サービス アカウントの構成

サービス アカウントは、ユーザーではなく、Compute Engine インスタンスなどのアプリケーションやコンピューティング ワークロードで使用される特別なアカウントです。サービス アカウントは、アカウント固有のメールアドレスで識別されます。詳細については、サービス アカウントの概要をご覧ください。

このドキュメントでは、App Design Center を使用してサービス アカウントを作成するときに構成できる接続とパラメータについて説明します。構成パラメータは、terraform-google-service-accounts Terraform モジュールに基づいています。

コンポーネント接続

次の表に、サービス アカウントに接続できるコンポーネントと、アプリケーションとその生成された Terraform コードに対する更新結果を示します。

連結成分	アプリケーションの更新	背景情報
Compute Engine インスタンス テンプレート	Compute Engine インスタンス テンプレートは、新しいサービス アカウントを作成する代わりに、接続されたサービス アカウントを使用します。接続されたサービス アカウントは、他の Google Cloud サービスに対する認証と認可に使用されます。 サービス アカウントのメールアドレスと IAM 情報が Compute Engine インスタンス テンプレートに追加されます。	ユーザー管理のサービス アカウントを使用する VM を作成する
Secret Manager	サービス アカウントはシークレット データにアクセスできます。 roles/secretmanager.secretAccessor ロールがサービス アカウントに割り当てられます。	シークレットへのアクセスを管理する
BigQuery	サービス アカウントは、Cloud Run などのサービスが BigQuery データセット内のデータを読み取り、変更するために使用できます。 BigQuery roles/bigquery.dataEditor ロールがサービス アカウントに追加されます。	BigQuery IAM のロールと権限
Cloud Run	Cloud Run サービスは、サービス アカウントをサービス ID として使用します。 roles/run.invoker ロールがサービス アカウントに追加されます。 サービス アカウントのメールアドレスと IAM 情報が Cloud Run インスタンスに追加されます。	サービス間認証
Cloud SQL（MySQL）	サービス アカウントが Cloud SQL（MySQL）インスタンスに接続できる。 roles/cloudsql.instanceUser ロールと roles/cloudsql.client ロールがサービス アカウントに追加されます。 サービス アカウントの IAM 情報が Cloud SQL インスタンスに追加されます。	ロールと権限
Cloud SQL（PostgreSQL）	サービス アカウントは Cloud SQL（PostgreSQL）インスタンスに接続できます。 roles/cloudsql.instanceUser ロールと roles/cloudsql.client ロールがサービス アカウントに追加されます。 サービス アカウントの IAM 情報が Cloud SQL インスタンスに追加されます。	ロールと権限
Cloud Storage	サービス アカウントは、Cloud Storage バケット内のオブジェクトを管理できます。 サービス アカウントの IAM 情報が Cloud Storage バケットに追加されます。 roles/storage.objectAdmin ロールがサービス アカウントに割り当てられます。	バケットでの IAM ポリシーの設定と管理
Memorystore for Redis	サービス アカウントは Memorystore for Redis インスタンスを管理できます。 roles/redis.editor ロールがサービス アカウントに追加されます。	Memorystore for Redis サービス アカウント
Memorystore for Redis Cluster	サービス アカウントは Memorystore for Redis Cluster を管理できます。 App Design Center は、サービス アカウントに roles/redis.editor ロールを追加します。	IAM を使用したアクセス制御
Memorystore for Valkey	サービス アカウントは Memorystore for Valkey インスタンスを管理できます。 App Design Center は、サービス アカウントに roles/memorystore.editor ロールを追加します。	IAM を使用したアクセス制御
Pub/Sub	サービス アカウントは、Pub/Sub トピックを管理し、サブスクリプションからメッセージを pull できます。 roles/pubsub.editor ロールがサービス アカウントに追加されます。 サービス アカウントの名前とメール情報が Pub/Sub プル サブスクリプションに追加されます。	IAM を使用したアクセス制御
Spanner	サービス アカウントに Spanner インスタンスへのアクセス権がある。 サービス アカウントが IAM ユーザーとして Spanner インスタンスに追加されます。	サービス アカウントを使用するようにインスタンスを構成する
Vertex AI	サービス アカウントは Vertex AI サービスとやり取りできます。 roles/aiplatform.user ロールがサービス アカウントに追加されます。	IAM を使用した Vertex AI のアクセス制御

必須の構成パラメータ

テンプレートにサービス アカウント コンポーネントが含まれている場合は、デプロイする前に次のパラメータを構成する必要があります。

パラメータ名	説明と制約	背景情報
プロジェクト ID	サービス アカウント リソースを作成するプロジェクト。	コンポーネントを構成する
名前	6 ～ 30 文字の識別子。小文字の英数字とハイフンを使用できます。例: my-service-account	サービス アカウントを作成する

オプションの構成パラメータ

次のパラメータは省略可能です。詳細パラメータを表示するには、[構成] 領域で [詳細フィールドを表示] を選択します。

パラメータ名	説明と制約に関する情報	背景情報
表示名	サービス アカウントのユーザー可読形式の名前。	サービス アカウントを作成する
説明	ユーザーが読める説明。	サービス アカウントを作成する
プロジェクト ロール	project_roles	プロジェクト、フォルダ、組織へのアクセスの管理