Questa pagina descrive gli agenti di servizio pertinenti a Workload Manager.
Agenti di servizio
I service agent sono service account creati e gestiti da Google. Gli agenti di servizio fungono da identità per i servizi Google Cloud per accedere alle risorse all'interno del tuo progetto per tuo conto.
Gli agenti di servizio vengono creati a un certo punto dopo l'attivazione e l'utilizzo di un'API Google Cloud . Al momento della creazione, Google spesso concede un ruolo IAM specifico e predefinito all'agente di servizio del tuo progetto. Questi ruoli contengono le autorizzazioni minime necessarie per il corretto funzionamento del service agent. Per un elenco completo degli agenti di servizio a cui vengono concessi i ruoli, consulta Agenti di servizio nella documentazione di IAM.
Workload Manager utilizza service agent per controllare l'accesso e la comunicazione tra le risorse e i progetti associati.Puoi utilizzare Google Cloud console o l'API Workload Manager per valutare i carichi di lavoro. Se utilizzi Google Cloud console, Workload Manager crea automaticamente tutti gli agenti di servizio richiesti. Se utilizzi l'API Workload Manager, devi creare manualmente gli agenti di servizio.
Ruoli obbligatori
Per ottenere l'autorizzazione necessaria per creare un service agent, chiedi all'amministratore di concederti il ruolo IAM Project Identity and Access Management (IAM) Admin (roles/resourcemanager.projectIamAdmin) in ogni progetto di destinazione nell'ambito.
Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.
Questo ruolo predefinito contiene l'autorizzazione
resourcemanager.projects.setIamPolicy
necessaria per
creare un service agent.
Potresti anche ottenere questa autorizzazione con ruoli personalizzati o altri ruoli predefiniti.
Creare e concedere ruoli agli agenti di servizio
Console Google Cloud
Se utilizzi Google Cloud console per valutare i carichi di lavoro, Workload Manager crea automaticamente i service agent nei progetti consumer.
L'indirizzo email di questo service agent è
service-PROJECT_NUMBER@gcp-sa-workloadmanager.iam.gserviceaccount.com,
e si chiama service account Workload Manager.
I service agent Workload Manager richiedono i seguenti ruoli per eseguire le valutazioni. Se richiesto, concedi questi ruoli agli agenti di servizio.
- Workload Manager Service Agent (
roles/workloadmanager.serviceAgent): richiesto nei progetti di destinazione. - Workload Manager Worker (
roles/workloadmanager.worker): richiesto nel progetto consumer solo se imposti una frequenza per la valutazione.
API Workload Manager
Se utilizzi l'API Workload Manager per valutare i carichi di lavoro, devi creare manualmente il service agent Workload Manager nei progetti consumer prima di creare una valutazione.
Per creare un service agent, utilizza il comando gcloud beta services identity create:
gcloud beta services identity create --service=workloadmanager.googleapis.com \
--project=PROJECT_NUMBER
Sostituisci PROJECT_NUMBER con l'ID numerico del progetto consumer
in cui vuoi creare l'agente di servizio.
Dopo aver creato il service agent, devi concedergli i seguenti ruoli:
- Workload Manager Service Agent (
roles/workloadmanager.serviceAgent): richiesto nei progetti di destinazione. - Workload Manager Worker (
roles/workloadmanager.worker): richiesto nel progetto consumer solo se imposti una frequenza per la valutazione.
Per saperne di più, vedi Concedere un ruolo al service agent.