autorizzazioni dell'account di servizio eliminato. Di fatto, è completamente separato da quello dell'account di servizio eliminato. Tuttavia, non puoi annullare l'eliminazione dell'account di servizio originale, perché il nuovo account di servizio ha lo stesso nome.
Per risolvere il problema, elimina il nuovo account di servizio, quindi prova ad annullare l'eliminazione dell'account di servizio originale.
Se non riesci ad annullare l'eliminazione dell'account di servizio, puoi creare un nuovo account di servizio con lo stesso nome, revocare tutti i ruoli dall'account di servizio eliminato e concedere gli stessi ruoli al nuovo account di servizio. Per maggiori dettagli, consulta Criteri con entità eliminate.
Trovare l'ID numerico di un account di servizio eliminato
Quando annulli l'eliminazione di un account di servizio, devi fornire il relativo ID numerico. L'ID numerico è un numero di 21 cifre, come
123456789012345678901
, che identifica in modo univoco l'account di servizio. Ad esempio, se elimini un account di servizio, creane uno nuovo con lo stesso nome. L'account di servizio originale e il nuovo account di servizio avranno ID numerici diversi.Se sai che un'associazione in un criterio di autorizzazione include l'account di servizio eliminato, puoi recuperare il criterio di autorizzazione e poi trovare l'ID numerico nel criterio di autorizzazione. L'ID numerico viene aggiunto al nome dell'account di servizio eliminato. Ad esempio, in questo criterio di autorizzazione, l'ID numerico dell'account di servizio eliminato è
123456789012345678901
:{ "version": 1, "etag": "BwUjMhCsNvY=", "bindings": [ { "members": [ "deleted:serviceAccount:my-service-account@project-id.iam.gserviceaccount.com?uid=123456789012345678901" ], "role": "roles/iam.serviceAccountUser" }, ] }
Gli ID numerici vengono aggiunti solo ai nomi delle entità eliminate.
In alternativa, puoi cercare negli audit log l'operazione
DeleteServiceAccount
che ha eliminato l'account di servizio:Nella console Google Cloud, vai alla pagina Esplora log.
Nell'editor query, inserisci la query seguente, sostituendo
SERVICE_ACCOUNT_EMAIL
con l'indirizzo email del tuo account di servizio (ad esempio,my-service-account@project-id.iam.gserviceaccount.com
):resource.type="service_account" resource.labels.email_id="SERVICE_ACCOUNT_EMAIL" "DeleteServiceAccount"
Se l'account di servizio è stato eliminato più di un'ora fa, fai clic su
Ultima ora, seleziona un periodo di tempo più lungo dall'elenco a discesa, quindi fai clic su Applica.Fai clic su Esegui query. Esplora log visualizza le operazioni
DeleteServiceAccount
che interessano gli account di servizio con il nome specificato.Trova e prendi nota dell'ID numerico dell'account di servizio eliminato in uno dei seguenti modi:
Se i risultati della ricerca includono una sola operazione
DeleteServiceAccount
, trova l'ID numerico nel campo ID univoco del riquadro Campi log.Se i risultati di ricerca mostrano più di un log:
Trova la voce di log corretta. Per trovare la voce di log corretta, fai clic sulla freccia di espansione
accanto a una voce di log. Esamina i dettagli della voce di log e determina se la voce di log mostra l'operazione che vuoi annullare. Ripeti questa procedura finché non trovi la voce di log corretta.Nella voce di log corretta, individua l'ID numerico dell'account di servizio. Per individuare l'ID numerico, espandi il campo
protoPayload
della voce di log, quindi trova il camporesourceName
.L'ID numerico è tutto ciò che segue
serviceAccounts
nel camporesourceName
.
Annulla l'eliminazione dell'account di servizio in base all'ID numerico
Dopo aver trovato l'ID numerico dell'account di servizio eliminato, puoi provare a annullarne l'eliminazione.
gcloud
-
Nella console Google Cloud, attiva Cloud Shell.
Nella parte inferiore della console Google Cloud viene avviata una sessione di Cloud Shell che mostra un prompt della riga di comando. Cloud Shell è un ambiente shell con Google Cloud CLI già installato e con valori già impostati per il progetto attuale. L'inizializzazione della sessione può richiedere alcuni secondi.
-
Esegui il comando
gcloud beta iam service-accounts undelete
per annullare l'eliminazione di un account di servizio.Comando:
gcloud beta iam service-accounts undelete ACCOUNT_ID
Output:
restoredAccount: email: SA_NAME@PROJECT_ID.iam.gserviceaccount.com etag: BwWWE7zpApg= name: projects/PROJECT_ID/serviceAccounts/SA_NAME@PROJECT_ID.iam.gserviceaccount.com oauth2ClientId: '123456789012345678901' projectId: PROJECT_ID uniqueId: 'ACCOUNT_ID'
REST
Il metodo
serviceAccounts.undelete
ripristina un account di servizio eliminato.Prima di utilizzare i dati della richiesta, effettua le seguenti sostituzioni:
PROJECT_ID
: l'ID del tuo progetto Google Cloud. Gli ID progetto sono stringhe alfanumeriche comemy-project
.SA_NUMERIC_ID
: l'ID numerico univoco dell'account di servizio.
Metodo HTTP e URL:
POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/SA_NUMERIC_ID:undelete
Per inviare la richiesta, espandi una di queste opzioni:
Se è possibile annullare l'eliminazione dell'account, riceverai un codice di risposta
200 OK
con i dettagli dell'account di servizio ripristinato, come riportato di seguito:{ "restoredAccount": { "name": "projects/my-project/serviceAccounts/my-service-account@my-project.iam.gserviceaccount.com", "projectId": "my-project", "uniqueId": "123456789012345678901", "email": "my-service-account@my-project.iam.gserviceaccount.com", "displayName": "My service account", "etag": "BwUp3rVlzes=", "description": "A service account for running jobs in my project", "oauth2ClientId": "987654321098765432109" } }
Passaggi successivi
- Scopri come elencare e modificare gli account di servizio.
- Esamina il processo per concedere ruoli IAM a tutti i tipi di entità, compresi gli account di servizio.
- Scopri come collegare gli account di servizio alle risorse.
Provalo
Se non conosci Google Cloud, crea un account per valutare le prestazioni dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $ di crediti gratuiti per l'esecuzione, il test e il deployment dei carichi di lavoro.
Inizia gratuitamenteSalvo quando diversamente specificato, i contenuti di questa pagina sono concessi in base alla licenza Creative Commons Attribution 4.0, mentre gli esempi di codice sono concessi in base alla licenza Apache 2.0. Per ulteriori dettagli, consulta le norme del sito di Google Developers. Java è un marchio registrato di Oracle e/o delle sue consociate.
Ultimo aggiornamento 2024-07-17 UTC.
[{ "type": "thumb-down", "id": "hardToUnderstand", "label":"Hard to understand" },{ "type": "thumb-down", "id": "incorrectInformationOrSampleCode", "label":"Incorrect information or sample code" },{ "type": "thumb-down", "id": "missingTheInformationSamplesINeed", "label":"Missing the information/samples I need" },{ "type": "thumb-down", "id": "translationIssue", "label":"Problema di traduzione" },{ "type": "thumb-down", "id": "otherDown", "label":"Altra" }] [{ "type": "thumb-up", "id": "easyToUnderstand", "label":"Facile da capire" },{ "type": "thumb-up", "id": "solvedMyProblem", "label":"Il problema è stato risolto" },{ "type": "thumb-up", "id": "otherUp", "label":"Altra" }]