Configurer l'accès pour le compte de service Cloud Build par défaut

Cette page explique comment accorder et révoquer des autorisations sur le compte de service Cloud Build par défaut.

Notez que l'ancien compte de service Cloud Build se voit automatiquement attribuer le rôle "Compte de service Cloud Build" pour le projet. Le compte de service Compute Engine par défaut n'inclut pas ce rôle. Vous pouvez accorder d'autres autorisations au compte de service que vous utilisez.

Avant de commencer

Attribuer un rôle au compte de service Cloud Build par défaut à l'aide de la page "Paramètres"

Vous pouvez attribuer certains rôles IAM couramment utilisés au compte de service Cloud Build par défaut à l'aide de la page "Paramètres Cloud Build" de la console Google Cloud  :

  1. Accédez à la page "Paramètres" de Cloud Build.

    Accéder à la page Paramètres de Cloud Build

    La page "Autorisations de compte de service" s'affiche alors :

    Capture d'écran de la page des autorisations de compte de service

  2. Utilisez le menu déroulant pour sélectionner le compte de service que vous souhaitez mettre à jour.

  3. Définissez l'état du rôle que vous souhaitez ajouter sur Activer.

Attribuer un rôle au compte de service Cloud Build par défaut à l'aide de la page IAM

Si le rôle que vous souhaitez attribuer ne figure pas sur la page des paramètres Cloud Build de la console Google Cloud , utilisez la page IAM pour l'attribuer :

  1. Ouvrez la page "IAM" :

    Ouvrir la page IAM

  2. Sélectionnez votre projet Google Cloud .

  3. Au-dessus du tableau des autorisations, cochez la case Inclure les attributions de rôles fournies par Google.

    Vous verrez que d'autres lignes apparaissent dans le tableau des autorisations.

  4. Dans le tableau des autorisations, recherchez votre compte de service Cloud Build par défaut.

  5. Cliquez sur l'icône en forme de crayon.

  6. Sélectionnez le rôle que vous souhaitez attribuer au compte de service Cloud Build.

  7. Cliquez sur Enregistrer.

Révoquer un rôle du compte de service Cloud Build

  1. Ouvrez la page "IAM" :

    Ouvrir la page IAM

  2. Sélectionnez votre projet Google Cloud .

  3. Au-dessus du tableau des autorisations, cochez la case Inclure les attributions de rôles fournies par Google.

    Vous verrez que d'autres lignes apparaissent dans le tableau des autorisations.

  4. Dans le tableau des autorisations, recherchez votre compte de service Cloud Build par défaut.

  5. Cliquez sur l'icône en forme de crayon.

  6. Recherchez le rôle que vous souhaitez révoquer, puis cliquez sur la corbeille à côté du rôle.

Attribuer un rôle à l'agent de service Cloud Build

En plus du compte de service Cloud Build par défaut, Cloud Build dispose d'un agent de service Cloud Build qui permet à d'autres services Google Cloud d'accéder à vos ressources. Dans la plupart des cas, l'agent de service est automatiquement créé dans le projet Google Cloud la première fois qu'il est nécessaire. L'agent de service est au format suivant, où PROJECT_NUMBER est le numéro de votre projet.

     service-PROJECT_NUMBER@gcp-sa-cloudbuild.iam.gserviceaccount.com

Pour afficher l'agent de service d'un projet, accédez à la page IAM de la console Google Cloud , puis cochez la case Afficher les comptes de service gérés par Google. Si l'agent de service Cloud Build n'est pas listé, vous pouvez le créer manuellement.

Si vous avez accidentellement révoqué le rôle de l'agent de service Cloud Build sur votre projet, vous pouvez l'accorder manuellement en procédant comme suit :

Console

  1. Ouvrez la page IAM dans la console Google Cloud  :

    Ouvrir la page IAM

  2. Cliquez sur Accorder l'accès.

  3. Ajoutez le compte principal suivant, où PROJECT_NUMBER correspond au numéro de votre projet :

    service-PROJECT_NUMBER@gcp-sa-cloudbuild.iam.gserviceaccount.com

  4. Pour votre rôle, sélectionnez Agents de service > Agent de service Cloud Build.

  5. Cliquez sur Enregistrer.

gcloud

Accordez le rôle IAM roles/cloudbuild.serviceAgent à l'agent de service Cloud Build:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-cloudbuild.iam.gserviceaccount.com" \
    --role="roles/cloudbuild.serviceAgent"

Remplacez les valeurs d'espace réservé dans la commande par les éléments suivants :

  • PROJECT_ID : ID du projet
  • PROJECT_NUMBER: numéro du projet

Étape suivante