Kontrol akses dengan IAM

Catatan: Konten ini hanya berlaku untuk fungsi Cloud Run—sebelumnya Cloud Functions (generasi ke-2).

Untuk versi generasi ke-1 dokumen ini, lihat Kontrol akses dengan IAM (generasi ke-1).

Halaman ini memberikan informasi tambahan untuk menggunakan peran Identity and Access Management (IAM) untuk menetapkan kontrol akses di tingkat project, guna menentukan tingkat akses ke project dan fungsi Google Cloud yang dibuat menggunakan perintah gcloud functions atau Cloud Functions v2 API.

Jika Anda telah membuat atau men-deploy fungsi menggunakan Cloud Run, lihat Kontrol akses dengan IAM dan Peran Cloud Run untuk mengetahui deskripsi mendetail tentang peran standar Cloud Run, mengontrol akses ke setiap layanan, membuat layanan bersifat publik, atau mengonfigurasi kebijakan organisasi untuk IAM pemanggil Cloud Run.

Kontrol akses untuk pengguna

Tambahkan pengguna sebagai anggota tim ke project dan beri mereka peran menggunakan IAM.

Fungsi Cloud Run mendukung peran berikut:

• Peran bawaan Cloud Run (direkomendasikan)
• Peran standar Cloud Functions
• Peran dasar Editor, Pemilik, dan Viewer.

Catatan: Untuk menulis atau mengakses log fungsi Cloud Run, anggota project juga harus memiliki izin logging yang sesuai. Untuk mengetahui informasi selengkapnya, lihat panduan kontrol akses Cloud Logging.

Kontrol akses untuk akun layanan

Akun layanan adalah jenis akunGoogle Cloud khusus yang bertindak sebagai identitas bagi pengguna non-manusia yang perlu melakukan autentikasi dan diberi otorisasi untuk mengakses data serta melakukan berbagai tindakan. Beberapa akun ini dibuat dan dikelola oleh Google sendiri dan dikenal sebagai agen layanan.

Akun layanan berikut digunakan untuk fungsi Cloud Run:

Nama	ID Anggota	Peran
Akun layanan default Compute Engine	[e-mail]	Editor
Agen Layanan Google Cloud Functions	[e-mail]	Agen Layanan Google Cloud Functions
Akun layanan Cloud Build lama^1	[e-mail]	Cloud Build Service Account
Akun Layanan Cloud Build	[e-mail]	Agen Layanan Cloud Build
Agen Layanan Google Container Registry	[e-mail]	Agen Layanan Container Registry
Agen Layanan Artifact Registry	[e-mail]	Agen Layanan Artifact Registry

Catatan:

Batasan kebijakan organisasi iam.automaticIamGrantsForDefaultServiceAccounts mencegah peran Editor diberikan secara otomatis ke akun layanan default. Jika Anda membuat organisasi setelah 3 Mei 2024, batasan ini akan diterapkan secara default.

Sebaiknya terapkan batasan ini untuk menonaktifkan pemberian peran otomatis. Jika Anda menonaktifkan pemberian peran otomatis, Anda harus menentukan peran mana yang akan diberikan ke akun layanan default, lalu memberikan peran ini secara manual.

Jika akun layanan default sudah memiliki peran Editor, sebaiknya ganti peran Editor dengan peran yang kurang permisif.Untuk mengubah peran akun layanan dengan aman, gunakan Policy Simulator untuk melihat dampak perubahan, lalu berikan dan cabut peran yang sesuai.

Akun layanan runtime

Saat runtime, fungsi Cloud Run secara default menggunakan akun layanan default Compute Engine ([e-mail]), yang juga memiliki peran Editor pada project. Anda dapat mengubah peran akun layanan ini untuk membatasi atau memperluas izin untuk fungsi yang sedang berjalan. Anda juga dapat mengubah akun layanan yang digunakan dengan menghindari akun layanan default saat mengonfigurasi identitas layanan.

Untuk mempelajari lebih lanjut akun layanan, baca dokumentasi akun layanan.

Catatan: Mengautentikasi sebagai akun layanan runtime dari dalam fungsi mungkin akan gagal jika Anda mengubah izin akun layanan fungsi Cloud Run.

Akun layanan administratif

Untuk melakukan tindakan administratif pada project Anda selama pembuatan, update, atau penghapusan fungsi, semua project di fungsi Cloud Run memerlukan akun layanan Agen Layanan Google Cloud Functions ([e-mail]).

Selain itu, semua runtime melakukan pembangunan dan penyimpanan image container dalam project Anda. Untuk mendukung hal ini, Anda juga perlu menyediakan hal berikut:

• Akun layanan Cloud Build lama¹ ([e-mail])
• Akun layanan Agen Layanan Cloud Build ([e-mail])
• Akun layanan Agen Layanan Google Container Registry ([e-mail])

Akun layanan ini harus memiliki peran yang tercantum dalam tabel sebelumnya.

Akun layanan Agen Layanan Google Cloud Functions

Secara default, akun layanan Agen Layanan Google Cloud Functions ([e-mail] memiliki peran cloudfunctions.serviceAgent di project Anda.

Peringatan: Jika Anda menghapus binding peran default atau mengubah izin yang diberikan ke akun layanan Agen Layanan Cloud Functions di projectGoogle Cloud , operasi pembuatan, pembaruan, dan penghapusan mungkin akan gagal.

Berikut adalah beberapa izin penting yang digunakan cloudfunctions.serviceAgent:

Izin	Deskripsi
roles/artifactregistry.admin	Mengelola repositori dan menyimpan image build di Artifact Registry.
roles/cloudbuild.builds.editor	Diperlukan agar dapat menggunakan Cloud Build untuk menjalankan build di project pengguna.
roles/cloudbuild.customworkers.builder	Membuat build di worker kustom Cloud Build.
compute.globalOperations.get, compute.networks.access, vpcaccess.connectors.{get, use}	Menyediakan fungsi dengan akses ke VPC project konsumen.
roles/eventarc.developer	Mengelola pemicu Eventarc untuk fungsi.
firebasedatabase.instances.{get, update}	Membuat fungsi yang dipicu oleh Firebase Realtime Database.
iam.serviceAccounts.{actAs, getAccessToken, signBlob}	Kemampuan untuk mendapatkan kredensial akun layanan runtime.
iam.serviceAccounts.getOpenIdToken	Diperlukan agar agen mendapatkan token OpenID pada otoritas yang ditentukan pengguna. Token OpenID digunakan untuk memanggil fungsi yang mendukung IAM.
pubsub.subscriptions	Mengelola langganan dalam project pengguna.
pubsub.topics	Mengelola topik dalam project pengguna.
roles/run.developer	Mengelola Layanan Cloud Run untuk fungsi.
storage.buckets.create, storage.objects.{delete, get, create, list}	Diperlukan untuk menyimpan kode sumber dalam project pengguna.

Anda dapat melihat seluruh rangkaian izin pada peran IAM yang telah ditetapkan atau dengan menjalankan perintah ini:

gcloud iam roles describe roles/cloudfunctions.serviceAgent

Reset akun layanan ini ke peran default dengan menghapus peran apa pun yang dimilikinya dan menambahkan peran Agen Layanan Cloud Functions:

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member serviceAccount:[e-mail] \
  --role roles/cloudfunctions.serviceAgent

Memecahkan masalah error izin

Jika Anda mendapatkan error izin saat men-deploy, mengupdate, menghapus, atau menjalankan fungsi dalam project, lakukan langkah-langkah berikut:

1. Pastikan Anda memiliki peran Editor atau Pemilik dalam project Anda, atau menggunakan peran Developer Cloud Functions.

   Jika Anda menggunakan peran Developer Cloud Functions pada level project, pastikan juga bahwa Anda telah memberi pengguna peran Pengguna Akun Layanan IAM.

   Saat ini, hanya izin eksekusi yang diperbolehkan di tingkat per-fungsi.

2. Pastikan akun layanan Agen Layanan Cloud Functions ([e-mail]) memiliki peran Agen Layanan Cloud Functions (cloudfunctions.serviceAgent) untuk project Anda.

   Pastikan kotak Include Google-provided role grants pada tab Permissions di halaman Console IAM dicentang untuk melihat akun ini. Atau, Anda dapat menggunakan gcloud projects add-iam-policy-binding PROJECT_ID.

3. Pastikan Anda memiliki izin untuk sumber pemicu, seperti Pub/Sub atau Cloud Storage.

Jika Anda mendapatkan error ”insufficient permissions”, atau mengalami masalah autentikasi lain saat menjalankan fungsi, pastikan akun layanan runtime memiliki izin yang benar untuk mengakses resource yang diperlukan fungsi Anda. Kemudian, ulangi langkah 2 dan 3.

Jika Anda mendapatkan error ”service unavailable” selama deployment, pastikan akun layanan runtime [e-mail] ada dalam project Anda. Untuk membuat ulang akun layanan ini jika sudah dihapus, lihat Membatalkan penghapusan akun layanan.

Lihat juga Memecahkan masalah fungsi Cloud Run.

¹ Fungsi Cloud Run hanya menggunakan akun layanan Cloud Build lama untuk project yang dibuat sebelum Juli 2024.