Cloud FTP 服務帳戶

本頁說明與 Cloud FTP 相關的服務帳戶。

使用者代管的服務帳戶

服務帳戶是一種特殊帳戶，專為非人類工作負載提供身分，例如在 Compute Engine 上執行的應用程式、虛擬機器、容器化應用程式或其他自動化服務。這些帳戶可讓非人為工作負載以程式輔助方式進行驗證，並對 Google Cloud 服務發出已授權的 API 呼叫。

使用者管理的服務帳戶通常由您建立及管理，但啟用 Google Cloud 服務時，系統也會預設建立部分服務帳戶。您仍可直接管理預設服務帳戶。

服務帳戶同時是主體和資源。身為主體，您可以授予服務帳戶 Google Cloud 資源存取權。做為資源，您可以授予其他主體存取服務帳戶的權限。

SFTP 使用者的服務帳戶

每個 SFTP 使用者都必須對應至服務帳戶。服務帳戶會代表使用者存取 Cloud Storage 資源。

建立 SFTP 使用者時，系統也會為該使用者建立服務帳戶 (如果服務帳戶不存在)。您也需要將讀取或寫入 Cloud Storage 值區資料所需的 IAM 角色，授予服務帳戶，如下所示：

建議您為每位使用者使用專屬服務帳戶，以便分別管理每位使用者的 SFTP 存取權。

服務代理

服務代理是由 Google 建立及管理的服務帳戶。服務代理程式會做為 Google Cloud 服務的身分，代表您存取專案中的資源。

啟用並使用 Google Cloud API 後，系統會在某個時間點建立服務代理。建立專案時，Google 通常會將特定的預先定義 IAM 角色授予專案的服務代理人。這些角色包含服務代理正常運作所需的最低權限。如需獲授角色的服務代理完整清單，請參閱 IAM 說明文件中的「服務代理」。

Cloud FTP 服務代理

每個 SFTP 伺服器都與服務代理程式相關聯。Cloud FTP 服務代理程式會為 SFTP 使用者的服務帳戶產生權杖。

建立伺服器後，系統會建立 Cloud FTP 服務代理。將使用者新增至伺服器時，您必須在每個使用者的服務帳戶中，將服務帳戶權杖建立者 (roles/iam.serviceAccountTokenCreator) IAM 角色授予伺服器的服務代理程式。

Cloud FTP 服務代理程式的電子郵件地址格式類似 p-PROJECT_ID-SERVICE_ACCOUNT_ID@gcp-sa-ftp.iam.gserviceaccount.com。如要瞭解如何取得特定伺服器服務代理程式的電子郵件地址，請參閱「取得安全檔案傳輸通訊協定伺服器資訊」。

後續步驟