Crie uma VM que use uma conta de serviço gerenciada pelo usuário

Mantenha tudo organizado com as coleções Salve e categorize o conteúdo com base nas suas preferências.

Este documento explica como criar uma instância de máquina virtual (VM) configurada para usar uma conta de serviço gerenciada pelo usuário. Uma conta de serviço é um tipo especial de conta normalmente usado por um aplicativo ou carga de trabalho de computação para fazer chamadas de API autorizadas.

As contas de serviço são necessárias para cenários em que uma carga de trabalho, como um aplicativo personalizado, precisa acessar Google Cloud recursos ou executar ações sem o envolvimento do usuário final. Para obter mais informações sobre quando usar contas de serviço, consulte Práticas recomendadas para usar contas de serviço .

Se você tiver aplicativos que precisam fazer chamadas para Google Cloud APIs, o Google recomenda que você anexe uma conta de serviço gerenciada pelo usuário à VM na qual o aplicativo ou a carga de trabalho está em execução. Em seguida, você concede funções do IAM à conta de serviço, o que dá à conta de serviço (e, por extensão, aos aplicativos em execução na VM) acesso aGoogle Cloud recursos.

Antes de começar

• Se ainda não o fez, configure a autenticação. Autenticação é o processo pelo qual sua identidade é verificada para acesso a Google Cloud serviços e APIs. Para executar códigos ou amostras em um ambiente de desenvolvimento local, você pode se autenticar no Compute Engine selecionando uma das seguintes opções:
  

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. After installing the Google Cloud CLI, initialize it by running the following command:

     gcloud init

     If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  2. Set a default region and zone.

  Terraform

  Para usar os exemplos do Terraform nesta página em um ambiente de desenvolvimento local, instale e inicialize a gcloud CLI e, em seguida, configure o Application Default Credentials com suas credenciais de usuário.

  1. Install the Google Cloud CLI.

  2. If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  3. To initialize the gcloud CLI, run the following command:

     gcloud init

  4. If you're using a local shell, then create local authentication credentials for your user account:

     gcloud auth application-default login

     You don't need to do this if you're using Cloud Shell.

     If an authentication error is returned, confirm that you have configured the gcloud CLI to use Workforce Identity Federation.

  Confira mais informações em Set up authentication for a local development environment.

  REST

  Para usar as amostras da API REST nesta página em um ambiente de desenvolvimento local, use as credenciais fornecidas para gcloud CLI.

  After installing the Google Cloud CLI, initialize it by running the following command:

  gcloud init

  If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  Para mais informações, consulte Autenticar para usar REST na documentação de autenticação do Google Cloud.

Funções obrigatórias

Para obter as permissões necessárias para criar VMs que usam contas de serviço, peça ao administrador para conceder a você os seguintes papéis do IAM no projeto:

• Administrador de instância do Compute (v1) ( roles/compute.instanceAdmin.v1 )
• Criar contas de serviço ( roles/iam.serviceAccountCreator )
• Administrador do projeto IAM ( roles/resourcemanager.projectIamAdmin )

Para obter mais informações sobre a concessão de funções, consulte Gerenciar acesso a projetos, pastas e organizações .

Essas funções predefinidas contêm as permissões necessárias para criar VMs que usam contas de serviço. Para ver as permissões exatas necessárias, expanda a seção Permissões necessárias :

Você também poderá obter essas permissões com funções personalizadas ou outras funções predefinidas .

Visão geral

É recomendável configurar contas de serviço para suas VMs da seguinte forma:

1. Crie uma nova conta de serviço gerenciada pelo usuário em vez de usar a conta de serviço padrão do Compute Engine e conceda papéis do IAM a essa conta de serviço apenas para os recursos e operações necessários.
2. Anexe a conta de serviço à sua VM.
3. Defina o escopo da plataforma de nuvem ( https://www.googleapis.com/auth/cloud-platform ) na sua VM. Isso permite que a conta de serviço da VM chame o Google Cloud APIs que tem permissão para usar.
   • Se você especificar a conta de serviço usando o console do Google Cloud, o escopo de acesso da VM será automaticamente padronizado para o escopo cloud-platform .
   • Se você especificar a conta de serviço usando a Google Cloud CLI ou a API Compute Engine, poderá usar o parâmetro scopes para definir o escopo de acesso.

Configurar uma conta de serviço

Crie uma conta de serviço e atribua as funções necessárias do IAM. Atribua quantas funções do IAM forem necessárias. Você pode modificar as funções do IAM na sua conta de serviço conforme necessário.

O Google recomenda que você limite os privilégios das contas de serviço e verifique regularmente as permissões da sua conta de serviço para garantir que estejam atualizadas.

Use um dos métodos a seguir para configurar a conta de serviço.

resource "google_service_account" "default" {
  account_id   = "service-account-id"
  display_name = "Service Account"
}

Crie uma VM e anexe a conta de serviço

Depois de criar a conta de serviço, crie uma VM e anexe a conta de serviço criada na seção anterior. Defina também o escopo de acesso da VM para cloud-platform .

Se você já tiver uma VM e quiser configurá-la para usar uma conta de serviço diferente, consulte Alterar a conta de serviço anexada .

Use um dos métodos a seguir para criar uma VM e anexar a conta de serviço.

gcloud compute instances create VM_NAME \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --scopes=https://www.googleapis.com/auth/cloud-platform

gcloud compute instances create example-vm \
    --service-account 123-my-sa@my-project-123.iam.gserviceaccount.com \
    --scopes=https://www.googleapis.com/auth/cloud-platform

resource "google_compute_instance" "default" {
  name         = "my-test-vm"
  machine_type = "n1-standard-1"
  zone         = "us-central1-a"

  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-11"
    }
  }

  // Local SSD disk
  scratch_disk {
    interface = "SCSI"
  }

  network_interface {
    network = "default"

    access_config {
      // Ephemeral public IP
    }
  }

  service_account {
    # Google recommends custom service accounts with `cloud-platform` scope with
    # specific permissions granted via IAM Roles.
    # This approach lets you avoid embedding secret keys or user credentials
    # in your instance, image, or app code
    email  = google_service_account.default.email
    scopes = ["cloud-platform"]
  }
}

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

{
   "machineType":"zones/MACHINE_TYPE_ZONE/machineTypes/MACHINE_TYPE",
   "name":"VM_NAME",
   
   "disks":[
      {
         "initializeParams":{
            "sourceImage":"projects/IMAGE_PROJECT/global/images/IMAGE"
         },
         "boot":true
      }
   ],
   
   
   "networkInterfaces":[
      {
         "network":"global/networks/NETWORK_NAME"
      }
   ],
   
  "serviceAccounts": [
      {
      "email": "SERVICE_ACCOUNT_EMAIL",
      "scopes": ["https://www.googleapis.com/auth/cloud-platform"]
      }
   ],
   "shieldedInstanceConfig":{
      "enableSecureBoot":"ENABLE_SECURE_BOOT"
   }
}

Acesse e use outros Google Cloud serviços

Depois que sua VM estiver configurada para usar a conta de serviço, os aplicativos poderão usar a conta de serviço para autenticação. O método mais comum é autenticar usando credenciais padrão do aplicativo e uma biblioteca cliente. Alguns Google Cloud ferramentas como a CLI gcloud podem usar automaticamente a conta de serviço para acessar Google Cloud APIs de uma VM. Para obter mais informações, consulte Autenticar cargas de trabalho usando contas de serviço .

Se uma conta de serviço for excluída, os aplicativos não terão mais acesso aGoogle Cloud recursos por meio dessa conta de serviço. Se você excluir as contas de serviço padrão do App Engine e do Compute Engine, suas VMs não terão mais acesso aos recursos do projeto. Se você não tiver certeza se uma conta de serviço está sendo usada, o Google recomenda desabilitar a conta de serviço antes de excluí-la. As contas de serviço desativadas poderão ser reativadas se ainda forem necessárias.

Exemplo: acessar recursos do Cloud Storage na sua VM

Depois de configurar sua VM para usar uma conta de serviço que tenha o papel storage.admin , você poderá usar ferramentas como a CLI gcloud para gerenciar arquivos armazenados no Cloud Storage. Para acessar seus recursos do Cloud Storage, faça o seguinte:

1. Certifique-se de que a conta de serviço anexada à sua VM tenha a roles/storage.admin .

2. Se sua VM usar uma imagem de sistema operacional personalizada, instale a CLI gcloud . Por padrão, a CLI gcloud é instalada na maioria das imagens de sistema operacional públicas fornecidas por Google Cloud.

3. Conecte-se à VM.

4. Na VM, use a Google Cloud CLI para gerenciar os recursos do Cloud Storage.

O que vem a seguir?

• Saiba como autenticar cargas de trabalho usando contas de serviço .
• Saiba como alterar a conta de serviço anexada a uma VM .
• Saiba como listar e editar contas de serviço .
• Revise as práticas recomendadas para trabalhar com contas de serviço e reduza os riscos de segurança.