Configurar a identidade do serviço para serviços

Um serviço ou revisão do Cloud Run tem uma identidade de serviço usada como a conta autenticada para acessar Google Cloud APIs do seu contêiner da instância do Cloud Run. Para saber mais sobre a identidade de serviço, consulte o guia Introdução à identidade de serviço.

Como a identidade do serviço é usada

No Cloud Run, a identidade do serviço é uma conta de serviço que é um recurso e um principal.

Identidade de serviço como um recurso: para anexar uma conta de serviço como a identidade de serviço, a conta do implantador precisa ter acesso ao recurso de identidade de serviço. Algumas operações, como criação ou atualização de um serviço ou revisão, exigem que a conta do implantador tenha permissões no recurso de identidade do serviço.
Identidade do serviço como principal: para acessar Google Cloud APIs de um serviço ou revisão do Cloud Run, conceda à identidade do serviço os papéis ou as permissões necessários para as operações que o serviço ou revisão seja executado.

A próxima seção aborda os papéis necessários para conceder à conta do implantador acesso ao recurso de identidade de serviço e os papéis ou permissões de que o principal da conta de serviço precisa.

Funções exigidas

Você ou seu administrador precisa conceder papéis e permissões do IAM para a conta do implantador e a identidade do serviço.

Clique para conferir os papéis necessários para a conta do implantador

Para ter as permissões necessárias para anexar uma conta de serviço como a identidade no serviço ou na revisão, você ou o administrador precisa conceder à conta do implantador o papel Usuário da conta de serviço (roles/iam.serviceAccountUser) na conta de serviço usada como identidade.

Esse papel predefinido contém a permissão iam.serviceAccounts.actAs, que é necessária para anexar uma conta de serviço ao serviço ou revisão. Também é possível conseguir essa permissão configurando papéis personalizados ou usando outros papéis predefinidos.

Para instruções sobre como conceder esse papel na identidade do serviço à conta do implantador, consulte as permissões de implantação. Se a conta de serviço estiver em um projeto diferente do serviço ou da revisão do Cloud Run, você ou seu administrador também precisarão configurar um papel do IAM para o agente de serviço do Cloud Run e definir uma política da organização. Consulte Usar contas de serviço em outros projetos para mais detalhes.

Clique para conferir os papéis necessários para a identidade do serviço

Para permitir que a identidade do serviço acesse Google Cloud APIs do Cloud Run, você ou seu administrador precisa conceder à identidade as permissões ou papéis exigidos pelas operações que você quer realizar. Para acessar bibliotecas de cliente específicas do Cloud, consulte a Google Cloud documentação do Google Cloud serviço.

Se um serviço ou revisão do Cloud Run não acessar outros Google Cloud serviços, não será necessário conceder à identidade do serviço nenhum papel ou permissão e você poderá usar a conta de serviço padrão atribuída ao projeto.

Receber recomendações para criar contas de serviço dedicadas

Quando você cria uma nova conta de serviço no Google Cloud console, a etapa opcional "Conceder a essa conta de serviço acesso ao projeto" é para qualquer acesso adicional necessário. Por exemplo, um serviço do Cloud Run pode invocar outro serviço particular do Cloud Run, ou pode acessar um banco de dados do Cloud SQL, ambos que exigem papéis específicos do IAM. Consulte a documentação sobre como gerenciar o acesso para mais informações.

O serviço do recomendador fornece recomendações automaticamente para criar contas de serviço dedicadas com o conjunto mínimo de permissões necessárias.

Configurar a identidade do serviço

Se você ainda não criou uma conta de serviço, é possível criar uma conta de serviço gerenciado pelo usuário no IAM ou no Cloud Run.

Para configurar a identidade do serviço, use o Google Cloud console, a CLI gcloud, a API (YAML) ao criar um novo serviço ou implantar uma nova revisão ou Terraform:

Console

No Google Cloud console, acesse o Cloud Run:

Acessar o Cloud Run
Selecione Serviços no menu de navegação do Cloud Run e clique em Implantar contêiner para configurar um novo serviço. Se você estiver configurando um serviço atual, clique nele e em Editar e implantar nova revisão.
Se você estiver configurando um novo serviço, preencha a página de configurações iniciais do serviço e clique em Contêineres, rede, segurança para expandir a página de configurações de serviço.
Clique na guia Segurança.
- Clique no menu suspenso Conta de serviço e selecione uma conta de serviço atual ou clique em Criar uma nova conta de serviço, se aplicável.
Clique em Criar ou Implantar.

gcloud

É possível atualizar um serviço atual para ter uma nova conta de serviço usando o seguinte comando:

gcloud run services update SERVICE --service-account SERVICE_ACCOUNT

Substitua:

SERVICE: o nome do seu serviço.
SERVICE_ACCOUNT: a conta de serviço associada à nova identidade. Esse valor é o endereço de e-mail da conta de serviço, por exemplo, example@myproject.iam.gserviceaccount.com.

Também é possível definir uma conta de serviço durante a implantação usando o comando:

gcloud run deploy --image IMAGE_URL --service-account SERVICE_ACCOUNT

Substitua:

IMAGE_URL: uma referência à imagem do contêiner, por exemplo, us-docker.pkg.dev/cloudrun/container/hello:latest. Se você usa o Artifact Registry, o repositório REPO_NAME já precisará ter sido criado. O URL segue o formato de LOCATION-docker.pkg.dev/PROJECT_ID/REPO_NAME/PATH:TAG .
SERVICE_ACCOUNT: a conta de serviço associada à nova identidade. Esse valor é o endereço de e-mail da conta de serviço, por exemplo, example@myservice.iam.gserviceaccount.com.

YAML

Se você estiver criando um novo serviço, pule esta etapa. Se você estiver atualizando um serviço existente, faça o download da configuração YAML correspondente:
```
gcloud run services describe SERVICE --format export > service.yaml
```
Atualize o atributo serviceAccountName::
```
apiVersion: serving.knative.dev/v1
kind: Service
metadata:
  name: SERVICE
spec:
  template:
    spec:
      serviceAccountName: SERVICE_ACCOUNT
```
Substitua:
- SERVICE: o nome do seu serviço do Cloud Run.
- SERVICE_ACCOUNT: a conta de serviço associada a nova identidade. Esse valor é o endereço de e-mail da conta de serviço , por exemplo, SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com.
Crie ou atualize o serviço usando o seguinte comando:
```
gcloud run services replace service.yaml
```

Terraform

Para saber como aplicar ou remover uma configuração do Terraform, consulte Comandos básicos do Terraform.

Adicione o seguinte a um google_cloud_run_v2_service recurso na configuração do Terraform:

Para criar uma conta de serviço, adicione o seguinte recurso ao seu arquivo main.tf atual:

resource "google_service_account" "cloudrun_service_identity" {
  account_id = "my-service-account"
}

Crie ou atualize um serviço do Cloud Run e inclua sua conta de serviço:

resource "google_cloud_run_v2_service" "default" {
  name     = "id-service"
  location = "us-central1"

  deletion_protection = false # set to "true" in production

  template {
    containers {
      image = "us-docker.pkg.dev/cloudrun/container/hello"
    }
    service_account = google_service_account.cloudrun_service_identity.email
  }
}

Usar contas de serviço em outros projetos

Se você configurar uma conta de serviço de um diferente Google Cloud projeto do recurso do Cloud Run, faça o seguinte:

Você ou seu administrador precisa conceder o papel de usuário da conta de serviço (roles/iam.serviceAccountUser) na conta de serviço usada como a identidade do serviço.
Console
1. Acesse a página Contas de serviço do Google Cloud console:
  Acesse as Contas de serviço
2. Selecione o endereço de e-mail da conta de serviço que você está usando como a identidade do serviço.
3. Clique na guia Principais com acesso.
4. Clique no botão Permitir acesso.
5. Insira o endereço de e-mail da conta do implantador que corresponde ao principal a que você está concedendo o papel de Administrador ou Desenvolvedor.
6. Na lista suspensa Selecionar um papel, selecione o papel Contas de serviço > Usuário da conta de serviço.
7. Clique em Salvar.
gcloud
Use o comando gcloud iam service-accounts add-iam-policy-binding, substituindo as variáveis destacadas pelos valores apropriados:
```
gcloud iam service-accounts add-iam-policy-binding \
    SERVICE_ACCOUNT_NAME@SERVICE_ACCOUNT_PROJECT_ID.iam.gserviceaccount.com \
    --member="PRINCIPAL" \
    --role="roles/iam.serviceAccountUser"
```
Substitua:
- SERVICE_ACCOUNT_NAME: o nome da conta de serviço à qual você está anexando o recurso do Cloud Run.
- SERVICE_ACCOUNT_PROJECT_ID: o ID do projeto em que a conta de serviço está localizada.
- PRINCIPAL: a conta do implantador a que você está adicionando a vinculação, usando o formato user|group|serviceAccount:email ou domain:domain, por exemplo:
  - user:test-user@gmail.com
  - group:admins@example.com
  - serviceAccount:test123@example.domain.com
  - domain:example.domain.com
Você ou seu administrador precisa conceder ao agente de serviço do recurso do Cloud Run o papel Criador de token da conta de serviço (roles/iam.serviceAccountTokenCreator) na conta de serviço usada como identidade de serviço. O agente de serviço segue o formato de service-PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com.
Console
1. Acesse a página Contas de serviço do Google Cloud console:
  Acesse as Contas de serviço
2. Selecione o endereço de e-mail da conta de serviço que você está usando como a identidade do serviço.
3. Clique na guia Permissões.
4. Clique no botão Permitir acesso.
5. Digite o endereço de e-mail do agente de serviço. Por exemplo: service-PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com.
6. No menu suspenso Selecionar um papel, escolha o papel Contas de serviço > Criador de token de conta de serviço.
7. Clique em Salvar.
gcloud
Use o comando gcloud iam service-accounts add-iam-policy-binding:
```
gcloud iam service-accounts add-iam-policy-binding \
    SERVICE_ACCOUNT_NAME@SERVICE_ACCOUNT_PROJECT_ID.iam.gserviceaccount.com \
    --member="serviceAccount:service-CLOUD_RUN_RESOURCE_PROJECT_NUMBER@serverless-robot-prod.iam.gserviceaccount.com" \
    --role="roles/iam.serviceAccountTokenCreator"
```
Substitua:
- SERVICE_ACCOUNT_NAME: o nome da conta de serviço à qual você está anexando o recurso do Cloud Run.
- SERVICE_ACCOUNT_PROJECT_ID: o ID do projeto em que a conta de serviço está localizada.
- CLOUD_RUN_RESOURCE_PROJECT_NUMBER: o número do projeto em que o Cloud Run está localizado.
O comando imprime a política e permissão datualizada na conta de serviço gerenciado pelo usuário.
O projeto que contém essa conta de serviço requer que a política organizacional iam.disableCrossProjectServiceAccountUsage seja definida como falsa ou não executada no nível da pasta ou herdada das configurações para envolvidos no projeto. Por padrão, essa opção é definida como true.
Console
1. Acesse a página Políticas da organização no Google Cloud console:
  Acessar a página Políticas da organização
2. No seletor de projeto, escolha a organização e o projeto em que você quer desativar o uso da conta de serviço entre projetos.
3. Selecione a política desativar o uso de contas de serviço entre projetos.
4. Clique em Gerenciar política.
5. Em Origem da política, selecione Substituir política principal.
6. Clique em Adicionar uma regra.
7. Em Aplicação, selecione Desativada.
8. Para aplicar a política, clique em Definir política.
gcloud
No projeto que tem a conta de serviço, verifique se a restrição de política da organização iam.disableCrossProjectServiceAccountUsage não foi aplicada. Essa restrição é aplicada por padrão.

Para desativar essa restrição de política da organização, execute:
```
gcloud resource-manager org-policies disable-enforce iam.disableCrossProjectServiceAccountUsage
    --project=SERVICE_ACCOUNT_PROJECT_ID
```
Substitua SERVICE_ACCOUNT_PROJECT_ID pelo ID do projeto que contém a conta de serviço.

É possível aplicar associações de papéis diretamente ao recurso da conta de serviço ou herdar de níveis mais altos na hierarquia de recursos.

A seguir

Para mais informações sobre contas de serviço, consulte os guias da conta de serviço do IAM e da conta serviço gerenciado pelo usuário.
Se o serviço, job ou pool de trabalhadores do Cloud Run acessar APIs ou Google Cloud serviços do Google, configure sua conta de serviço como a identidade do serviço. Saiba mais.

Configurar a identidade do serviço para serviços Mantenha tudo organizado com as coleções Salve e categorize o conteúdo com base nas suas preferências.

Como a identidade do serviço é usada

Funções exigidas

Clique para conferir os papéis necessários para a conta do implantador

Clique para conferir os papéis necessários para a identidade do serviço

Receber recomendações para criar contas de serviço dedicadas

Configurar a identidade do serviço

Console

gcloud

YAML

Terraform

Usar contas de serviço em outros projetos

Console

gcloud

Console

gcloud

Console

gcloud

A seguir

Configurar a identidade do serviço para serviços