חשבון שירות

חשבון שירות הוא סוג מיוחד של חשבון Google שאפליקציות או עומסי עבודה ממוחשבים משתמשים בו כדי לבצע קריאות מורשות ל-API, במקום משתמשים פרטיים. כל חשבון שירות מזוהה באופן ייחודי באמצעות כתובת אימייל. אפליקציות יכולות לבצע אימות כחשבון השירות עצמו, ולקבל גישה לכל המשאבים שלחשבון השירות יש הרשאות לגשת אליהם. שיטה נפוצה היא לצרף חשבון שירות למשאב כמו מכונה של Compute Engine.

יש כמה סוגים של חשבונות שירות ב- Google Cloud, כולל חשבונות שירות בניהול המשתמש שאתם יוצרים, חשבונות שירות שמוגדרים כברירת מחדל שנוצרים באופן אוטומטי על ידי שירותים מסוימים, וסוכני שירות שמנוהלים על ידי Google Cloudכדי לפעול בשמכם. Google Cloud אפליקציות יכולות לקבל פרטי כניסה לטווח קצר או, בצורה פחות מאובטחת, להשתמש במפתחות של חשבונות שירות כדי לבצע אימות.

חשבונות שירות מתפקדים גם כחשבונות משתמשים וגם כמשאבים ב-IAM. כחשבונות משתמשים, אתם יכולים להקצות להם תפקידים כדי לגשת למשאבי Google Cloud . בתור משאבים, אתם יכולים להעניק לחשבונות משתמשים אחרים הרשאות ליצור אינטראקציה עם חשבון השירות, למשל לאפשר למשתמש להתחזות לחשבון השירות.

מומלץ ליצור את חשבון השירות באותו פרויקט שבו נמצא המחבר. מידע נוסף מופיע במאמר יצירת חשבון שירות.

הערה: כשמשתמשים בחשבון שירות מפרויקט אחר Google Cloud שונה מהפרויקט שבו מוגדר החיבור, יכול להיות שתיתקלו בשגיאה PERMISSION_DENIED עם ההודעה 'ההרשאה iam.serviceAccounts.getAccessToken נדחתה'. השגיאה הזו מתרחשת כי ההרשאות שמוענקות כברירת מחדל לסוכן השירות (P4SA) של Integration Connectors לא חלות על פרויקטים שונים. כדי לפתור את הבעיה, בפרויקט שמכיל את חשבון השירות, צריך להקצות לסוכן השירות של Integration Connectors את התפקיד יצירת אסימונים בחשבון שירות (roles/iam.serviceAccountTokenCreator). מידע נוסף זמין במאמר בנושא חשבון שירות.