在 App Design Center 中設定服務帳戶

服務帳戶是一種特殊的帳戶，使用者通常並非真人，而是應用程式或運算工作負載，例如 Compute Engine 執行個體。每個服務帳戶都有專屬的電子郵件地址，以利識別。詳情請參閱服務帳戶總覽。

本文說明使用應用程式設計中心建立服務帳戶時，可設定的連線和參數。設定參數是根據 terraform-google-service-accounts Terraform 模組而定。

元件連線

下表列出可連結至服務帳戶的元件，以及應用程式和產生的 Terraform 程式碼的更新結果。

已連結的元件	應用程式更新	背景資訊
Compute Engine 執行個體範本	Compute Engine 執行個體範本會使用已連結的服務帳戶，而不是建立新的服務帳戶。連結的服務帳戶可用於驗證及授權存取其他 Google Cloud 服務。 服務帳戶電子郵件地址和 IAM 資訊會新增至 Compute Engine 執行個體範本。	建立使用使用者管理服務帳戶的 VM
Secret Manager	服務帳戶可以存取密鑰資料。 將 roles/secretmanager.secretAccessor 角色指派給服務帳戶。	管理密鑰存取權
BigQuery	服務 (例如 Cloud Run) 可使用服務帳戶讀取及修改 BigQuery 資料集中的資料。 BigQuery roles/bigquery.dataEditor 角色會新增至服務帳戶。	BigQuery IAM 角色和權限
Cloud Run	Cloud Run 服務會將服務帳戶做為服務身分。 系統會將 roles/run.invoker 角色新增至服務帳戶。 服務帳戶電子郵件地址和 IAM 資訊會新增至 Cloud Run 執行個體。	服務對服務驗證
「Cloud SQL (MySQL)」	服務帳戶可以連線至 Cloud SQL (MySQL) 執行個體。 系統會將 roles/cloudsql.instanceUser 和 roles/cloudsql.client 角色新增至服務帳戶。 服務帳戶 IAM 資訊會新增至 Cloud SQL 執行個體。	角色和權限
「Cloud SQL (PostgreSQL)」	服務帳戶可以連線至 Cloud SQL (PostgreSQL) 執行個體。 系統會將 roles/cloudsql.instanceUser 和 roles/cloudsql.client 角色新增至服務帳戶。 服務帳戶 IAM 資訊會新增至 Cloud SQL 執行個體。	角色和權限
Cloud Storage	服務帳戶可以管理 Cloud Storage bucket 中的物件。 服務帳戶 IAM 資訊會新增至 Cloud Storage bucket。 將 roles/storage.objectAdmin 角色指派給服務帳戶。	設定及管理 bucket 的 IAM 政策
Memorystore for Redis	服務帳戶可以管理 Memorystore for Redis 執行個體。 系統會將 roles/redis.editor 角色新增至服務帳戶。	Memorystore for Redis 服務帳戶
Pub/Sub	服務帳戶可以管理 Pub/Sub 主題，並從訂閱項目提取訊息。 系統會將 roles/pubsub.editor 角色新增至服務帳戶。 服務帳戶名稱和電子郵件資訊會新增至 Pub/Sub 提取訂閱項目。	使用 IAM 控管存取權
Spanner	服務帳戶可存取 Spanner 執行個體。 服務帳戶會以 IAM 使用者的身分新增至 Spanner 執行個體。	設定具備服務帳戶的執行個體
Vertex AI	服務帳戶可以與 Vertex AI 服務互動。 系統會將 roles/aiplatform.user 角色新增至服務帳戶。	運用 IAM 執行 Vertex AI 存取控管

必要設定參數

如果範本包含服務帳戶元件，您必須先設定下列參數，才能部署範本。

參數名稱	說明和限制	背景資訊
專案 ID	您要在哪個專案中建立服務帳戶資源。	設定元件
名稱	識別碼長度必須介於 6 至 30 個字元之間。可使用小寫英數字元和破折號，例如 my-service-account。	建立服務帳戶

選用設定參數

以下是視需要選用的參數。如要顯示進階參數，請在「設定」區域選取「顯示進階欄位」。

參數名稱	說明和限制資訊	背景資訊
顯示名稱	使用者可理解的服務帳戶名稱。	建立服務帳戶
說明	使用者可理解的說明。	建立服務帳戶
專案角色	project_roles	管理專案、資料夾和機構的存取權