Connettiti utilizzando i service account

Questo documento descrive come utilizzare un service account per connetterti alle istanze di macchine virtuali (VM) Compute Engine utilizzando SSH. La configurazione di SSH per un account di servizio consente di configurare le app per l'utilizzo di SSH, il che può aiutarti ad automatizzare i carichi di lavoro.

Prima di iniziare

• Crea un service account.
• Se non l'hai ancora fatto, configura l'autenticazione. L'autenticazione verifica la tua identità per l'accesso ad API e servizi Google Cloud . Per eseguire codice o esempi da un ambiente di sviluppo locale, puoi autenticarti su Compute Engine selezionando una delle seguenti opzioni:

  1. Installa Google Cloud CLI. Dopo l'installazione, inizializza Google Cloud CLI eseguendo il comando seguente:

     gcloud init

     Se utilizzi un provider di identità (IdP) esterno, devi prima accedere a gcloud CLI con la tua identità federata.

     Nota: se hai già installato gcloud CLI, assicurati di avere l'ultima versione eseguendo gcloud components update.
  2. Imposta una regione e una zona predefinite.

Connettersi manualmente alle VM come account di servizio

Per connetterti alle VM come account di servizio, utilizza uno dei seguenti metodi:

Nota: se ti connetti da una macchina ospitata al di fuori di Google Cloud devi rappresentare direttamente il service account.

Rappresentare direttamente il account di servizio

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni:

• Tutte le autorizzazioni incluse nel ruolo Creatore token account di servizio (roles/iam.serviceAccountTokenCreator), nel service account. Per informazioni dettagliate su come concedere questo ruolo a un singolo account di servizio, consulta Gestire l'accesso ai service account.
• Se utilizzi OS Login, devi disporre di tutte le autorizzazioni incluse in uno dei ruoli IAM OS Login nel account di servizio.
• Se non utilizzi OS Login, il account di servizio richiede anche l'autorizzazione compute.projects.setCommonInstanceMetadata.

Utilizza il flag --impersonate-service-account di gcloud CLI per connetterti direttamente a una VM utilizzando l'identità di un account di servizio. Esegui questo comando per connetterti a una VM come account di servizio:

gcloud compute ssh VM_NAME \
    --impersonate-service-account=SERVICE_ACCOUNT_EMAIL

Sostituisci quanto segue:

• VM_NAME: il nome della VM a cui vuoi connetterti come account di servizio.
• SERVICE_ACCOUNT_EMAIL: l'indirizzo email associato al account di servizio.

Rappresentare il account di servizio da una VM

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni:

• Tutte le autorizzazioni incluse nel ruolo Utente account di servizio (roles/iam.serviceAccountUser) nel service account e nel tuo account utente. Per informazioni dettagliate su come concedere questo ruolo a un singolo account di servizio, consulta Gestire l'accesso ai service account.
• Se utilizzi OS Login, devi disporre di tutte le autorizzazioni incluse in uno dei ruoli IAM OS Login nel account di servizio e nel tuo account utente.
• Se non utilizzi OS Login, devi disporre anche dell'autorizzazione compute.projects.setCommonInstanceMetadata nel account di servizio e nel tuo account utente.

Devi inoltre assegnare il tuo account di servizio a una VM e impostare l'ambito di accesso cloud-platform sulla VM.

Per rappresentare un account di servizio da un'altra VM:

1. Connettiti alla VM che viene eseguita come service account.

2. Dalla VM che viene eseguita come account di servizio, connettiti ad altre VM utilizzando gli stessi metodi.

   Nota: i tentativi di connessione effettuati dall'interno della VM che viene eseguita come account di servizio utilizzano l'identità del account di servizio account.

Passaggi successivi

• Scopri come configurare le app per l'utilizzo di SSH.
• Scopri di più su come funzionano le connessioni SSH in Compute Engine, inclusa la configurazione e lo spazio di archiviazione delle chiavi SSH.