Auf dieser Seite werden die Dienst-Agents beschrieben, die für den Workload Manager relevant sind.
Dienst-Agents
Dienst-Agents sind Dienstkonten, die von Google erstellt und verwaltet werden. Dienst-Agents fungieren als Identität für Google Cloud Dienste, um in Ihrem Namen auf Ressourcen in Ihrem Projekt zuzugreifen.
Dienst-Agents werden irgendwann nach der Aktivierung und Verwendung einer Google Cloud API erstellt. Bei der Erstellung weist Google dem Dienst- Agent in Ihrem Projekt häufig eine bestimmte, vordefinierte IAM-Rolle zu. Diese Rollen enthalten die Mindestberechtigungen, die für die ordnungsgemäße Funktion des Dienst Agents erforderlich sind. Eine vollständige Liste der Dienst-Agents, denen Rollen zugewiesen wurden, finden Sie in der IAM-Dokumentation unter Dienst-Agents.
Workload Manager verwendet Dienst-Agents um den Zugriff und die Kommunikation zwischen Ressourcen und den zugehörigen Projekten zu steuern.Sie können die Google Cloud console oder die Workload Manager API verwenden, um Arbeitslasten zu bewerten. Wenn Sie die Google Cloud consoleverwenden, erstellt der Workload Manager automatisch alle erforderlichen Dienst-Agents. Wenn Sie die Workload Manager API verwenden, müssen Sie die Dienst-Agents manuell erstellen.
Erforderliche Rollen
Bitten Sie Ihren Administrator, Ihnen für jedes Zielprojekt im Umfang die IAM-Rolle Projekt-IAM-Administrator (roles/resourcemanager.projectIamAdmin) zuzuweisen, um die Berechtigung zum Erstellen eines Dienst-Agents zu erhalten.
Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.
Diese vordefinierte Rolle enthält die
resourcemanager.projects.setIamPolicy
Berechtigung,
die zum Erstellen eines Dienst-Agents erforderlich ist.
Sie können diese Berechtigung auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.
Rollen für Dienst-Agents erstellen und zuweisen
Google Cloud Console
Wenn Sie die Google Cloud console verwenden, um Arbeitslasten zu bewerten, erstellt der Workload Manager automatisch Dienst-Agents in den Nutzerprojekten.
Die E-Mail-Adresse für diesen Dienst-Agent lautet
service-PROJECT_NUMBER@gcp-sa-workloadmanager.iam.gserviceaccount.com,
und er wird als Dienstkonto des Workload Managers bezeichnet.
Für die Ausführung von Bewertungen benötigen Dienst-Agents des Workload Manager die folgenden Rollen. Weisen Sie den Dienst-Agents diese Rollen zu, wenn Sie dazu aufgefordert werden.
- Workload Manager Service Agent (
roles/workloadmanager.serviceAgent): in den Zielprojekten erforderlich. - Workload Manager Worker (
roles/workloadmanager.worker): nur im Nutzerprojekt erforderlich, wenn Sie eine Häufigkeit für die Bewertung festlegen.
Workload Manager API
Wenn Sie die Workload Manager API verwenden, um Arbeitslasten zu bewerten, müssen Sie den Dienst-Agent des Workload Managers in den Nutzerprojekten manuell erstellen, bevor Sie eine Bewertung erstellen.
Verwenden Sie den gcloud beta services identity createBefehl, um einen Dienst-Agent zu erstellen:
gcloud beta services identity create --service=workloadmanager.googleapis.com \
--project=PROJECT_NUMBER
Ersetzen Sie PROJECT_NUMBER durch die numerische ID des Nutzerprojekts, in dem Sie den Dienst-Agent erstellen möchten.
Nachdem Sie den Dienst-Agent erstellt haben, müssen Sie ihm die folgenden Rollen zuweisen:
- Workload Manager Service Agent (
roles/workloadmanager.serviceAgent): in den Zielprojekten erforderlich. - Workload Manager Worker (
roles/workloadmanager.worker): nur im Nutzerprojekt erforderlich, wenn Sie eine Häufigkeit für die Bewertung festlegen.
Weitere Informationen finden Sie unter Dienst-Agent eine Rolle zuweisen.