创建使用用户管理的服务账号的虚拟机

控制台

In the Trusted Cloud console, go to the Create service account page.

Go to Create service account
1. Select your project.

2. In the Service account name field, enter a name. The Trusted Cloud console fills in the Service account ID field based on this name.

   In the Service account description field, enter a description. For example, Service account for quickstart.

3. Click Create and continue.

4. Grant the required roles to the service account.

   To grant a role, find the Select a role list, then select the role.

   To grant additional roles, click add Add another role and add each additional role.

5. Click Continue.

6. In the Service account users role field, enter the identifier for the principal that will attach the service account to other resources, such as Compute Engine instances.

   This is typically the identifier for a user in a workforce identity pool. For details, see Represent workforce pool users in IAM policies.

7. Click Done to finish creating the service account.

gcloud

Set up authentication:

1. Create the service account:

   gcloud iam service-accounts create SERVICE_ACCOUNT_NAME

   Replace SERVICE_ACCOUNT_NAME with a name for the service account.

2. To provide access to your project and your resources, grant a role to the service account:

   gcloud projects add-iam-policy-binding PROJECT_ID --member="serviceAccount:SERVICE_ACCOUNT_NAME@PROJECT_ID.s3ns-system.iam.gserviceaccount.com" --role=ROLE

   Replace the following:

   • SERVICE_ACCOUNT_NAME: the name of the service account
   • PROJECT_ID: the project ID where you created the service account
   • ROLE: the role to grant
3. To grant another role to the service account, run the command as you did in the previous step.

4. Grant the required role to the principal that will attach the service account to other resources.

   gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_NAME@PROJECT_ID.s3ns-system.iam.gserviceaccount.com --member="principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ID" --role=roles/iam.serviceAccountUser

   Replace the following:

   • SERVICE_ACCOUNT_NAME: the name of the service account.
   • PROJECT_ID: the project ID where you created the service account.
   • POOL_ID: a workforce identity pool ID.
   • SUBJECT_ID: a subject ID; typically the identifier for a user in a workforce identity pool. For details, see Represent workforce pool users in IAM policies.

Terraform

如需创建服务账号，您可以使用 google_service_account 资源。

resource "google_service_account" "default" {
  account_id   = "service-account-id"
  display_name = "Service Account"
}

请务必替换 account_id 和 display_name 属性的占位值。

如需了解如何应用或移除 Terraform 配置，请参阅基本 Terraform 命令。

控制台

1. 在 Trusted Cloud 控制台中，前往创建实例页面。

   转到“创建实例”

2. 如需附加服务账号，请执行以下操作：

   1. 在导航菜单中，点击安全。
   2. 在服务账号列表中，选择您创建的服务账号。
   3. 对于访问权限范围，选择授予对所有 Cloud API 的完整访问权限。

3. 可选：指定其他配置选项。如需了解详情，请参阅实例创建期间的配置选项。

4. 要创建并启动该实例，请点击创建。

gcloud

如需使用 Google Cloud CLI 创建新的虚拟机实例并将其配置为使用自定义服务账号，请使用 gcloud compute instances create 命令并提供服务账号电子邮件地址和虚拟机实例的 cloud-platform 访问权限范围。

gcloud compute instances create VM_NAME \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --scopes=https://www.googleapis.com/auth/cloud-platform

请替换以下内容：

• SERVICE_ACCOUNT_EMAIL：您创建的服务账号的电子邮件地址。 例如 my-sa-123@my-project-123.s3ns-system.iam.gserviceaccount.com。如需查看电子邮件地址，请参阅列出服务账号。
• VM_NAME：虚拟机实例的名称。

例如：

gcloud compute instances create example-vm \
    --service-account 123-my-sa@my-project-123.s3ns-system.iam.gserviceaccount.com \
    --scopes=https://www.googleapis.com/auth/cloud-platform

您还可以使用别名 --scopes=cloud-platform 指定范围。这些别名只能由 gcloud CLI 识别。API 和其他库无法识别这些别名，因此您必须指定完整范围 URI。

Terraform

如需将新虚拟机设置为使用服务账号，您可以使用 google_compute_instance 资源。

resource "google_compute_instance" "default" {
  name         = "my-test-vm"
  machine_type = "n1-standard-1"
  zone         = "us-central1-a"

  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-11"
    }
  }

  // Local SSD disk
  scratch_disk {
    interface = "SCSI"
  }

  network_interface {
    network = "default"

    access_config {
      // Ephemeral public IP
    }
  }

  service_account {
    # Google recommends custom service accounts with `cloud-platform` scope with
    # specific permissions granted via IAM Roles.
    # This approach lets you avoid embedding secret keys or user credentials
    # in your instance, image, or app code
    email  = google_service_account.default.email
    scopes = ["cloud-platform"]
  }
}

REST

使用 instances.insert 方法创建虚拟机，并指定虚拟机实例的服务账号电子邮件地址和访问权限范围。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

{
   "machineType":"zones/MACHINE_TYPE_ZONE/machineTypes/MACHINE_TYPE",
   "name":"VM_NAME",
   
   "disks":[
      {
         "initializeParams":{
            "sourceImage":"projects/IMAGE_PROJECT/global/images/IMAGE"
         },
         "boot":true
      }
   ],
   
   
   "networkInterfaces":[
      {
         "network":"global/networks/NETWORK_NAME"
      }
   ],
   
  "serviceAccounts": [
      {
      "email": "SERVICE_ACCOUNT_EMAIL",
      "scopes": ["https://www.googleapis.com/auth/cloud-platform"]
      }
   ],
   "shieldedInstanceConfig":{
      "enableSecureBoot":"ENABLE_SECURE_BOOT"
   }
}

请替换以下内容：

• PROJECT_ID：要在其中创建虚拟机的项目的 ID
• ZONE：要在其中创建虚拟机的可用区
• MACHINE_TYPE_ZONE：包含新虚拟机将使用的机器类型的可用区
• MACHINE_TYPE：新虚拟机的预定义或自定义机器类型
• VM_NAME：新虚拟机的名称
• IMAGE_PROJECT：包含映像的项目
  例如，如果您将 debian-10 指定为映像系列，请将 debian-cloud 指定为映像项目。
• IMAGE：指定以下其中一项：

  • IMAGE：公共映像的特定版本

    例如，"sourceImage": "projects/debian-cloud/global/images/debian-10-buster-v20200309"

  • IMAGE_FAMILY：映像系列

    这会通过最新的未弃用操作系统映像创建虚拟机。例如，如果您指定 "sourceImage": "projects/debian-cloud/global/images/family/debian-10"，则 Compute Engine 会通过 Debian 10 映像系列中最新版本的操作系统映像创建虚拟机。

• NETWORK_NAME：您要用于虚拟机的 VPC 网络。您可以指定 default 来使用默认网络。
• SERVICE_ACCOUNT_EMAIL：您创建的服务账号的电子邮件地址。例如：my-sa-123@my-project-123.s3ns-system.iam.gserviceaccount.com。 如需查看电子邮件地址，请参阅获取服务账号电子邮件地址。

• ENABLE_SECURE_BOOT（可选）：如果您选择了支持安全强化型虚拟机功能的映像，则 Compute Engine 会默认启用虚拟可信平台模块 (vTPM) 和完整性监控。默认情况下，Compute Engine 不会启用安全启动。

  如果为 enableSecureBoot 指定 true，则 Compute Engine 会创建一个启用了所有三项安全强化型虚拟机功能的虚拟机。在 Compute Engine 启动您的虚拟机后，如需修改安全强化型虚拟机选项，您必须停止该虚拟机。