Configurar a identidade do serviço para pools de workers

Nesta página, mostramos como configurar e visualizar a identidade do serviço que controla o acesso dos pools de trabalhadores do Cloud Run às APIs Google Cloud .

Um pool de trabalhadores do Cloud Run tem uma identidade de serviço usada como a conta autenticada para acessar as APIs do Google Cloud do contêiner da instância do Cloud Run. Para saber mais sobre a identidade de serviço, consulte o guia Introdução à identidade de serviço.

Como a identidade do serviço é usada

No Cloud Run, a identidade do serviço é uma conta de serviço que é um recurso e um principal.

  • Identidade de serviço como um recurso: para anexar uma conta de serviço como identidade de serviço, a conta do implantador precisa ter acesso ao recurso de identidade de serviço. Algumas operações, como criação ou atualização de um pool de workers, exigem que a conta do implantador tenha permissões no recurso de identidade do serviço.
  • Identidade do serviço como principal: para acessar as APIs do Google Cloud de um pool de trabalhadores do Cloud Run, conceda à identidade do serviço os papéis ou as permissões necessários para as operações que você quer que o pool de trabalhadores execute.

A próxima seção aborda os papéis necessários para conceder à conta do implantador acesso ao recurso de identidade de serviço e os papéis ou permissões que o principal da conta de serviço precisa.

Funções exigidas

Você ou seu administrador precisa conceder papéis e permissões do IAM para a conta do implantador e a identidade do serviço.

Clique para conferir os papéis necessários para a conta do implantador

Para receber as permissões necessárias para anexar uma conta de serviço como a identidade do serviço no pool de trabalhadores, você ou o administrador precisa conceder à conta do implantador o papel de Usuário da conta de serviço (roles/iam.serviceAccountUser) na conta de serviço usada como identidade.

Esse papel predefinido contém a permissão iam.serviceAccounts.actAs, que é necessária para anexar uma conta de serviço ao pool de trabalhadores. Também é possível conseguir essa permissão configurando papéis personalizados ou usando outros papéis predefinidos.

Para instruções sobre como conceder esse papel na identidade do serviço à conta do implantador, consulte as permissões de implantação. Se a conta de serviço estiver em um projeto diferente do pool de workers do Cloud Run, você ou seu administrador também precisarão configurar um papel do IAM para o agente de serviço do Cloud Run e definir uma política da organização. Consulte Usar contas de serviço em outros projetos para mais detalhes.

Clique para conferir os papéis necessários para a identidade do serviço

Para permitir que a identidade do serviço acesse as APIs do Google Cloud pelo Cloud Run, você ou seu administrador precisa conceder à identidade as permissões ou papéis exigidos pelas operações que você quer realizar. Para acessar bibliotecas de cliente específicas do Cloud, consulte a documentação do Google Cloud para o serviço Google Cloud .

Se um pool de workers do Cloud Run não acessar outros serviços do Google Cloud , não será necessário conceder papéis ou permissões à identidade do serviço e você poderá usar a conta de serviço padrão atribuída ao projeto.

Receber recomendações para criar contas de serviço dedicadas

Quando você cria uma nova conta de serviço no console Google Cloud , a etapa opcional "Conceder a essa conta de serviço acesso ao projeto" é para qualquer acesso adicional necessário. Por exemplo, um serviço do Cloud Run pode invocar outro serviço particular do Cloud Run ou pode acessar um banco de dados do Cloud SQL, ambos que exigem papéis específicos do IAM. Consulte a documentação sobre como gerenciar o acesso para mais informações.

O serviço do recomendador fornece recomendações automaticamente para criar contas de serviço dedicadas com o conjunto mínimo de permissões necessárias.

Configurar a identidade do serviço

Se você ainda não criou uma conta de serviço, é possível criar uma conta de serviço gerenciada pelo usuário no IAM ou no Cloud Run.

Para configurar uma identidade de serviço, use o console doGoogle Cloud ou a CLI gcloud:

Console

  1. No Google Cloud console, acesse o Cloud Run:

    Acessar o Cloud Run

  2. Selecione Pools de workers no menu e clique em Implantar contêiner para configurar um novo pool de workers. Se você estiver configurando um pool de workers atual, clique nele e em Editar e implantar nova revisão.

  3. Se você estiver configurando um novo pool de workers, preencha a página inicial do pool e clique em Contêineres, volumes, Rede e segurança para expandir a página de configuração de pools de workers.

  4. Clique na guia Segurança.

    imagem

    • Clique em Criar uma nova conta de serviço ou no menu suspenso Conta de serviço e selecione uma conta de serviço atual, se aplicável.

  5. Clique em Criar ou Implantar.

gcloud

Se você ainda não criou uma conta de serviço, crie uma conta de serviço gerenciada pelo usuário no IAM.

É possível atualizar um pool de workers atual para configurar uma conta de serviço usando o seguinte comando:

gcloud beta run worker-pools update WORKER_POOL --service-account SERVICE_ACCOUNT

Substitua:

  • WORKER_POOL: o nome do serviço.
  • SERVICE_ACCOUNT: a conta de serviço associada à conta de serviço associada à nova identidade. Esse valor é o endereço de e-mail da conta de serviço, no formato SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com, em que SERVICE_ACCOUNT_NAME é o nome da conta de serviço e PROJECT_ID é o ID do projeto. Também é possível definir uma conta de serviço durante a implantação usando o comando:
gcloud beta run worker-pools deploy WORKER_POOL --image IMAGE_URL --service-account SERVICE_ACCOUNT

Substitua:

  • WORKER_POOL: o nome do pool de workers.
  • IMAGE_URL: uma referência à imagem de contêiner que contém o pool de workers, como us-docker.pkg.dev/cloudrun/container/worker-pool:latest.
  • SERVICE_ACCOUNT: a conta de serviço associada à nova identidade. Esse valor é o endereço de e-mail da conta de serviço, no formato SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com.

Terraform

Para saber como aplicar ou remover uma configuração do Terraform, consulte Comandos básicos do Terraform.

resource "google_cloud_run_v2_worker_pool" "default" {
  name     = "WORKER_POOL"
  location = "REGION"
  launch_stage = "BETA"

  template {
    containers {
      image = "IMAGE_URL"
    }
  }
  service_account = "SERVICE_ACCOUNT"
}

Substitua:

  • WORKER_POOL: o nome do pool de workers.
  • REGION: a região Google Cloud , por exemplo, europe-west1.
  • IMAGE_URL: uma referência à imagem de contêiner que contém o pool de workers, como us-docker.pkg.dev/cloudrun/container/worker-pool:latest.
  • SERVICE_ACCOUNT: a conta de serviço associada à conta de serviço associada à nova identidade. Esse valor é o endereço de e-mail da conta de serviço, no formato SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com, em que SERVICE_ACCOUNT_NAME é o nome da conta de serviço e PROJECT_ID é o ID do projeto.

Usar contas de serviço em outros projetos

Se você configurar uma conta de serviço de um Google Cloud projeto diferente do recurso do Cloud Run, faça o seguinte:

  1. Você ou seu administrador precisa conceder o papel de usuário da conta de serviço (roles/iam.serviceAccountUser) na conta de serviço usada como a identidade do serviço.

    Console

    1. Acesse a página Contas de serviço do console Google Cloud :

      Acesse as Contas de serviço

    2. Selecione o endereço de e-mail da conta de serviço que você está usando como a identidade do serviço.

    3. Clique na guia Permissões.

    4. Clique no botão Permitir acesso.

    5. Insira o endereço de e-mail da conta do implantador que corresponde ao principal a que você está concedendo o papel de Administrador ou Desenvolvedor.

    6. Na lista suspensa Selecionar um papel, selecione o papel Contas de serviço > Usuário da conta de serviço.

    7. Clique em Salvar.

    gcloud

    Use o comando gcloud iam service-accounts add-iam-policy-binding, substituindo as variáveis destacadas pelos valores apropriados:

    gcloud iam service-accounts add-iam-policy-binding \
    SERVICE_ACCOUNT_NAME@SERVICE_ACCOUNT_PROJECT_ID.iam.gserviceaccount.com \
    --member="PRINCIPAL" \
    --role="roles/iam.serviceAccountUser"

    Substitua:

    • SERVICE_ACCOUNT_NAME: o nome da conta de serviço à qual você está anexando o recurso do Cloud Run.
    • SERVICE_ACCOUNT_PROJECT_ID: o ID do projeto em que a conta de serviço está localizada

    • PRINCIPAL: a conta do implantador a que você está adicionando a vinculação, usando o formato user|group|serviceAccount:email ou domain:domain. Por exemplo:

      • user:test-user@gmail.com
      • group:admins@example.com
      • serviceAccount:test123@example.domain.com
      • domain:example.domain.com

  2. Você ou seu administrador precisa conceder ao agente de serviço do recurso do Cloud Run o papel Criador de token da conta de serviço (roles/iam.serviceAccountTokenCreator) na conta de serviço usada como identidade de serviço. O agente de serviço segue o formato de service-PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com.

    Console

    1. Acesse a página Contas de serviço do console Google Cloud :

      Acesse as Contas de serviço

    2. Selecione o endereço de e-mail da conta de serviço que você está usando como a identidade do serviço.

    3. Clique na guia Permissões.

    4. Clique no botão Permitir acesso.

    5. Digite o endereço de e-mail do agente de serviço. Por exemplo: service-PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com.

    6. No menu suspenso Selecionar um papel, escolha o papel Contas de serviço > Criador de token de conta de serviço.

    7. Clique em Salvar.

    gcloud

    Use o comando gcloud iam service-accounts add-iam-policy-binding:

    gcloud iam service-accounts add-iam-policy-binding \
    SERVICE_ACCOUNT_NAME@SERVICE_ACCOUNT_PROJECT_ID.iam.gserviceaccount.com \
    --member="serviceAccount:service-CLOUD_RUN_RESOURCE_PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com" \
    --role="roles/iam.serviceAccountTokenCreator"

    Substitua:

    • SERVICE_ACCOUNT_NAME: o nome da conta de serviço à qual você está anexando o recurso do Cloud Run.
    • SERVICE_ACCOUNT_PROJECT_ID: o ID do projeto em que a conta de serviço está localizada
    • CLOUD_RUN_RESOURCE_PROJECT_NUMBER: o número do projeto em que o Cloud Run está localizado

    O comando imprime a política e permissão datualizada na conta de serviço gerenciada pelo usuário.

  3. O projeto que contém essa conta de serviço requer que a política organizacional iam.disableCrossProjectServiceAccountUsage seja definida como falsa ou não executada no nível da pasta ou herdada das configurações para envolvidos no projeto. Por padrão, essa opção é definida como true.

    Console

    1. Acesse a página Políticas da organização no console do Google Cloud :

      Acessar a página Políticas da organização

    2. No seletor de projeto, escolha a organização e o projeto em que você quer desativar o uso da conta de serviço entre projetos.

    3. Selecione a política desativar o uso de contas de serviço entre projetos.

    4. Clique em Gerenciar política.

    5. Em Origem da política, selecione Substituir política principal.

    6. Clique em Adicionar uma regra.

    7. Em Aplicação, selecione Desativada.

    8. Para aplicar a política, clique em Definir política.

    gcloud

    No projeto que tem a conta de serviço, verifique se a restrição de política da organização iam.disableCrossProjectServiceAccountUsage não foi aplicada. Essa restrição é aplicada por padrão.

    Para desativar essa restrição de política da organização, execute:

    gcloud resource-manager org-policies disable-enforce iam.disableCrossProjectServiceAccountUsage
    --project=SERVICE_ACCOUNT_PROJECT_ID

    Substitua SERVICE_ACCOUNT_PROJECT_ID pelo ID do projeto que contém a conta de serviço.

É possível aplicar associações de papéis diretamente ao recurso da conta de serviço ou herdar de níveis mais altos na hierarquia de recursos.

Ver a configuração da conta de serviço para o pool de workers

  1. No Google Cloud console, acesse o Cloud Run:

    Acessar o Cloud Run

  2. Clique em Pools de workers para mostrar a lista de pools de workers implantados.

  3. Clique no pool de workers que você quer examinar para mostrar o painel de detalhes.

  4. Clique na guia Segurança para mostrar informações de segurança do pool de workers, incluindo contas de serviço.

A seguir