Cette page décrit les agents de service associés à Workload Manager.
Agents de service
Les agents de service sont des comptes de service créés et gérés par Google. Les agents de service agissent comme une identité pour les services Google Cloud afin d'accéder aux ressources de votre projet en votre nom.
Les agents de service sont créés à un moment donné après l'activation et l'utilisation d'une API Google Cloud . Lors de la création, Google attribue souvent un rôle IAM prédéfini spécifique à l'agent de service dans votre projet. Ces rôles contiennent les autorisations minimales requises pour que l'agent de service fonctionne correctement. Pour obtenir la liste complète des agents de service auxquels des rôles sont attribués, consultez Agents de service dans la documentation IAM.
Workload Manager utilise des agents de service pour contrôler l'accès et la communication entre les ressources et les projets associés.Vous pouvez utiliser Google Cloud console ou l'API Workload Manager pour évaluer les charges de travail. Si vous utilisez Google Cloud console, Workload Manager crée automatiquement tous les agents de service requis. Si vous utilisez l'API Workload Manager, vous devez créer manuellement les agents de service.
Rôles requis
Pour obtenir l'autorisation nécessaire pour créer un agent de service, demandez à votre administrateur de vous accorder le rôle IAM Administrateur IAM (Identity and Access Management) du projet (roles/resourcemanager.projectIamAdmin) sur chaque projet cible concerné.
Pour en savoir plus sur l'attribution de rôles, consultez Gérer l'accès aux projets, aux dossiers et aux organisations.
Ce rôle prédéfini contient l'autorisation resourcemanager.projects.setIamPolicy, qui est requise pour créer un agent de service.
Vous pouvez également obtenir cette autorisation avec des rôles personnalisés ou d'autres rôles prédéfinis.
Créer et attribuer des rôles aux agents de service
Console Google Cloud
Si vous utilisez Google Cloud console pour évaluer les charges de travail, Workload Manager crée automatiquement des agents de service dans les projets consommateurs.
L'adresse e-mail de cet agent de service est service-PROJECT_NUMBER@gcp-sa-workloadmanager.iam.gserviceaccount.com. Il s'agit du compte de service Workload Manager.
Les agents de service Workload Manager ont besoin des rôles suivants pour exécuter des évaluations. Si vous y êtes invité, attribuez ces rôles aux agents de service.
- Agent de service Workload Manager (
roles/workloadmanager.serviceAgent) : requis dans les projets cibles. - Nœud de calcul Workload Manager (
roles/workloadmanager.worker) : requis dans le projet consommateur uniquement si vous définissez une fréquence pour l'évaluation.
API Workload Manager
Si vous utilisez l'API Workload Manager pour évaluer des charges de travail, vous devez créer manuellement l'agent de service Workload Manager dans les projets consommateurs avant de créer une évaluation.
Pour créer un agent de service, utilisez la commande gcloud beta services identity create :
gcloud beta services identity create --service=workloadmanager.googleapis.com \
--project=PROJECT_NUMBER
Remplacez PROJECT_NUMBER par l'ID numérique du projet client dans lequel vous souhaitez créer l'agent de service.
Après avoir créé l'agent de service, vous devez lui attribuer les rôles suivants :
- Agent de service Workload Manager (
roles/workloadmanager.serviceAgent) : requis dans les projets cibles. - Nœud de calcul Workload Manager (
roles/workloadmanager.worker) : requis dans le projet consommateur uniquement si vous définissez une fréquence pour l'évaluation.
Pour en savoir plus, consultez Attribuer un rôle à l'agent de service.