Mengubah akun layanan yang disertakan

Dikelola pengguna

Jika Anda belum memiliki akun layanan yang dikelola pengguna, buat akun layanan. Untuk mengetahui petunjuk detailnya, lihat Menyiapkan akun layanan.

Default

Jika Anda familier dengan akun layanan default Compute Engine dan ingin menggunakan kredensial yang disediakan oleh akun layanan default daripada membuat akun layanan baru, Anda dapat memberikan peran IAM ke akun layanan default.

Sebelum Anda menetapkan peran IAM ke akun layanan default, perhatikan bahwa:

• Memberikan peran IAM ke akun layanan default akan memengaruhi semua VM yang berjalan sebagai akun layanan default. Misalnya, jika Anda memberikan peran roles/storage.objectAdmin kepada akun layanan default, semua VM yang berjalan sebagai akun layanan default dengan cakupan akses yang diperlukan akan memiliki izin yang diberikan oleh peran roles/storage.objectAdmin. Demikian pula, jika Anda membatasi akses dengan menghilangkan peran tertentu, hal ini akan memengaruhi semua VM yang berjalan sebagai akun layanan default.

• Bergantung pada konfigurasi kebijakan organisasi Anda, akun layanan default mungkin secara otomatis diberi peran Editor di project Anda. Sebaiknya Anda menonaktifkan pemberian peran otomatis dengan menerapkan batasan kebijakan organisasi iam.automaticIamGrantsForDefaultServiceAccounts. Jika Anda membuat organisasi setelah 3 Mei 2024, batasan ini diterapkan secara default.

  Jika Anda menonaktifkan pemberian peran otomatis, Anda harus menentukan peran mana yang akan diberikan ke akun layanan default, lalu memberikan peran tersebut secara manual.

  Jika akun layanan default sudah memiliki peran Editor, sebaiknya ganti peran Editor dengan peran yang kurang permisif.

Jika Anda tidak yakin dengan pemberian peran IAM ke akun layanan default, buat akun layanan baru yang dikelola pengguna.

Konsol

1. Buka halaman VM instances.

   Buka instance VM

2. Klik nama instance VM yang akun layanannya ingin Anda ubah.

3. Klik stop Hentikan. Jika tidak ada opsi Hentikan, klik more_vert Tindakan lainnya > stop Hentikan. Tunggu hingga VM dihentikan.

4. Klik Edit.

5. Scroll ke bawah ke bagian Service Account.

6. Dari menu drop-down, pilih akun layanan yang akan ditetapkan ke VM.

   • Jika Anda memilih akun layanan yang dikelola pengguna, cakupan akses VM secara default ditetapkan ke cakupan cloud-platform yang direkomendasikan. Jika Anda memerlukan cakupan yang berbeda untuk akun layanan yang dikelola pengguna, gunakan gcloud CLI atau Compute Engine API untuk melampirkan akun layanan.
   • Jika memilih akun layanan default Compute Engine, Anda dapat mengubah cakupan aksesnya di konsol Trusted Cloud .
     • Untuk mengubah cakupan, di bagian Cakupan akses, pilih Tetapkan akses untuk setiap API, lalu tetapkan cakupan yang sesuai dengan kebutuhan Anda.
     • Direkomendasikan Jika tidak yakin dengan cakupan akses yang tepat untuk ditetapkan, pilih Izinkan akses penuh ke semua Cloud API lalu pastikan untuk membatasi akses dengan menetapkan peran IAM pada akun layanan.

7. Klik Simpan untuk menyimpan perubahan.

8. Klik Mulai/Lanjutkan untuk mereset VM.

gcloud

1. Hentikan VM menggunakan perintah instances stop. Ganti VM_NAME dengan nama instance VM Anda.

   gcloud compute instances stop VM_NAME
   

2. Sertakan akun layanan. Untuk menyertakan akun layanan, gunakan perintah instances set-service-account dan masukkan nama VM, email akun layanan, dan cakupan yang diinginkan. Untuk mengetahui informasi selengkapnya tentang cara menetapkan cakupan akses, lihat Praktik terbaik.

   gcloud compute instances set-service-account VM_NAME \
     --service-account=SERVICE_ACCOUNT_EMAIL \
     --scopes=SCOPES
   

   Ganti kode berikut:

   • SERVICE_ACCOUNT_EMAIL: alamat email untuk akun layanan yang Anda buat. Contoh: my-sa-123@my-project-123.s3ns-system.iam.gserviceaccount.com. Untuk melihat alamat email, lihat Mencantumkan akun layanan.

     Jika Anda ingin menghapus akun layanan dari VM, gunakan flag --no-service-account.

   • VM_NAME: nama instance VM.

   • SCOPES: daftar alias atau URI cakupan yang dipisahkan koma yang diberikan dalam deskripsi untuk tanda --scopes.

     Jika Anda ingin menghapus semua cakupan untuk VM, gunakan flag --no-scopes sebagai gantinya.

   Misalnya, perintah berikut menetapkan akun layanan my-sa-123@my-project-123.s3ns-system.iam.gserviceaccount.com ke VM bernama example-instance dan menetapkan cakupan akses pada VM tersebut untuk mengizinkan akses baca/tulis ke Compute Engine dan akses hanya baca ke Cloud Storage:

   gcloud compute instances set-service-account example-instance \
     --service-account=my-sa-123@my-project-123.s3ns-system.iam.gserviceaccount.com \
     --scopes=compute-rw,storage-ro
   

3. Mulai VM dengan menggunakan perintah instances start. Ganti VM_NAME dengan nama instance VM Anda.

   gcloud compute instances start VM_NAME
   

REST

1. Hentikan VM dengan membuat permintaan POST menggunakan metode instances.stop:

   POST https://compute.s3nsapis.fr/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/stop
   

   Ganti kode berikut:

   • PROJECT_ID: project tempat VM Anda berada
   • ZONE: zona tempat VM Anda berada
   • VM_NAME: nama VM yang ingin Anda hentikan

2. Sertakan akun layanan dengan membuat permintaan POST ke metode setServiceAccount:

   POST https://compute.s3nsapis.fr/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/setServiceAccount
   
   {
     "email": "SERVICE_ACCOUNT_EMAIL",
     "scopes": [
       "SCOPE_URI",
       "SCOPE_URI",
       ...
     ]
   }
   

   Ganti kode berikut:

   • PROJECT_ID: project ID untuk permintaan ini.
   • ZONE: zona tempat VM ini berada.
   • VM_NAME: nama VM.
   • SERVICE_ACCOUNT_EMAIL: alamat email untuk akun layanan yang Anda buat. Contoh: my-sa-123@my-project-123.s3ns-system.iam.gserviceaccount.com. Untuk melihat alamat email, lihat Mencantumkan akun layanan.
   • SCOPE_URI: URI cakupan yang diperlukan.

   Misalnya, permintaan berikut menggunakan email akun layanan my-sa-123@my-project-123.s3ns-system.iam.gserviceaccount.com serta menetapkan cakupan Cloud Storage dan BigQuery:

   POST https://compute.s3nsapis.fr/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/setServiceAccount
   
   {
     "email": "my-sa-123@my-project-123.s3ns-system.iam.gserviceaccount.com",
     "scopes": [
       "https://www.s3nsapis.fr/auth/bigquery",
       "https://www.s3nsapis.fr/auth/devstorage.read_only"
     ]
   }
   

3. Mulai VM dengan membuat permintaan POST menggunakan metode instances.start:

   POST https://compute.s3nsapis.fr/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/start
   

   Ganti kode berikut:

   • PROJECT_ID: project tempat VM Anda berada
   • ZONE: zona tempat VM Anda berada
   • VM_NAME: nama VM yang ingin Anda mulai

console

1. Buka halaman VM instances.

   Buka instance VM

2. Klik nama instance VM yang akun layanannya ingin Anda ubah.

3. Buka bagian API and identity management. Bagian ini menampilkan akun layanan dan cakupan akses yang digunakan oleh VM.

gcloud

Jalankan perintah gcloud compute instances describe:

gcloud compute instances describe VM_NAME \
    --format json

Outputnya mirip dengan hal berikut ini:

{
  ...
  "serviceAccounts":[
      {
        "email":"123845678986-compute@developer.s3ns-system.iam.gserviceaccount.com",
        "scopes":[
            "https://www.s3nsapis.fr/auth/devstorage.full_control"
        ]
      }
  ]
  ...
   }

Jika VM tidak menggunakan akun layanan, Anda akan menerima respons tanpa properti serviceAccounts.

Server Metadata

Buat kueri server metadata dari dalam VM itu sendiri. Buat permintaan ke http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/:

user@myinst:~$ curl "http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/" \
-H "Metadata-Flavor: Google"

Jika Anda mengaktifkan satu atau beberapa akun layanan saat membuat instance, perintah curl ini akan menampilkan output yang mirip dengan berikut ini:

123845678986-compute@developer.s3ns-system.iam.gserviceaccount.com/
default/

Jika instance tidak menggunakan akun layanan, Anda akan menerima respons kosong.