Conceder o papel de usuário da conta de serviço para contas de serviço de execução como

Nesta página, listamos os principais que precisam do papel de Usuário da conta de serviço (roles/iam.serviceAccountUser) para as próximas mudanças de autorização e explicamos como concedê-lo.

Quem precisa do papel de usuário da conta de serviço

Os seguintes principais exigem o papel de Usuário da Conta de Serviço na conta de serviço listada:

Principal Conta de serviço
Usuários que publicam ou testam a integração, incluindo a automação de implantação. A conta de serviço de execução da integração
Usuários e automação que executam a integração pela API ou pelo console do Google Cloud , de forma síncrona ou assíncrona. A conta de serviço de execução da integração
A conta de serviço que um gatilho usa para iniciar a integração. Isso inclui o e-mail da conta de serviço de um gatilho do Cloud Scheduler ou a conta de serviço de um gatilho do Cloud Pub/Sub, um gatilho do Eventarc ou um gatilho de evento do Integration Connectors. Isso não será necessário se a conta do gatilho for a própria conta de serviço de execução. A conta de serviço de execução da integração
Usuários que aprovam ou retomam uma execução suspensa. A conta de serviço de execução da integração
O principal que inicia uma integração que chama uma subintegração usando a tarefa Chamar integração. Para uma integração iniciada por um gatilho com uma conta de serviço, essa é a conta de serviço do gatilho. A conta de serviço de execução da subintegração, além da conta de serviço de execução da integração de chamada.
A conta de serviço de execução da integração de chamada, quando ela chama uma subintegração de maneira assíncrona. Isso não será necessário se as duas integrações usarem a mesma conta de serviço. A conta de serviço de execução da subintegração
Usuários que criam ou editam um perfil de autenticação do tipo Conta de serviço ou Token do OIDC. A conta de serviço nomeada no perfil
Usuários que publicam ou testam uma integração que usa esse perfil, incluindo automação de implantação. A conta de serviço nomeada no perfil
O principal que executa uma integração que alcança uma tarefa usando esse perfil. Para uma execução assíncrona ou programada, essa é a conta de serviço de execução da integração ou o agente de serviço do Application Integration, service-PROJECT_NUMBER@gcp-sa-integrations.iam.gserviceaccount.com, se a integração não tiver uma. Nesse caso, a correção recomendada é definir uma conta de serviço de execução. A conta de serviço nomeada no perfil

Para salvar um rascunho, não é necessário ter o papel de Usuário da conta de serviço. As verificações de autorização na publicação, no teste e no salvamento de perfis de autenticação se aplicam no momento. As verificações de execução, aprovação, chamada de subintegrações e execução de tarefas que usam um perfil de autenticação vão entrar em vigor conforme o lançamento avança. Conceda esses papéis proativamente para garantir que as integrações continuem funcionando.

Conceder o papel

Para conceder o papel a um principal, execute o seguinte comando:

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT \
    --project=SERVICE_ACCOUNT_PROJECT_ID \
    --member='user:PRINCIPAL' \
    --role='roles/iam.serviceAccountUser'

Substitua:

  • SERVICE_ACCOUNT: o endereço de e-mail da conta de serviço de execução ou da conta nomeada em um perfil de autenticação.
  • SERVICE_ACCOUNT_PROJECT_ID: o ID do projeto que é proprietário da conta de serviço.
  • PRINCIPAL: o endereço de e-mail do usuário.

Para outros tipos de principal, use o prefixo --member correspondente:

  • Grupos: use group:. Recomendamos usar os Grupos do Google em vez de contas de usuário individuais para simplificar o gerenciamento de acesso à medida que os membros da equipe mudam.
  • Contas de serviço: use serviceAccount: para processos automatizados, aplicativos e contas de serviço de gatilho.

Para conceder o papel no console do Google Cloud :

  1. Acesse IAM e administrador > Contas de serviço.
  2. Selecione a conta de serviço.
  3. Clique em Permissões > Conceder acesso.

Para conceder esse papel, você precisa do papel roles/iam.serviceAccountAdmin na conta de serviço. Os proprietários do projeto têm essa permissão por padrão. Para mais informações, consulte Gerenciar o acesso a contas de serviço.

A seguir