Dienstkonto konfigurieren

Ein Dienstkonto ist ein spezieller Kontotyp, der nicht von einer Person, sondern von einer Anwendung oder Compute-Arbeitslast verwendet wird, z. B. einer Compute Engine-Instanz. Ein Dienstkonto wird durch seine E-Mail-Adresse identifiziert, die für das Konto eindeutig ist. Weitere Informationen finden Sie unter Dienstkontenübersicht.

In diesem Dokument werden die Verbindungen und Parameter beschrieben, die Sie konfigurieren können, wenn Sie mit dem App Design Center ein Dienstkonto erstellen. Die Konfigurationsparameter basieren auf dem Terraform-Modul terraform-google-service-accounts.

Komponentenverbindungen

Die folgende Tabelle enthält die Komponenten, die Sie mit einem Dienstkonto verbinden können, sowie die daraus resultierenden Aktualisierungen Ihrer Anwendung und des generierten Terraform-Codes.

Verbundene Komponente	Anwendungsupdates	Hintergrundinformationen:
Compute Engine-Instanzvorlage	Für die Compute Engine-Instanzvorlage wird das verknüpfte Dienstkonto verwendet, anstatt ein neues Dienstkonto zu erstellen. Das verbundene Dienstkonto wird zur Authentifizierung und Autorisierung bei anderen Google Cloud -Diensten verwendet. Die E-Mail-Adresse des Dienstkontos und die IAM-Informationen werden der Compute Engine-Instanzvorlage hinzugefügt.	VM erstellen, die ein vom Nutzer verwaltetes Dienstkonto verwendet
Secret Manager	Das Dienstkonto kann auf die vertraulichen Daten zugreifen. Dem Dienstkonto wird die Rolle roles/secretmanager.secretAccessor zugewiesen.	Zugriff auf Secrets verwalten
BigQuery	Das Dienstkonto kann von Diensten wie Cloud Run verwendet werden, um Daten im BigQuery-Dataset zu lesen und zu ändern. Dem Dienstkonto wird die BigQuery-Rolle roles/bigquery.dataEditor hinzugefügt.	IAM-Rollen und ‑Berechtigungen für BigQuery
Cloud Run	Der Cloud Run-Dienst verwendet das Dienstkonto als Dienstidentität. Dem Dienstkonto wird die Rolle roles/run.invoker hinzugefügt. Die E-Mail-Adresse des Dienstkontos und die IAM-Informationen werden der Cloud Run-Instanz hinzugefügt.	Dienst-zu-Dienst authentifizieren
Cloud SQL (MySQL)	Das Dienstkonto kann eine Verbindung zur Cloud SQL-Instanz (MySQL) herstellen. Dem Dienstkonto werden die Rollen roles/cloudsql.instanceUser und roles/cloudsql.client hinzugefügt. Die IAM-Informationen des Dienstkontos werden der Cloud SQL-Instanz hinzugefügt.	Rollen und Berechtigungen
Cloud SQL (PostgreSQL)	Das Dienstkonto kann eine Verbindung zur Cloud SQL-Instanz (PostgreSQL) herstellen. Dem Dienstkonto werden die Rollen roles/cloudsql.instanceUser und roles/cloudsql.client hinzugefügt. Die IAM-Informationen des Dienstkontos werden der Cloud SQL-Instanz hinzugefügt.	Rollen und Berechtigungen
Cloud Storage	Das Dienstkonto kann Objekte im Cloud Storage-Bucket verwalten. Die IAM-Informationen des Dienstkontos werden dem Cloud Storage-Bucket hinzugefügt. Dem Dienstkonto wird die Rolle roles/storage.objectAdmin zugewiesen.	IAM-Richtlinien für Buckets festlegen und verwalten
Memorystore for Redis	Das Dienstkonto kann die Memorystore for Redis-Instanz verwalten. Dem Dienstkonto wird die Rolle roles/redis.editor hinzugefügt.	Das Memorystore for Redis-Dienstkonto
Memorystore for Redis Cluster	Das Dienstkonto kann den Memorystore for Redis-Cluster verwalten. Das App Design Center fügt dem Dienstkonto die Rolle roles/redis.editor hinzu.	Zugriffssteuerung mit IAM
Memorystore for Valkey	Das Dienstkonto kann die Memorystore for Valkey-Instanz verwalten. Das App Design Center fügt dem Dienstkonto die Rolle roles/memorystore.editor hinzu.	Zugriffssteuerung mit IAM
Pub/Sub	Das Dienstkonto kann Pub/Sub-Themen verwalten und Nachrichten aus Abos abrufen. Dem Dienstkonto wird die Rolle roles/pubsub.editor hinzugefügt. Der Name und die E-Mail-Adresse des Dienstkontos werden dem Pub/Sub-Pull-Abo hinzugefügt.	Zugriffssteuerung mit IAM
Spanner	Das Dienstkonto hat Zugriff auf die Spanner-Instanz. Das Dienstkonto wird der Spanner-Instanz als IAM-Nutzer hinzugefügt.	Instanz mit einem Dienstkonto konfigurieren
Vertex AI	Das Dienstkonto kann mit Vertex AI-Diensten interagieren. Dem Dienstkonto wird die Rolle roles/aiplatform.user hinzugefügt.	Vertex AI-Zugriffssteuerung mit IAM

Erforderliche Konfigurationsparameter

Wenn Ihre Vorlage eine Dienstkontokomponente enthält, müssen Sie die folgenden Parameter konfigurieren, bevor Sie die Vorlage bereitstellen.

Parametername	Beschreibung und Einschränkungen	Hintergrundinformationen:
Projekt-ID	Das Projekt, in dem Sie die Dienstkontoressource erstellen möchten.	Komponenten konfigurieren
Name	Eine Kennung, die zwischen 6 und 30 Zeichen lang sein muss. Kann alphanumerische Zeichen in Kleinschreibung sowie Bindestriche enthalten. Beispiel: my-service-account.	Dienstkonten erstellen

Optionale Konfigurationsparameter

Die folgenden Parameter sind optional. Wenn Sie erweiterte Parameter anzeigen möchten, wählen Sie im Bereich Konfiguration die Option Erweiterte Felder anzeigen aus.

Parametername	Beschreibung und Informationen zu Einschränkungen	Hintergrundinformationen:
Anzeigename	Ein für Nutzer lesbarer Name für das Dienstkonto.	Dienstkonten erstellen
Beschreibung	Eine für Nutzer lesbare Beschreibung.	Dienstkonten erstellen
Projektrollen	project_roles	Zugriff auf Projekte, Ordner und Organisationen verwalten