在 Application Design Center 中配置服务账号

服务账号是由应用或计算工作负载（例如 Compute Engine 实例）而非人员使用的特殊账号。服务账号由其（专属的）电子邮件地址标识。如需了解详情，请参阅服务账号概览。

本文档介绍了使用应用设计中心创建服务账号时可以配置的连接和参数。配置参数基于 terraform-google-service-accounts Terraform 模块。

组件连接

下表列出了您可以连接到服务账号的组件，以及对应用及其生成的 Terraform 代码的相应更新。

关联的组成部分	申请动态	背景信息
Compute Engine 实例模板	Compute Engine 实例模板使用关联的服务账号，而不是创建新的服务账号。关联的服务账号用于向其他 Google Cloud 服务进行身份验证和授权。 服务账号电子邮件地址和 IAM 信息已添加到 Compute Engine 实例模板。	创建使用用户管理的服务账号的虚拟机
Secret Manager	服务账号可以访问密钥数据。 roles/secretmanager.secretAccessor 角色已分配给服务账号。	管理对密文的访问权限
BigQuery	Cloud Run 等服务可以使用该服务账号来读取和修改 BigQuery 数据集中的数据。 BigQuery roles/bigquery.dataEditor 角色已添加到服务账号。	BigQuery IAM 角色和权限
Cloud Run	Cloud Run 服务使用该服务账号作为服务身份。 roles/run.invoker 角色已添加到服务账号。 服务账号电子邮件地址和 IAM 信息已添加到 Cloud Run 实例。	对服务到服务进行身份验证
Cloud SQL (MySQL)	服务账号可以连接到 Cloud SQL (MySQL) 实例。 roles/cloudsql.instanceUser 和 roles/cloudsql.client 角色已添加到该服务账号。 服务账号 IAM 信息已添加到 Cloud SQL 实例。	角色和权限
Cloud SQL (PostgreSQL)	服务账号可以连接到 Cloud SQL (PostgreSQL) 实例。 roles/cloudsql.instanceUser 和 roles/cloudsql.client 角色已添加到该服务账号。 服务账号 IAM 信息已添加到 Cloud SQL 实例。	角色和权限
Cloud Storage	服务账号可以管理 Cloud Storage 存储桶中的对象。 服务账号 IAM 信息已添加到 Cloud Storage 存储桶。 roles/storage.objectAdmin 角色已分配给服务账号。	为存储桶设置和管理 IAM 政策
Memorystore for Redis	该服务账号可以管理 Memorystore for Redis 实例。 roles/redis.editor 角色已添加到服务账号。	Memorystore for Redis 服务账号
Pub/Sub	服务账号可以管理 Pub/Sub 主题，并从订阅中提取消息。 roles/pubsub.editor 角色已添加到服务账号。 服务账号名称和电子邮件地址信息已添加到 Pub/Sub 拉取订阅中。	使用 IAM 进行访问权限控制
Spanner	服务账号有权访问 Spanner 实例。 服务账号将作为 IAM 用户添加到 Spanner 实例。	使用服务账号配置实例
Vertex AI	服务账号可以与 Vertex AI 服务进行交互。 roles/aiplatform.user 角色已添加到服务账号。	使用 IAM 进行 Vertex AI 访问权限控制

必需的配置参数

如果您的模板包含服务账号组件，您必须先配置以下参数，然后才能进行部署。

参数名称	说明和限制	背景信息
项目 ID	您要在其中创建服务账号资源的项目。	配置组件
名称	一个标识符，长度必须介于 6 到 30 个字符之间。可以包含小写字母数字字符和短划线。例如 my-service-account。	创建服务账号

可选配置参数

以下参数为可选参数。如需显示高级参数，请在配置区域中选择显示高级字段。

参数名称	说明和限制条件信息	背景信息
显示名称	服务账号的用户可读名称。	创建服务账号
说明	用户可读的说明。	创建服务账号
项目角色	project_roles	管理对项目、文件夹和组织的访问权限