יצירת מכונה וירטואלית שמשתמשת בחשבון שירות שמנוהל על ידי משתמש

במאמר הזה מוסבר איך ליצור מכונה וירטואלית (VM) שמוגדרת לשימוש בחשבון שירות שמנוהל על ידי משתמש. חשבון שירות הוא סוג מיוחד של חשבון, שמשמש בדרך כלל אפליקציה או עומס עבודה ממוחשב כדי לבצע קריאות מורשות ל-API.

חשבונות שירות נדרשים במקרים שבהם עומס עבודה (workload), כמו אפליקציה בהתאמה אישית, צריך גישה למשאבים או לבצע פעולות בלי מעורבות של משתמש קצה. Cloud de Confiance by S3NS מידע נוסף על מקרים שבהם כדאי להשתמש בחשבונות שירות זמין במאמר שיטות מומלצות לשימוש בחשבונות שירות.

אם יש לכם אפליקציות שצריכות לבצע קריאות לממשקי Cloud de Confiance by S3NS API, מומלץ לצרף חשבון שירות בניהול המשתמשים למכונה הווירטואלית שבה האפליקציה או עומס העבודה פועלים. לאחר מכן, מקצים לחשבון השירות תפקידי IAM, וכך מאפשרים לחשבון השירות (ולאפליקציות שפועלות במכונה) לגשת לCloud de Confiance by S3NS משאבים.

לפני שמתחילים

• אם עדיין לא עשיתם את זה, תצטרכו להגדיר אימות. אימות הוא תהליך שבו מאמתים את הזהות שלכם כדי לקבל גישה לממשקי API ולשירותים של Cloud de Confiance by S3NS . כדי להריץ קוד או דוגמאות מסביבת פיתוח מקומית, אפשר לבצע אימות ל-Compute Engine באחת מהדרכים הבאות:

  צריך לבחור את הכרטיסייה הרלוונטית לאופן שבו תכננתם להשתמש בדוגמאות בדף הזה:

  המסוף

  כשמשתמשים במסוף Cloud de Confiance כדי לגשת לשירותים ולממשקי ה-API, לא צריך להגדיר אימות. Cloud de Confiance by S3NS

  gcloud

  1. התקינו את ה-CLI של Google Cloud ואז היכנסו ל-CLI של gcloud באמצעות הזהות המאוחדת שלכם. אחרי שנכנסתם לחשבון, אתחלו את ה-CLI של Google Cloud באמצעות הפקודה הבאה:

     gcloud init

• הגדרת אזור ותחום כברירת מחדל

Terraform

כדי להשתמש בסביבת פיתוח מקומית בדוגמאות של Terraform שבדף הזה, מתקינים ומפעילים את ה-CLI של gcloud, ואז מגדירים את Application Default Credentials באמצעות פרטי הכניסה של המשתמש.

1. התקינו את ה-CLI של Google Cloud.

2. הגדירו שה-CLI של gcloud ישתמש בזהות המאוחדת שלכם.

   איך נכנסים ל-CLI של gcloud באמצעות הזהות המאוחדת?

3. יוצרים פרטי כניסה לאימות מקומי עבור חשבון המשתמש:

   gcloud auth application-default login

   אם מוחזרת שגיאת אימות ואתם משתמשים בספק זהויות חיצוני (IdP), ודאו ש נכנסתם ל-CLI של gcloud באמצעות המאגר המאוחד לניהול זהויות.

מידע נוסף זמין במאמר הגדרת אימות לסביבת פיתוח מקומית.

REST

כדי להשתמש בסביבת פיתוח מקומית בדוגמאות של API בארכיטקטורת REST שבדף הזה, צריך להשתמש בפרטי הכניסה שאתם נותנים ל-CLI של gcloud.

התקינו את ה-CLI של Google Cloud ואז היכנסו ל-CLI של gcloud באמצעות הזהות המאוחדת שלכם.

מידע נוסף מופיע במאמר אימות לשימוש ב-REST במסמכי האימות של Cloud de Confiance .

התפקידים הנדרשים

כדי לקבל את ההרשאות שדרושות ליצירת מכונות וירטואליות שמשתמשות בחשבונות שירות, צריך לבקש מהאדמין להקצות לכם את תפקידי ה-IAM הבאים בפרויקט:

• Compute Instance Admin (v1) (roles/compute.instanceAdmin.v1)
• יצירת חשבונות שירות (roles/iam.serviceAccountCreator)
• אדמין IAM בפרויקט (roles/resourcemanager.projectIamAdmin)

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

התפקידים המוגדרים מראש האלה מכילים את ההרשאות שנדרשות ליצירת מכונות וירטואליות שמשתמשות בחשבונות שירות. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

סקירה כללית

מומלץ להגדיר חשבונות שירות למכונות הווירטואליות באופן הבא:

1. יוצרים חשבון שירות חדש שמנוהל על ידי המשתמש במקום להשתמש בחשבון השירות שמוגדר כברירת מחדל של Compute Engine, ומקצים לחשבון השירות הזה תפקידי IAM רק למשאבים ולפעולות שהוא צריך.
2. מצרפים את חשבון השירות למכונה הווירטואלית.
3. מגדירים את היקף פלטפורמת הענן (https://www.googleapis.com/auth/cloud-platform) במכונה הווירטואלית. כך חשבון השירות של מכונת ה-VM יכול לקרוא לממשקי ה-API שיש לו הרשאה להשתמש בהם. Cloud de Confiance by S3NS
   • אם מציינים את חשבון השירות באמצעות Cloud de Confiance המסוף, צריך להגדיר את היקף הגישה של חשבון השירות לAllow full access to all Cloud APIs.
   • אם מציינים את חשבון השירות באמצעות Google Cloud CLI או Compute Engine API, אפשר להשתמש בפרמטר scopes כדי להגדיר את היקף הגישה.

הגדרה של חשבון שירות

יוצרים חשבון שירות ומקצים לו את תפקידי ה-IAM הנדרשים. מקצים כמה תפקידי IAM שצריך. אפשר לשנות את תפקידי ה-IAM בחשבון השירות לפי הצורך.

‫Google ממליצה להגביל את ההרשאות של חשבונות שירות ולבדוק באופן קבוע את ההרשאות של חשבונות השירות כדי לוודא שהן עדכניות.

אפשר להגדיר את חשבון השירות באחת מהדרכים הבאות.

resource "google_service_account" "default" {
  account_id   = "service-account-id"
  display_name = "Service Account"
}

יצירת מכונה וירטואלית וצירוף חשבון השירות

אחרי שיוצרים את חשבון השירות, יוצרים מכונה וירטואלית ומצרפים אליה את חשבון השירות שיצרתם בקטע הקודם. צריך גם להגדיר את היקף הגישה של ה-VM ל-cloud-platform.

היקפי הגישה שמוגדרים במכונה וירטואלית מגדירים את היקפי הגישה המקסימליים לאסימוני גישה מסוג OAuth2 משרת המטא-נתונים. אתם יכולים לבקש אסימונים עם פחות היקפי הרשאה מהברירת מחדל. מידע נוסף זמין במאמר קבלת אסימוני גישה ספציפיים מסוג OAuth2.

אם כבר יש לכם מכונה וירטואלית ואתם רוצים להגדיר אותה לשימוש בחשבון שירות אחר, אפשר לעיין במאמר בנושא שינוי חשבון השירות המצורף.

אפשר להשתמש באחת מהשיטות הבאות כדי ליצור מכונה וירטואלית ולצרף אליה את חשבון השירות.

gcloud compute instances create VM_NAME \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --scopes=https://www.googleapis.com/auth/cloud-platform

gcloud compute instances create example-vm \
    --service-account 123-my-sa@my-project-123.s3ns.iam.gserviceaccount.com \
    --scopes=https://www.googleapis.com/auth/cloud-platform

resource "google_compute_instance" "default" {
  name         = "my-test-vm"
  machine_type = "n1-standard-1"
  zone         = "us-central1-a"

  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-11"
    }
  }

  // Local SSD disk
  scratch_disk {
    interface = "SCSI"
  }

  network_interface {
    network = "default"

    access_config {
      // Ephemeral public IP
    }
  }

  service_account {
    # Google recommends custom service accounts with `cloud-platform` scope with
    # specific permissions granted via IAM Roles.
    # This approach lets you avoid embedding secret keys or user credentials
    # in your instance, image, or app code
    email  = google_service_account.default.email
    scopes = ["cloud-platform"]
  }
}

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

{
   "machineType":"zones/MACHINE_TYPE_ZONE/machineTypes/MACHINE_TYPE",
   "name":"VM_NAME",
   
   "disks":[
      {
         "initializeParams":{
            "sourceImage":"projects/IMAGE_PROJECT/global/images/IMAGE"
         },
         "boot":true
      }
   ],
   
   
   "networkInterfaces":[
      {
         "network":"global/networks/NETWORK_NAME"
      }
   ],
   
  "serviceAccounts": [
      {
      "email": "SERVICE_ACCOUNT_EMAIL",
      "scopes": ["https://www.googleapis.com/auth/cloud-platform"]
      }
   ],
   "shieldedInstanceConfig":{
      "enableSecureBoot":"ENABLE_SECURE_BOOT"
   }
}

גישה לשירותים אחרים Cloud de Confiance by S3NS ושימוש בהם

אחרי שמגדירים את המכונה הווירטואלית לשימוש בחשבון השירות, אפשר להשתמש בחשבון השירות כדי לבצע אימות באפליקציות. השיטה הנפוצה ביותר היא אימות באמצעות Application Default Credentials וספריית לקוח. חלק מהכלים, כמו ה-CLI של gcloud, יכולים להשתמש באופן אוטומטי בחשבון השירות כדי לגשת לממשקי API ממכונה וירטואלית. Cloud de Confiance by S3NS Cloud de Confiance by S3NS מידע נוסף זמין במאמר אימות עומסי עבודה באמצעות חשבונות שירות.

אם חשבון שירות נמחק, לאפליקציות לא תהיה יותר גישה למשאבים דרך חשבון השירות הזה.Cloud de Confiance by S3NS אם מוחקים את חשבונות השירות שמוגדרים כברירת מחדל ב-App Engine וב-Compute Engine, למכונות הווירטואליות לא תהיה יותר גישה למשאבים בפרויקט. אם לא בטוחים אם משתמשים בחשבון שירות, Google ממליצה להשבית את חשבון השירות לפני שמחליטים למחוק אותו. אפשר להפעיל מחדש חשבונות שירות מושבתים אם הם עדיין נחוצים.

דוגמה: גישה למשאבים של Cloud Storage ממכונת ה-VM

אחרי שמגדירים את המכונה הווירטואלית לשימוש בחשבון שירות עם תפקיד storage.admin, אפשר להשתמש בכלים כמו ה-CLI של gcloud כדי לנהל קבצים ששמרתם ב-Cloud Storage. כדי לגשת למשאבים של Cloud Storage, צריך לבצע את הפעולות הבאות:

1. מוודאים שלחשבון השירות שמחובר למכונה הווירטואלית מוקצה התפקיד roles/storage.admin.

2. אם ה-VM שלכם משתמש בקובץ אימג' מותאם אישית של מערכת הפעלה, צריך להתקין את ה-CLI של gcloud. כברירת מחדל, ה-CLI של gcloud מותקן ברוב תמונות מערכות ההפעלה הציבוריות שמסופקות על ידי Cloud de Confiance by S3NS.

3. מתחברים ל-VM.

4. מתוך מכונת ה-VM, משתמשים ב-Google Cloud CLI כדי לנהל את המשאבים ב-Cloud Storage.

מה השלב הבא?

• איך מאמתים עומסי עבודה באמצעות חשבונות שירות
• איך משנים את חשבון השירות שמצורף למכונה וירטואלית
• איך מציגים חשבון שירות ועורכים אותו
• כדאי לעיין בשיטות המומלצות לשימוש בחשבונות שירות כדי לצמצם את סיכוני האבטחה.