이 페이지에서는 워크로드 관리자와 관련된 서비스 에이전트를 설명합니다.
서비스 에이전트
서비스 에이전트는 Google에서 생성하고 관리하는 서비스 계정입니다. 서비스 에이전트는 Google Cloud 서비스가 사용자를 대신하여 프로젝트 내 리소스에 액세스할 수 있는 ID로 작동합니다.
서비스 에이전트는 Google Cloud API를 사용 설정하고 사용한 후 어느 시점에 생성됩니다. 생성 시 Google은 프로젝트의 서비스 에이전트에게 특정 사전 정의된 IAM 역할을 부여하는 경우가 많습니다. 이러한 역할에는 서비스 에이전트가 올바르게 작동하는 데 필요한 최소 권한이 포함되어 있습니다. 역할이 부여된 서비스 에이전트의 전체 목록은 IAM 문서의 서비스 에이전트를 참고하세요.
워크로드 관리자는 서비스 에이전트를 사용하여 리소스와 연결된 프로젝트 간의 액세스 및 통신을 제어합니다.Google Cloud console 또는 워크로드 관리자 API를 사용하여 워크로드를 평가할 수 있습니다. Google Cloud console를 사용하는 경우 워크로드 관리자가 필요한 모든 서비스 에이전트를 자동으로 만듭니다. 워크로드 관리자 API를 사용하는 경우 서비스 에이전트를 수동으로 만들어야 합니다.
필요한 역할
서비스 에이전트를 만드는 데 필요한 권한을 얻으려면 관리자에게 범위 내 각 타겟 프로젝트에 대한 프로젝트 ID 및 액세스 관리 (IAM) 관리자 (roles/resourcemanager.projectIamAdmin) IAM 역할을 부여해 달라고 요청하세요.
역할 부여에 대한 자세한 내용은 프로젝트, 폴더, 조직에 대한 액세스 관리를 참조하세요.
이 사전 정의된 역할에는 서비스 에이전트를 만드는 데 필요한 resourcemanager.projects.setIamPolicy 권한이 포함되어 있습니다.
커스텀 역할이나 다른 사전 정의된 역할을 사용하여 이 권한을 가져올 수도 있습니다.
서비스 에이전트 만들기 및 역할 부여
Google Cloud 콘솔
Google Cloud console 를 사용하여 워크로드를 평가하면 워크로드 관리자가 소비자 프로젝트에 서비스 에이전트를 자동으로 만듭니다.
이 서비스 에이전트의 이메일 주소는 service-PROJECT_NUMBER@gcp-sa-workloadmanager.iam.gserviceaccount.com이며, 워크로드 관리자 서비스 계정이라고 합니다.
워크로드 관리자 서비스 에이전트가 평가를 실행하려면 다음 역할이 필요합니다. 메시지가 표시되면 서비스 에이전트에게 이러한 역할을 부여합니다.
- 워크로드 관리자 서비스 에이전트 (
roles/workloadmanager.serviceAgent): 대상 프로젝트에 필요합니다. - 워크로드 관리자 작업자 (
roles/workloadmanager.worker): 평가 빈도를 설정한 경우에만 소비자 프로젝트에서 필요합니다.
Workload Manager API
워크로드 관리자 API를 사용하여 워크로드를 평가하는 경우 평가를 만들기 전에 소비자 프로젝트에서 워크로드 관리자 서비스 에이전트를 수동으로 만들어야 합니다.
서비스 에이전트를 만들려면 gcloud beta services identity create 명령어를 사용합니다.
gcloud beta services identity create --service=workloadmanager.googleapis.com \
--project=PROJECT_NUMBER
PROJECT_NUMBER를 서비스 에이전트를 만들려는 소비자 프로젝트의 숫자 ID로 바꿉니다.
서비스 에이전트를 만든 후 서비스 에이전트에 다음 역할을 부여해야 합니다.
- 워크로드 관리자 서비스 에이전트 (
roles/workloadmanager.serviceAgent): 대상 프로젝트에 필요합니다. - 워크로드 관리자 작업자 (
roles/workloadmanager.worker): 평가 빈도를 설정한 경우에만 소비자 프로젝트에서 필요합니다.
자세한 내용은 서비스 에이전트에 역할 부여를 참고하세요.