Conceder permissão a um fluxo de trabalho para acessar os recursos do Google Cloud

O Workflows usa contas de serviço para dar aos fluxos de trabalho acesso aos recursos do Google Cloud. As contas de serviço são contas especiais que servem como identidade de uma pessoa, como uma função, um aplicativo ou uma VM. Eles oferecem uma maneira de autenticar essas pessoas. Uma conta de serviço pode ser considerada uma identidade e um recurso.

• Ao pensar em uma conta de serviço como uma identidade, atribua um papel a uma conta de serviço, permitindo que ela acesse um recurso (como um fluxo de trabalho).

• Ao pensar em uma conta de serviço como um recurso, conceda papéis a outros usuários para acessar ou gerenciar essa conta de serviço.

Uma conta de serviço é identificada por seu endereço de e-mail, que é exclusivo.

Para mais informações sobre como configurar a autenticação com um aplicativo de produção, consulte Autenticar como uma conta de serviço.

Conta padrão de serviço

Todo fluxo de trabalho está associado a uma conta de serviço do Identity and Access Management (IAM) no momento em que o fluxo é criado. Se você não especificar uma conta de serviço durante a criação do fluxo de trabalho, o fluxo de trabalho usará a conta de serviço padrão do Compute Engine como identidade. É possível verificar a conta de serviço associada a um fluxo de trabalho. Neste documento, consulte Verificar a conta de serviço associada a um fluxo de trabalho.

Recomendamos o uso da conta de serviço padrão apenas para teste e desenvolvimento.

Importante: para ambientes de produção, é altamente recomendável criar uma nova conta de serviço e conceder a ela um ou mais papéis do IAM com as permissões mínimas necessárias para gerenciar fluxos de trabalho. Não use a conta de serviço padrão, porque ela recebe automaticamente o papel básico de editor altamente privilegiado. Esse papel inclui um grande número de permissões. Para seguir o princípio do privilégio mínimo, recomendamos desativar a concessão automática de papéis adicionando uma restrição à política da organização ou revogando o papel de Editor manualmente. Se você desativar ou revogar a concessão de papel, precisará decidir quais papéis conceder à conta de serviço padrão.

Permissões de conta de serviço

Como as contas de serviço são identidades, é possível permitir que uma conta de serviço acesse recursos em seu projeto ao conceder a ela um papel, assim como você faria para qualquer outro principal. Por exemplo, se você quiser permitir que o fluxo de trabalho envie registros para o Cloud Logging, verifique se a conta de serviço que executa o fluxo de trabalho recebeu um papel que inclua a permissão logging.logEntries.create (por exemplo, o papel Logs Writer).

A conta de serviço do fluxo de trabalho não exige o papel workflows.invoker, a menos que o fluxo de trabalho invoque a si mesmo ou outros fluxos de trabalho (ou seja, crie novas execuções de fluxo de trabalho). Para mais informações, consulte Invocar fluxos de trabalho.

Para mais informações sobre como conceder papéis aos principais, incluindo contas de serviço, consulte Gerenciar o acesso a projetos, pastas e organizações.

Como anexar contas de serviço a recursos

Para criar um recurso e anexar uma conta de serviço, é preciso ter permissões para criar esse recurso e anexar a conta de serviço a ele. A permissão para anexar a conta de serviço a um recurso é fornecida por qualquer papel que inclua a permissão iam.serviceAccounts.actAs.

Para mais informações, consulte Papéis para a autenticação da conta de serviço.

Invocar o Cloud Functions (2nd gen)

No Cloud Functions (2nd gen), as permissões de invocação estão disponíveis pelo gerenciamento do serviço do Cloud Run subjacente. Se o fluxo de trabalho estiver invocando um serviço do função do Cloud (2a geração), não será necessário conceder o papel de Invocador do Cloud Functions (roles/cloudfunctions.invoker) à conta de serviço do autor da chamada. Em vez disso, é necessário conceder o papel de invocador do Cloud Run (roles/run.invoker).

Para mais informações, consulte Comparação de versões do Cloud Functions.

Implantar um fluxo de trabalho com uma conta de serviço personalizada

É possível criar sua própria conta de serviço gerenciado pelo usuário para ter mais flexibilidade no controle do acesso ao seu fluxo de trabalho.

1. Crie uma conta de serviço e anote o nome dela.

2. Conceda à conta de serviço os papéis adequados com base nos recursos que o fluxo de trabalho precisa acessar para realizar o trabalho.

3. Verifique se todos os principais que implantam fluxos de trabalho conseguem anexar a conta de serviço aos recursos. Se você criou a conta de serviço, recebe essa permissão automaticamente. Para mais informações, consulte Papéis para autenticação de conta de serviço.

   Para ter a permissão necessária para anexar uma conta de serviço a um recurso, peça ao administrador para conceder a você o papel do IAM de Usuário da conta de serviço (roles/iam.serviceAccountUser) no seu projeto ou na conta de serviço. Para mais informações sobre como conceder papéis, consulte Gerenciar acesso.

   Esse papel predefinido contém a permissão iam.serviceAccounts.actAs, que é necessária para anexar uma conta de serviço a um recurso.

   Também é possível conseguir essa permissão com papéis personalizados ou outros papéis predefinidos.

   Conceda o papel no projeto:

   gcloud projects add-iam-policy-binding WORKFLOWS_PROJECT_ID \
       --member=PRINCIPAL \
       --role='roles/iam.serviceAccountUser'

   Também é possível conceder o papel na conta de serviço:

   gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_RESOURCE_NAME \
       --member=PRINCIPAL \
       --role='roles/iam.serviceAccountUser'

   Substitua:

   • WORKFLOWS_PROJECT_ID: o ID do projeto do Google Cloud que contém os recursos do fluxo de trabalho

   • PRINCIPAL: um identificador para o implantador de fluxo de trabalho no formato user|group|serviceAccount:email ou domain:domain. Exemplo:

     • user:[e-mail]
     • group:[e-mail]
     • serviceAccount:[e-mail]
     • domain:example.domain.com

   • SERVICE_ACCOUNT_RESOURCE_NAME: o nome completo do recurso da conta de serviço. Exemplo:

     projects/SERVICE_ACCOUNT_PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_NAME@SERVICE_ACCOUNT_PROJECT_ID.iam.gserviceaccount.com

     Em que:

     • SERVICE_ACCOUNT_PROJECT_ID é o ID do projeto do Google Cloud que contém a conta de serviço.
     • SERVICE_ACCOUNT_NAME é o nome da conta de serviço.

4. Implante seu fluxo de trabalho usando a conta de serviço personalizada.

Implantar um fluxo de trabalho com uma conta de serviço entre projetos

Por padrão, não é possível criar uma conta de serviço em um projeto e anexá-la a um recurso em outro projeto. As instruções a seguir mostram como anexar uma conta de serviço em um projeto a um fluxo de trabalho em outro. Assim, é possível usar essa conta de serviço em diferentes projetos para implantar um fluxo de trabalho.

Se a conta de serviço e os recursos do fluxo de trabalho estiverem em projetos diferentes, no projeto em que a conta de serviço está localizada, conclua o seguinte:

1. No console do Google Cloud, acesse a página Políticas da organização:

   Acessar as políticas da organização

   Verifique a política da organização para o projeto e garanta que a restrição booleana iam.disableCrossProjectServiceAccountUsage não seja aplicada. Para mais informações, consulte Ativar contas de serviço para serem anexadas entre projetos.

2. Crie uma conta de serviço e anote o nome dela.

3. Conceda à conta de serviço os papéis adequados com base nos recursos que o fluxo de trabalho precisa acessar para realizar o trabalho.

4. Conceda o papel Criador de token da conta de serviço (roles/iam.serviceAccountTokenCreator) ao agente de serviço do Workflows. Isso permite que o agente de serviço gerencie o acesso entre projetos para a conta de serviço. Um agente de serviço é a identidade de um determinado serviço do Google Cloud para um projeto específico. Para mais informações, consulte Agentes de serviços.

   Console

   1. No console do Google Cloud, acesse a página Fluxos de trabalho:

      Acessar fluxos de trabalho

   2. Clique em Criar para gerar um fluxo de trabalho ou selecione o nome do fluxo que você quer atualizar.

   3. Na lista Conta de serviço, clique em Alternar projeto.

   4. Selecione uma conta de serviço de um projeto diferente.

   5. Se solicitado, conceda o papel roles/iam.serviceAccountTokenCreator ao agente de serviço do Workflows.

   gcloud

   1. Conceda o papel roles/iam.serviceAccountTokenCreator ao agente de serviço do Workflows:

      gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_RESOURCE_NAME \
          --member='serviceAccount:[e-mail]' \
          --role='roles/iam.serviceAccountTokenCreator'

      Substitua:

      • SERVICE_ACCOUNT_RESOURCE_NAME: o nome completo do recurso da conta de serviço. Exemplo:

        projects/SERVICE_ACCOUNT_PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_NAME@SERVICE_ACCOUNT_PROJECT_ID.iam.gserviceaccount.com

        Em que:

        • SERVICE_ACCOUNT_PROJECT_ID é o ID do projeto do Google Cloud que contém a conta de serviço.
        • SERVICE_ACCOUNT_NAME é o nome da conta de serviço.

      • WORKFLOWS_PROJECT_NUMBER: o número do projeto do Google Cloud que contém os recursos do fluxo de trabalho.

5. Verifique se todos os principais que implantam fluxos de trabalho conseguem anexar a conta de serviço aos recursos. Se você criou a conta de serviço, recebe essa permissão automaticamente. Para mais informações, consulte Papéis para autenticação de conta de serviço.

   Para ter a permissão necessária para anexar uma conta de serviço a um recurso, peça ao administrador para conceder a você o papel do IAM de Usuário da conta de serviço (roles/iam.serviceAccountUser) no seu projeto ou na conta de serviço. Para mais informações sobre como conceder papéis, consulte Gerenciar acesso.

   Esse papel predefinido contém a permissão iam.serviceAccounts.actAs, que é necessária para anexar uma conta de serviço a um recurso.

   Também é possível conseguir essa permissão com papéis personalizados ou outros papéis predefinidos.

   Console

   1. No console do Google Cloud, acesse a página Fluxos de trabalho:

      Acessar fluxos de trabalho

   2. Clique em Criar para gerar um fluxo de trabalho ou selecione o nome do fluxo que você quer atualizar.

   3. Na lista Conta de serviço, clique em Alternar projeto.

   4. Selecione uma conta de serviço de um projeto diferente.

   5. Se solicitado, conceda o papel roles/iam.serviceAccountUser no projeto.

   gcloud

   Conceda o papel no projeto:

   gcloud projects add-iam-policy-binding WORKFLOWS_PROJECT_ID \
       --member=PRINCIPAL \
       --role='roles/iam.serviceAccountUser'

   Também é possível conceder o papel na conta de serviço:

   gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_RESOURCE_NAME \
       --member=PRINCIPAL \
       --role='roles/iam.serviceAccountUser'

   Substitua:

   • WORKFLOWS_PROJECT_ID: o ID do projeto do Google Cloud que contém os recursos do fluxo de trabalho
   • PRINCIPAL: um identificador para o implantador de fluxo de trabalho no formato user|group|serviceAccount:email ou domain:domain. Exemplo:
     • user:[e-mail]
     • group:[e-mail]
     • serviceAccount:[e-mail]
     • domain:example.domain.com

   • SERVICE_ACCOUNT_RESOURCE_NAME: o nome completo do recurso da conta de serviço. Exemplo:

     projects/SERVICE_ACCOUNT_PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_NAME@SERVICE_ACCOUNT_PROJECT_ID.iam.gserviceaccount.com

     Em que:

     • SERVICE_ACCOUNT_PROJECT_ID é o ID do projeto do Google Cloud que contém a conta de serviço.
     • SERVICE_ACCOUNT_NAME é o nome da conta de serviço.

6. Implante seu fluxo de trabalho usando a conta de serviço entre projetos.

Verificar a conta de serviço associada a um fluxo de trabalho

É possível verificar qual conta de serviço está associada a um fluxo de trabalho específico.

Console

1. No console do Google Cloud, acesse a página Fluxos de trabalho.

   Acessar fluxos de trabalho

2. Na página Fluxos de trabalho, clique no nome do fluxo de trabalho.

3. Na página Detalhes do fluxo de trabalho, clique na guia Detalhes.

   A conta de serviço associada ao fluxo de trabalho é exibida.

gcloud

1. Abra um terminal.

2. Digite este comando:

   gcloud workflows describe MY_WORKFLOW
   

   Substitua MY_WORKFLOW pelo nome do seu fluxo de trabalho.

   Uma descrição completa do fluxo de trabalho, incluindo a conta de serviço associada, é retornada. Exemplo:

   createTime: '2020-06-05T23:45:34.154213774Z'
   name: projects/myProject/locations/us-central1/workflows/myWorkflow
   serviceAccount: projects/my-project/serviceAccounts/[e-mail]
   sourceContents: [...]

A seguir

• Gerenciar o acesso a projetos, pastas e organizações

• Fazer solicitações autenticadas de um fluxo de trabalho

• Papéis e permissões do Workflows