Questa pagina descrive gli account di servizio in Google Kubernetes Engine (GKE), che forniscono identità per le applicazioni.
Gli account di servizio sono identità destinate all'uso da parte delle applicazioni anziché delle persone. In GKE, interagisci con gli account di servizio Kubernetes e con gli account di servizio Identity and Access Management.
Account di servizio Kubernetes e account di servizio IAM
La seguente tabella descrive le principali differenze tra gli account di servizio Kubernetes e gli account di servizio IAM:
| Tipi di account di servizio in GKE | |
|---|---|
| Account di servizio Kubernetes |
|
| Account di servizio IAM |
|
Account di servizio Kubernetes
Gli account di servizio Kubernetes sono gestiti a livello di cluster ed esistono nel
server API Kubernetes come oggetti ServiceAccount. La documentazione di Kubernetes e la documentazione di GKE spesso usano il termine ServiceAccount per distinguere queste risorse Kubernetes dagli account di servizio in altri ambienti come IAM.
Puoi creare un ServiceAccount Kubernetes in uno spazio dei nomi, quindi assegnarlo a un pod utilizzando il campo serviceAccountName nel manifest del pod. Il processo kubelet sul nodo riceve un token di connessione di breve durata per l'account ServiceAccount assegnato e monta il token come volume previsto nel pod.
- Per apprendere le nozioni di base su Kubernetes ServiceAccounts, consulta la documentazione di Kubernetes su Account di servizio.
- Per scoprire come creare nuovi ServiceAccounts, concedere le autorizzazioni utilizzando controllo dell'accesso basato sui ruoli (RBAC) e assegnare ServiceAccount ai pod, consulta Configurare gli account di servizio per i pod.
- Per le best practice per la gestione di Kubernetes ServiceAccounts, consulta Best practice per RBAC.
Rotazione delle credenziali dell'account di servizio Kubernetes
Se le credenziali di un account di servizio Kubernetes vengono compromesse, utilizza una delle seguenti opzioni per revocare le credenziali:
- Ricrea i pod: il token di connessione è associato a ogni UID univoco del pod, quindi la ricreazione dei pod rende non valide le credenziali precedenti.
- Ricreare l'account di servizio Kubernetes: il token di connessione è associato all'UID dell'oggetto ServiceAccount nell'API Kubernetes. Elimina il ServiceAccount e creane uno nuovo con lo stesso nome. I token precedenti non sono più validi perché l'UID del nuovo ServiceAccount è diverso.
- Esegui una rotazione delle credenziali: questa operazione revoca tutte le credenziali dell'account di servizio Kubernetes nel cluster. La rotazione modifica anche il certificato CA e l'indirizzo IP del cluster. Per maggiori dettagli, consulta la pagina relativa alla rotazione delle credenziali.
Account di servizio IAM
Gli account di servizio IAM sono gestiti a livello di progetto utilizzando l'API IAM. Puoi utilizzare questi account di servizio per eseguire azioni come la chiamata programmatica alle API Google Cloud e la gestione delle autorizzazioni per le applicazioni in esecuzione nei prodotti Google Cloud.
Per saperne di più, consulta la panoramica degli account di servizio IAM.
Agenti di servizio GKE
Un agente di servizio IAM è un account di servizio IAM gestito da Google Cloud.
GKE utilizza l'agente di servizio Kubernetes Engine per gestire per tuo conto il ciclo di vita delle risorse del cluster, come nodi, dischi e bilanciatori del carico. Questo agente di servizio appartiene al dominio container-engine-robot.iam.gserviceaccount.com e gli viene assegnato il ruolo di Agente di servizio Kubernetes Engine (roles/container.serviceAgent) per il tuo progetto quando abiliti l'API GKE.
L'identificatore di questo agente di servizio è il seguente:
service-PROJECT_NUMBER@container-engine-robot.iam.gserviceaccount.com
PROJECT_NUMBER è il numero di progetto numerico.
Se disabiliti l'agente di servizio GKE, puoi recuperarlo seguendo le istruzioni in Abilitazione di un account di servizio.
Se rimuovi le autorizzazioni dell'agente di servizio nel progetto, puoi recuperarle seguendo le istruzioni in Errore 400/403: autorizzazioni di modifica mancanti nell'account.
Se elimini l'agente di servizio GKE, puoi annullarne l'eliminazione seguendo le istruzioni in Annullare l'eliminazione di un account di servizio.
Account di servizio del nodo GKE predefinito
Per impostazione predefinita, i nodi GKE utilizzano l'account di servizio predefinito di Compute Engine.
Per impostazione predefinita, a questo account di servizio viene concesso il ruolo Editor (roles/editor) e ha più autorizzazioni di quelle necessarie per i nodi GKE.
Valuta la possibilità di utilizzare un ruolo che utilizzi le autorizzazioni minime necessarie per eseguire i nodi nel cluster.
Non disabilitare l'account di servizio Compute Engine predefinito a meno che tu non esegua la migrazione agli account di servizio gestiti dall'utente.
Autorizzazioni minime
GKE richiede un set minimo di autorizzazioni IAM per utilizzare il cluster. Per istruzioni su come creare un account di servizio IAM con privilegi minimi, consulta Utilizzare gli account di servizio Google con privilegio minimo minimi.
Quando utilizzare un account di servizio specifico
Il tipo di account di servizio utilizzato dipende dal tipo di identità che vuoi fornire per le tue applicazioni, come segue:
- Fornisci un'identità per i tuoi pod da utilizzare nel cluster: utilizza un
account di servizio Kubernetes. Ogni spazio dei nomi Kubernetes ha un ServiceAccount
default, ma ti consigliamo di creare nuovi ServiceAccount con privilegi minimi per ciascun carico di lavoro in ogni spazio dei nomi. - Fornisci un'identità per i tuoi pod da utilizzare all'esterno del cluster: utilizza Federazione delle identità per i carichi di lavoro per GKE. La federazione di Workload Identity per GKE consente di specificare risorse Kubernetes come ServiceAccounts come entità nei criteri IAM. Ad esempio, utilizza la federazione di Workload Identity per GKE quando chiami API Google Cloud come Secret Manager o Spanner dai tuoi pod.
- Fornisci un'identità predefinita per i tuoi nodi: utilizza un account di servizio IAM personalizzato con privilegi minimi quando crei i tuoi cluster o nodi GKE. Se non usi un account di servizio IAM personalizzato, GKE utilizza l'account di servizio predefinito di Compute Engine, che dispone di autorizzazioni estese all'interno del tuo progetto.
Passaggi successivi
- Scopri come utilizzare gli account di servizio Google con privilegi minimi.
- Scopri come concedere un ruolo a un'entità.