Configurer l'identité du service

Un job Cloud Run possède une identité de service utilisée comme compte authentifié pour accéder aux API Google Cloud à partir de votre conteneur d'instances Cloud Run. Pour en savoir plus sur l'identité de service, consultez le guide Présentation de l'identité de service.

Utilisation de l'identité de service

Dans Cloud Run, l'identité de service est un compte de service qui est à la fois une ressource et un compte principal.

  • Identité de service en tant que ressource : pour associer un compte de service en tant qu'identité de service, le compte déployeur doit avoir accès à la ressource d'identité de service. Certaines opérations, telles que la création ou la mise à jour d'un job, nécessitent que le compte déployeur dispose d'autorisations sur la ressource d'identité de service.
  • Identité de service en tant que compte principal : pour accéder aux API Google Cloud à partir d'un job Cloud Run, vous devez accorder à l'identité de service les rôles ou les autorisations nécessaires pour les opérations que vous souhaitez que le job effectue.

La section suivante décrit les rôles requis pour accorder au compte de déploiement l'accès à la ressource d'identité du service et accorder l'accès au compte de service principal.

Rôles requis

Vous ou votre administrateur devez attribuer des rôles et des autorisations IAM pour le compte déployeur et l'identité de service.

Cliquez ici pour afficher les rôles requis pour le compte déployeur

Pour obtenir les autorisations nécessaires pour associer un compte de service en tant qu'identité de service sur le job, vous ou votre administrateur devez attribuer à votre compte déployeur le rôle Utilisateur du compte de service (roles/iam.serviceAccountUser) sur le compte de service utilisé comme identité de service.

Ce rôle prédéfini contient l'autorisation iam.serviceAccounts.actAs, qui est requise pour associer un compte de service sur le job. Vous pouvez également obtenir cette autorisation en configurant des rôles personnalisés ou en utilisant d'autres rôles prédéfinis.

Pour savoir comment attribuer au compte déployeur ce rôle sur l'identité de service, consultez la section Autorisations de déploiement. Si le compte de service se trouve dans un projet différent du job Cloud Run, vous ou votre administrateur devez également configurer un rôle IAM pour l'agent de service Cloud Run et configurer une règle d'administration. Pour en savoir plus, consultez la section Utiliser des comptes de service dans d'autres projets.

Cliquez ici pour afficher les rôles requis pour l'identité de service

Pour autoriser l'identité de service à accéder aux API Google Cloud à partir de Cloud Run, vous ou votre administrateur devez lui attribuer les autorisations ou rôles requis par les opérations que vous souhaitez effectuer. Pour accéder à des bibliothèques clientes Cloud spécifiques, reportez-vous à la documentation Google Cloud concernant le service Google Cloud.

Si un job Cloud Run n'accède pas à d'autres services Google Cloud, vous n'avez pas besoin d'attribuer de rôles ni d'autorisations à l'identité du service, et vous pouvez utiliser le compte de service par défaut attribué au projet.

Obtenir des recommandations pour créer des comptes de service dédiés

Lorsque vous créez un compte de service à partir de la console Google Cloud, l'étape facultative "Autoriser ce compte de service à accéder au projet" concerne tout accès supplémentaire requis. Par exemple, un service Cloud Run peut appeler un autre service Cloud Run privé ou il peut avoir besoin d'accéder à une base de données Cloud SQL, et ces actions nécessitent toutes deux des rôles IAM spécifiques. Pour en savoir plus, consultez la documentation sur la gestion des accès.

L'outil de recommandation fournit automatiquement des recommandations pour la création d'un compte de service dédié avec un ensemble minimal d'autorisations requises.

Configurer l'identité du service

Pour configurer ou spécifier l'identité du service dans Cloud Run, utilisez la console Google Cloud, gcloud CLI ou l'API (YAML) lorsque vous créez et exécutez un nouveau job :

Console

  1. Dans la console Google Cloud, accédez à la page des jobs Cloud Run :

    Accédez à Cloud Run

  2. Cliquez sur Déployer un conteneur, puis sélectionnez Job pour remplir la page initiale des paramètres du job. Si vous configurez un job existant, cliquez sur celui-ci, puis sur Modifier.

  3. Cliquez sur Conteneur, variables et secrets, connexions, sécurité pour développer la page des propriétés du job.

  4. Cliquez sur l'onglet Sécurité.

    image

    • Cliquez sur le menu déroulant Compte de service et sélectionnez un compte de service existant ou cliquez sur Créer un compte de service, le cas échéant.

  5. Cliquez sur Créer ou Mettre à jour.

gcloud

Vous pouvez créer un nouveau job et spécifier un compte de service à l'aide de la commande suivante :

gcloud run jobs create JOB_NAME --service-account SERVICE_ACCOUNT

Remplacez :

  • JOB_NAME par le nom de votre service.
  • SERVICE_ACCOUNT par le compte de service associé à la nouvelle identité. Cette valeur correspond à l'adresse e-mail du compte de service, par exemple example@myproject.iam.gserviceaccount.com.

Vous pouvez mettre à jour un job existant de façon à disposer d'un nouveau compte de service à l'aide de la commande suivante :

gcloud run jobs update JOB_NAME --image IMAGE_URL --service-account SERVICE_ACCOUNT

Remplacez :

  • IMAGE_URL par une référence à l'image de conteneur, par exemple us-docker.pkg.dev/cloudrun/container/hello:latest. Si vous utilisez Artifact Registry, le dépôt REPO_NAME doit déjà être créé. L'URL se présente sous la forme suivante : LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG.
  • SERVICE_ACCOUNT par le compte de service associé à la nouvelle identité. Cette valeur correspond à l'adresse e-mail du compte de service, par exemple SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com.

YAML

Si vous n'avez pas encore créé de compte de service, vous pouvez créer un compte de service géré par l'utilisateur dans IAM.

  1. Si vous créez un job, ignorez cette étape. Si vous mettez à jour un job existant, téléchargez sa configuration YAML :

    gcloud run jobs describe JOB_NAME --format export > job.yaml

  2. Mettez à jour l'attribut serviceAccountName: :

    apiVersion: run.googleapis.com/v1
kind: Job
metadata:
  name: JOB_NAME
spec:
  template:
    spec:
      template:
        spec:
          serviceAccountName: SERVICE_ACCOUNT

    Remplacer

    • JOB_NAME par le nom de votre tâche Cloud Run
    • SERVICE_ACCOUNT par le compte de service associé à la nouvelle identité. Cette valeur correspond à l'adresse e-mail du compte de service, par exemple SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com.

  3. Mettez à jour la configuration de tâche existante :

    gcloud run jobs replace job.yaml

Utiliser des comptes de service dans d'autres projets

Si vous configurez un compte de service à partir d'un autre projet Google Cloud que la ressource Cloud Run, procédez comme suit :

  1. Vous ou votre administrateur devez attribuer le rôle Utilisateur du compte de service (roles/iam.serviceAccountUser) sur le compte de service que vous utilisez comme identité de service.

    Console

    1. Accédez à la page Comptes de service de Google Cloud Console :

      Accéder à la page "Comptes de service"

    2. Sélectionnez l'adresse e-mail du compte de service que vous utilisez comme identité de service.

    3. Cliquez sur l'onglet Autorisations.

    4. Cliquez sur le bouton Accorder l'accès.

    5. Saisissez l'adresse e-mail du compte déployeur correspondant au compte principal auquel vous attribuez le rôle Administrateur ou Développeur.

    6. Dans la liste déroulante Sélectionner un rôle, sélectionnez le rôle Comptes de service > Utilisateur du compte de service.

    7. Cliquez sur Enregistrer.

    gcloud

    Exécutez la commande gcloud iam service-accounts add-iam-policy-binding en remplaçant les variables en surbrillance par les valeurs appropriées :

    gcloud iam service-accounts add-iam-policy-binding \
    SERVICE_ACCOUNT_NAME@SERVICE_ACCOUNT_PROJECT_ID.iam.gserviceaccount.com \
    --member="PRINCIPAL" \
    --role="roles/iam.serviceAccountUser"

    Remplacez :

    • SERVICE_ACCOUNT_NAME : nom du compte de service auquel vous associez la ressource Cloud Run
    • SERVICE_ACCOUNT_PROJECT_ID : ID du projet dans lequel se trouve le compte de service

    • PRINCIPAL par le compte déployeur pour lequel vous ajoutez la liaison, au format user|group|serviceAccount:email ou domain:domain. Exemple :

      • user:test-user@gmail.com
      • group:admins@example.com
      • serviceAccount:test123@example.domain.com
      • domain:example.domain.com

  2. Vous ou votre administrateur devez accorder à l'agent de service de la ressource Cloud Run le rôle de créateur de jetons du compte de service (roles/iam.serviceAccountTokenCreator) sur le compte de service que vous utilisez comme identité de service. L'agent de service respecte le format service-PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com.

    Console

    1. Accédez à la page Comptes de service de Google Cloud Console :

      Accéder à la page "Comptes de service"

    2. Sélectionnez l'adresse e-mail du compte de service que vous utilisez comme identité de service.

    3. Cliquez sur l'onglet Autorisations.

    4. Cliquez sur le bouton Accorder l'accès.

    5. Saisissez l'adresse e-mail de l'agent de service. Exemple : service-PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com.

    6. Dans la liste déroulante Sélectionner un rôle, sélectionnez le rôle Comptes de service > Créateur de jetons du compte de service.

    7. Cliquez sur Enregistrer.

    gcloud

    Exécutez la commande gcloud iam service-accounts add-iam-policy-binding :

    gcloud iam service-accounts add-iam-policy-binding \
    SERVICE_ACCOUNT_NAME@SERVICE_ACCOUNT_PROJECT_ID.iam.gserviceaccount.com \
    --member="serviceAccount:service-CLOUD_RUN_RESOURCE_PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com" \
    --role="roles/iam.serviceAccountTokenCreator"

    Remplacez les valeurs suivantes :

    • SERVICE_ACCOUNT_NAME : nom du compte de service auquel vous associez la ressource Cloud Run
    • SERVICE_ACCOUNT_PROJECT_ID : ID du projet dans lequel se trouve le compte de service
    • CLOUD_RUN_RESOURCE_PROJECT_NUMBER : numéro du projet dans lequel se trouve l'environnement Cloud Run.

    La commande affiche la stratégie d'autorisation mise à jour du compte de service géré par l'utilisateur.

  3. Le projet contenant ce compte de service nécessite que la règle d'organisation iam.disableCrossProjectServiceAccountUsage soit définie sur false ou non appliquée au niveau du dossier ou héritée des paramètres au niveau du projet. Par défaut, cette valeur est définie sur true.

    Console

    1. Accédez à la page Règles d'administration dans la console Google Cloud :

      Accéder à la page Règles d'administration

    2. Dans le sélecteur de projets, sélectionnez l'organisation et le projet pour lesquels vous souhaitez désactiver l'utilisation des comptes de service multiprojets.

    3. Sélectionnez la règle Désactiver l'utilisation des comptes de service multiprojets.

    4. Cliquez sur Gérer la règle.

    5. Sous Source de la règle, sélectionnez Remplacer la règle parente.

    6. Cliquez sur Ajouter une règle.

    7. Sous Application, sélectionnez Désactivé.

    8. Pour appliquer la règle, cliquez sur Définir la règle.

    gcloud

    Dans le projet contenant le compte de service, assurez-vous que la contrainte de règle d'administration iam.disableCrossProjectServiceAccountUsage n'est pas appliquée. Cette contrainte est appliquée par défaut.

    Pour désactiver cette contrainte de règle d'administration, exécutez la commande suivante :

    gcloud resource-manager org-policies disable-enforce iam.disableCrossProjectServiceAccountUsage
    --project=SERVICE_ACCOUNT_PROJECT_ID

    Remplacez SERVICE_ACCOUNT_PROJECT_ID par l'ID du projet contenant le compte de service.

Vous pouvez attribuer des rôles directement à la ressource du compte de service ou hériter des niveaux supérieurs de la hiérarchie des ressources.

Étapes suivantes