Configurare gli account di servizio App Engine

Le applicazioni App Engine richiedono un service account per accedere ad altri Google Cloud servizi ed eseguire attività.

Esistono due tipi di service account in App Engine e qualsiasi account di servizio nel tuo progetto Cloud può essere assegnato per fungere da account di servizio predefinito a livello di app o per versione:

• Service account predefinito a livello di app : questo account di servizio viene utilizzato per tutti i servizi di cui hai eseguito il deployment quando non configuri un "account di servizio per versione". Puoi scegliere di assegnare un account di servizio che hai creato o utilizzare il service account predefinito creato automaticamente che viene creato quando esegui il deployment iniziale di un servizio nel tuo progetto Cloud. Ad esempio, il service account predefinito di App Engine ([e-mail]).

• Service account per versione : un account di servizio configurato come identità per una versione specifica del servizio di cui hai eseguito il deployment. Quando esegui il deployment di una versione esistente o di una nuova versione, puoi specificare un account di servizio che funga da identità della versione. Ad esempio, se una versione richiede autorizzazioni diverse dal account di servizio predefinito a livello di app, puoi assegnare un account di servizio specifico per quella versione.

Visualizzare i service account configurati

Per visualizzare il account di servizio predefinito a livello di app corrente, esegui il comando gcloud app describe.

Per visualizzare il account di servizio utilizzato da una versione di cui hai eseguito il deployment:

gcloud

Esegui il comando gcloud app versions describe:

  gcloud app versions describe VERSION_ID --service=SERVICE_NAME

Sostituisci:

• VERSION_ID con l'ID della versione.
• SERVICE_NAME con il nome del servizio che hai creato.

Console

1. Vai alla scheda Versioni di App Engine nella console. Vai a Versioni
2. Individua l'indirizzo email del account di servizio specifico della versione di App Engine. Esempio: SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

Assegnare un account di servizio predefinito a livello di app

Per impostazione predefinita, il account di servizio predefinito a livello di app è il account di servizio creato automaticamente [e-mail]. Puoi assegnare un altro service account che funga da account di servizio predefinito a livello di app utilizzando Google Cloud CLI, Google Cloud la console o l'API Admin.

Specificare un account di servizio predefinito a livello di app durante la creazione dell'app

Durante la procedura di creazione iniziale dell'applicazione App Engine, puoi scegliere di assegnare un account di servizio che hai creato o utilizzare il account di servizio creato automaticamente [e-mail] come predefinito.

Per creare l'applicazione App Engine e assegnare un account di servizio predefinito a livello di app, puoi utilizzare uno dei seguenti:

gcloud

Esegui il comando gcloud app create:

gcloud app create --service-account=SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

Sostituisci:

• SERVICE_ACCOUNT_NAME con il nome del account di servizio che hai creato.
• PROJECT_ID con l'ID del Google Cloud progetto in cui vuoi assegnare il account di servizio.

Console

1. Vai alla pagina App Engine:

   Vai ad App Engine

2. Crea un Google Cloud progetto.

3. Nella sezione Crea app, seleziona un account di servizio da Identità e accesso API.

Aggiornare il account di servizio predefinito a livello di app per la tua app

Per aggiornare il account di servizio predefinito a livello di app per la tua applicazione, puoi utilizzare uno dei seguenti metodi per assegnare un nuovo account di servizio:

Importante: solo le versioni di cui è stato eseguito il deployment dopo l'aggiornamento utilizzeranno il nuovo account di servizio predefinito a livello di app. Tutte le versioni di cui è stato eseguito il deployment in precedenza non utilizzeranno il nuovo account di servizio predefinito a livello di app finché non esegui di nuovo il deployment della versione.

gcloud

Esegui il comando gcloud app update.

    gcloud app update --service-account=SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

Sostituisci:

• SERVICE_ACCOUNT_NAME con il nome del account di servizio che hai creato.
• PROJECT_ID con l'ID del Google Cloud progetto in cui vuoi assegnare il account di servizio.

Ogni nuova versione di cui esegui il deployment in seguito utilizza il nuovo service account predefinito a livello di app, a meno che tu non assegni esplicitamente un account di servizio specifico della versione.

Console

1. Vai alla scheda Impostazioni applicazione di App Engine nella console e fai clic su Modifica impostazioni applicazione.

   Vai a Impostazioni applicazione

2. Scegli un account di servizio predefinito a livello di app da Seleziona un service account e fai clic su Salva.

   Verrà visualizzata la scheda Impostazioni applicazione , dove potrai visualizzare l'indirizzo email del account di servizio predefinito a livello di app aggiornato. Esempio: SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com.

   Ogni nuova versione di cui esegui il deployment in seguito utilizza il nuovo service account predefinito a livello di app, a meno che tu non assegni esplicitamente un account di servizio specifico della versione.

Eseguire il deployment con un account di servizio specifico della versione

Puoi impostare un account di servizio specifico della versione solo durante il deployment di nuove versioni. L'utilizzo di un account di servizio specifico della versione ti consente di concedere privilegi diversi a ogni versione dell'applicazione, in base alle attività specifiche che esegue, ed evitare di concedere più privilegi del necessario.

Prima di eseguire il deployment dell'applicazione, devi avere un service accountesistente. Il account di servizio specifico della versione deve trovarsi nello stesso progetto in cui esegui il deployment dell'applicazione.

Nota: se un account di servizio specifico della versione è specificato sia nel file app.yaml sia in Google Cloud CLI, l'impostazione di Google Cloud CLI ha la precedenza.

gcloudgcloud

Dopo il 15 maggio 2024, Artifact Registry ospiterà le immagini per il dominio gcr.io in Google Cloud progetti senza precedente utilizzo di Container Registry. Se esegui il deployment di un' applicazione esistente in un nuovo progetto creato dopo questa data, il account di servizio potrebbe non disporre delle autorizzazioni necessarie per eseguire il deployment dell'app. Per concedere le autorizzazioni richieste, consulta Eseguire il deployment in App Engine.

Impostare un account di servizio specifico della versione

gcloud

Esegui il comando gcloud app deploy:

  gcloud app deploy --service-account=SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

Sostituisci:

• SERVICE_ACCOUNT_NAME con il nome del account di servizio che hai creato.
• PROJECT_ID con l'ID del Google Cloud progetto in cui vuoi assegnare il account di servizio. Il account di servizio specifico della versione deve trovarsi nello stesso progetto in cui esegui il deployment dell'applicazione.

app.yaml

Nel file app.yaml, specifica il account di servizio aggiungendo l'elemento service_account:

service_account: SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

Sostituisci:

• SERVICE_ACCOUNT_NAME con il nome del account di servizio che hai creato.
• PROJECT_ID con l'ID del Google Cloud progetto in cui vuoi assegnare il account di servizio. Il account di servizio specifico della versione deve trovarsi nello stesso progetto in cui esegui il deployment dell'applicazione.

Account di servizio predefinito di App Engine

Il account di servizio predefinito di App Engine viene creato automaticamente quando utilizzi App Engine.

A seconda della configurazione della policy dell'organizzazione, al account di servizio predefinito potrebbe essere assegnato automaticamente il ruolo Editor nel progetto. Ti consigliamo vivamente di disattivare la concessione automatica dei ruoli forzando l'applicazione del vincolo iam.automaticIamGrantsForDefaultServiceAccounts della policy dell'organizzazione. Se hai creato la tua organizzazione dopo il 3 maggio 2024, questo vincolo viene imposto per impostazione predefinita.

Se disattivi la concessione automatica dei ruoli, devi decidere quali ruoli concedere ai service account predefiniti, quindi concedere personalmente questi ruoli.

Se il account di servizio predefinito dispone già del ruolo Editor, ti consigliamo di sostituire il ruolo Editor con ruoli meno permissivi.Per modificare in sicurezza i ruoli del account di servizio, utilizza Policy Simulator per vedere l'impatto della modifica, quindi concedi e revoca i ruoli appropriati.

Per scoprire come concedere ruoli a service account e altri principali, consulta Gestire l'accesso a progetti, cartelle e organizzazioni.

Dopo il 15 maggio 2024, Artifact Registry ospiterà le immagini per il dominio gcr.io in Google Cloud progetti senza precedente utilizzo di Container Registry. Se esegui il deployment di un' applicazione esistente in un nuovo progetto creato dopo questa data, il account di servizio potrebbe non disporre delle autorizzazioni necessarie per eseguire il deployment dell'app. Per concedere le autorizzazioni richieste, consulta Eseguire il deployment in App Engine.

Per modificare le autorizzazioni, eliminare e ripristinare i service account, consulta Creare e gestire i service account.