Creare credenziali di breve durata per un account di servizio

Console

1. Nella console Trusted Cloud , vai alla pagina Service Accounts.

   Vai a Service account

2. Seleziona un progetto.
3. Fai clic sull'indirizzo email del account di servizio con privilegi, PRIV_SA.
4. Fai clic sulla scheda Autorizzazioni.
5. In Entità con accesso a questo service account, fai clic su person_add Concedi accesso.

6. Inserisci l'indirizzo email del account di servizio del chiamante, CALLER_SA.

   Ad esempio, demo@my-project.s3ns-system.iam.gserviceaccount.com.

7. Seleziona il ruolo Creatore token account di servizio (roles/iam.serviceAccountTokenCreator).
8. Fai clic su Salva per concedere il ruolo al account di servizio.

gcloud

Il comando gcloud iam service-accounts add-iam-policy-binding concede un ruolo su un account di servizio.

Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

• PRIV_SA: l'indirizzo email del account di servizio con privilegi per cui viene generato il token.
• CALLER_SA: l'indirizzo email del account di servizio che rappresenta l'applicazione che richiede il token di breve durata.

Esegui questo comando:

gcloud iam service-accounts add-iam-policy-binding PRIV_SA \
    --member=serviceAccount:CALLER_SA --role=roles/iam.serviceAccountTokenCreator --format=json

gcloud iam service-accounts add-iam-policy-binding PRIV_SA `
    --member=serviceAccount:CALLER_SA --role=roles/iam.serviceAccountTokenCreator --format=json

gcloud iam service-accounts add-iam-policy-binding PRIV_SA ^
    --member=serviceAccount:CALLER_SA --role=roles/iam.serviceAccountTokenCreator --format=json

Dovresti ricevere una risposta simile alla seguente:

Updated IAM policy for serviceAccount [PRIV_SA].
{
  "bindings": [
    {
      "members": [
        "serviceAccount:CALLER_SA"
      ],
      "role": "roles/iam.serviceAccountTokenCreator"
    }
  ],
  "etag": "BwXhCB4eyjY=",
  "version": 1
}

REST

1. Leggi la policy di autorizzazione per PRIV_SA:

   Il metodo serviceAccounts.getIamPolicy recupera il criterio di autorizzazione di un account di servizio.

   Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

   • PROJECT_ID: il tuo ID progetto Trusted Cloud . Gli ID progetto sono stringhe alfanumeriche, come my-project.
   • PRIV_SA: l'indirizzo email del account di servizio con privilegi per il quale viene creato il token di breve durata.
   • POLICY_VERSION: La versione della policy da restituire. Le richieste devono specificare la versione più recente delle norme, ovvero la versione 3. Per maggiori dettagli, vedi Specificare una versione delle norme quando si recuperano le norme.

   Metodo HTTP e URL:

   POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy

   Corpo JSON della richiesta:

   {
     "options": {
       "requestedPolicyVersion": POLICY_VERSION
     }
   }
   

   Per inviare la richiesta, espandi una di queste opzioni:

   curl (Linux, macOS o Cloud Shell)

   Salva il corpo della richiesta in un file denominato request.json, quindi esegui il comando seguente:

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy"

   PowerShell (Windows)

   Salva il corpo della richiesta in un file denominato request.json, ed esegui questo comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy" | Select-Object -Expand Content

   Explorer API (browser)

   Copia il corpo della richiesta e apri la pagina di riferimento del metodo. Sul lato destro della pagina si apre il riquadro Explorer API. Puoi interagire con questo strumento per inviare richieste. Incolla il corpo della richiesta in questo strumento, compila gli altri campi obbligatori e fai clic su Esegui.

   Dovresti ricevere una risposta JSON simile alla seguente:

   {
     "version": 1,
     "etag": "BwWKmjvelug=",
     "bindings": [
       {
         "role": "roles/serviceAccountAdmin",
         "members": [
           "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
         ]
       }
     ]
   }
   

   Se non hai concesso ruoli al account di servizio, la risposta contiene solo un valore etag. Includi questo valore di etag nel passaggio successivo.

2. Modifica il criterio di autorizzazione per concedere a CALLER_SA il ruolo Creatore token account di servizio (roles/iam.serviceAccountTokenCreator).

   Ad esempio, per modificare la risposta di esempio del passaggio precedente, aggiungi quanto segue:

     {
       "version": 1,
       "etag": "BwWKmjvelug=",
       "bindings": [
         {
           "role": "roles/serviceAccountAdmin",
           "members": [
             "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
           ]
         },
         {
           "role": "roles/iam.serviceAccountTokenCreator",
           "members": [
             "serviceAccount:CALLER_SA"
           ]
         }
       ]
     }

3. Scrivi la policy di autorizzazione aggiornata:

   Il metodo serviceAccounts.setIamPolicy imposta un criterio di autorizzazione aggiornato per il account di servizio.

   Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

   • PROJECT_ID: il tuo ID progetto Trusted Cloud . Gli ID progetto sono stringhe alfanumeriche, come my-project.
   • PRIV_SA: l'indirizzo email del account di servizio con privilegi per il quale viene creato il token di breve durata.
   • POLICY_VERSION: La versione della policy da restituire. Le richieste devono specificare la versione più recente delle norme, ovvero la versione 3. Per maggiori dettagli, vedi Specificare una versione delle norme quando si recuperano le norme.

   • POLICY: una rappresentazione JSON della policy che vuoi impostare. Per ulteriori informazioni sul formato di una policy, consulta la documentazione di riferimento delle policy.

     Ad esempio, per impostare il criterio di autorizzazione mostrato nel passaggio precedente, sostituisci POLICY con quanto segue, dove CALLER_SA è l'account di servizio che crea il token di breve durata:

     {
       "version": 1,
       "etag": "BwWKmjvelug=",
       "bindings": [
         {
           "role": "roles/serviceAccountAdmin",
           "members": [
             "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
           ]
         },
         {
           "role": "roles/iam.serviceAccountTokenCreator",
           "members": [
             "serviceAccount:CALLER_SA"
           ]
         }
       ]
     }

   Metodo HTTP e URL:

   POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:setIamPolicy

   Corpo JSON della richiesta:

   {
     "policy": POLICY
   }
   

   Per inviare la richiesta, espandi una di queste opzioni:

   curl (Linux, macOS o Cloud Shell)

   Salva il corpo della richiesta in un file denominato request.json, ed esegui questo comando:

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:setIamPolicy"

   PowerShell (Windows)

   Salva il corpo della richiesta in un file denominato request.json, ed esegui questo comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:setIamPolicy" | Select-Object -Expand Content

   Explorer API (browser)

   Copia il corpo della richiesta e apri la pagina di riferimento del metodo. Sul lato destro della pagina si apre il riquadro Explorer API. Puoi interagire con questo strumento per inviare richieste. Incolla il corpo della richiesta in questo strumento, compila gli altri campi obbligatori e fai clic su Esegui.

   La risposta contiene la policy di autorizzazione aggiornata.

Console

1. Nella console Trusted Cloud , vai alla pagina Service Accounts.

   Vai a Service account

2. Seleziona un progetto.
3. Fai clic sull'indirizzo email del account di servizio con privilegi, PRIV_SA.
4. Fai clic sulla scheda Autorizzazioni.
5. In Entità con accesso a questo service account, fai clic su person_add Concedi accesso.

6. Inserisci l'identificatore dell'entità dell'account chiamante, CALLER_ACCOUNT.

   Ad esempio, //iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com.

7. Seleziona il ruolo Creatore token account di servizio (roles/iam.serviceAccountTokenCreator).
8. Fai clic su Salva per concedere il ruolo all'account utente.

gcloud

Il comando gcloud iam service-accounts add-iam-policy-binding concede un ruolo su un account di servizio.

Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

• PRIV_SA: l'indirizzo email del account di servizio con privilegi per cui viene generato il token.
• CALLER_ACCOUNT: l'indirizzo email dell'account utente utilizzato per richiedere il token di breve durata.

Esegui questo comando:

gcloud iam service-accounts add-iam-policy-binding PRIV_SA \
    --member=user:CALLER_ACCOUNT --role=roles/iam.serviceAccountTokenCreator --format=json

gcloud iam service-accounts add-iam-policy-binding PRIV_SA `
    --member=user:CALLER_ACCOUNT --role=roles/iam.serviceAccountTokenCreator --format=json

gcloud iam service-accounts add-iam-policy-binding PRIV_SA ^
    --member=user:CALLER_ACCOUNT --role=roles/iam.serviceAccountTokenCreator --format=json

Dovresti ricevere una risposta simile alla seguente:

Updated IAM policy for serviceAccount [PRIV_SA].
{
  "bindings": [
    {
      "members": [
        "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
      ],
      "role": "roles/iam.serviceAccountTokenCreator"
    }
  ],
  "etag": "BwX1ZbefjXU=",
  "version": 1
}

REST

1. Leggi la policy di autorizzazione per PRIV_SA:

   Il metodo serviceAccounts.getIamPolicy recupera il criterio di autorizzazione di un account di servizio.

   Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

   • PROJECT_ID: il tuo ID progetto Trusted Cloud . Gli ID progetto sono stringhe alfanumeriche, come my-project.
   • PRIV_SA: l'indirizzo email del account di servizio con privilegi per il quale viene creato il token di breve durata.
   • POLICY_VERSION: La versione della policy da restituire. Le richieste devono specificare la versione più recente delle norme, ovvero la versione 3. Per maggiori dettagli, vedi Specificare una versione delle norme quando si recuperano le norme.

   Metodo HTTP e URL:

   POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy

   Corpo JSON della richiesta:

   {
     "options": {
       "requestedPolicyVersion": POLICY_VERSION
     }
   }
   

   Per inviare la richiesta, espandi una di queste opzioni:

   curl (Linux, macOS o Cloud Shell)

   Salva il corpo della richiesta in un file denominato request.json, quindi esegui il comando seguente:

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy"

   PowerShell (Windows)

   Salva il corpo della richiesta in un file denominato request.json, ed esegui questo comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy" | Select-Object -Expand Content

   Explorer API (browser)

   Copia il corpo della richiesta e apri la pagina di riferimento del metodo. Sul lato destro della pagina si apre il riquadro Explorer API. Puoi interagire con questo strumento per inviare richieste. Incolla il corpo della richiesta in questo strumento, compila gli altri campi obbligatori e fai clic su Esegui.

   Dovresti ricevere una risposta JSON simile alla seguente:

   {
     "version": 1,
     "etag": "BwWKmjvelug=",
     "bindings": [
       {
         "role": "roles/serviceAccountAdmin",
         "members": [
           "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
         ]
       }
     ]
   }
   

   Se non hai concesso ruoli al account di servizio, la risposta contiene solo un valore etag. Includi questo valore di etag nel passaggio successivo.

2. Modifica il criterio di autorizzazione per concedere a CALLER_ACCOUNT il ruolo Creatore token account di servizio ( roles/iam.serviceAccountTokenCreator).

   Ad esempio, per modificare la risposta di esempio del passaggio precedente, aggiungi quanto segue:

   {
     "version": 1,
     "etag": "BwWKmjvelug=",
     "bindings": [
       {
         "role": "roles/serviceAccountAdmin",
         "members": [
           "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
         ]
       },
       {
         "role": "roles/iam.serviceAccountTokenCreator",
         "members": [
           "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
         ]
       }
     ]
   }

3. Scrivi la policy di autorizzazione aggiornata:

   Il metodo serviceAccounts.setIamPolicy imposta un criterio di autorizzazione aggiornato per il account di servizio.

   Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

   • PROJECT_ID: il tuo ID progetto Trusted Cloud . Gli ID progetto sono stringhe alfanumeriche, come my-project.
   • PRIV_SA: l'indirizzo email del account di servizio con privilegi per il quale viene creato il token di breve durata.
   • POLICY_VERSION: La versione della policy da restituire. Le richieste devono specificare la versione più recente delle norme, ovvero la versione 3. Per maggiori dettagli, vedi Specificare una versione delle norme quando si recuperano le norme.

   • POLICY: una rappresentazione JSON della policy che vuoi impostare. Per ulteriori informazioni sul formato di una policy, consulta la documentazione di riferimento delle policy.

     Ad esempio, per impostare il criterio di autorizzazione mostrato nel passaggio precedente, sostituisci POLICY con quanto segue, dove CALLER_ACCOUNT è l'account utente che crea il token temporaneo:

     {
       "version": 1,
       "etag": "BwWKmjvelug=",
       "bindings": [
         {
           "role": "roles/serviceAccountAdmin",
           "members": [
             "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
           ]
         },
         {
           "role": "roles/iam.serviceAccountTokenCreator",
           "members": [
             "CALLER_ACCOUNT"
           ]
         }
       ]
     }

   Metodo HTTP e URL:

   POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:setIamPolicy

   Corpo JSON della richiesta:

   {
     "policy": POLICY
   }
   

   Per inviare la richiesta, espandi una di queste opzioni:

   curl (Linux, macOS o Cloud Shell)

   Salva il corpo della richiesta in un file denominato request.json, ed esegui questo comando:

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:setIamPolicy"

   PowerShell (Windows)

   Salva il corpo della richiesta in un file denominato request.json, ed esegui questo comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:setIamPolicy" | Select-Object -Expand Content

   Explorer API (browser)

   Copia il corpo della richiesta e apri la pagina di riferimento del metodo. Sul lato destro della pagina si apre il riquadro Explorer API. Puoi interagire con questo strumento per inviare richieste. Incolla il corpo della richiesta in questo strumento, compila gli altri campi obbligatori e fai clic su Esegui.

   La risposta contiene la policy di autorizzazione aggiornata.

Console

1. Nella console Trusted Cloud , vai alla pagina Service Accounts.

   Vai a Service account

2. Seleziona un progetto.
3. Fai clic sull'indirizzo email del account di servizio con privilegi, PRIV_SA.
4. Fai clic sulla scheda Autorizzazioni.
5. In Entità con accesso a questo service account, fai clic su person_add Concedi accesso.

6. Inserisci l'indirizzo email del account di servizio del chiamante, CALLER_SA.

   Ad esempio, demo@my-project.s3ns-system.iam.gserviceaccount.com.

7. Seleziona il ruolo Service Account OpenID Connect Identity Token Creator (roles/iam.serviceAccountOpenIdTokenCreator).
8. Fai clic su Salva per concedere il ruolo al account di servizio.

gcloud

Il comando gcloud iam service-accounts add-iam-policy-binding concede un ruolo su un account di servizio.

Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

• PRIV_SA: l'indirizzo email del account di servizio con privilegi per cui viene generato il token.
• CALLER_SA: l'indirizzo email del account di servizio che rappresenta l'applicazione che richiede il token di breve durata.

Esegui questo comando:

gcloud iam service-accounts add-iam-policy-binding PRIV_SA \
    --member=serviceAccount:CALLER_SA --role=roles/iam.serviceAccountOpenIdTokenCreator --format=json

gcloud iam service-accounts add-iam-policy-binding PRIV_SA `
    --member=serviceAccount:CALLER_SA --role=roles/iam.serviceAccountOpenIdTokenCreator --format=json

gcloud iam service-accounts add-iam-policy-binding PRIV_SA ^
    --member=serviceAccount:CALLER_SA --role=roles/iam.serviceAccountOpenIdTokenCreator --format=json

Dovresti ricevere una risposta simile alla seguente:

Updated IAM policy for serviceAccount [PRIV_SA].
{
  "bindings": [
    {
      "members": [
        "serviceAccount:CALLER_SA"
      ],
      "role": "roles/iam.serviceAccountOpenIdTokenCreator"
    }
  ],
  "etag": "BwXhCB4eyjY=",
  "version": 1
}

REST

1. Leggi la policy di autorizzazione per PRIV_SA:

   Il metodo serviceAccounts.getIamPolicy recupera il criterio di autorizzazione di un account di servizio.

   Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

   • PROJECT_ID: il tuo ID progetto Trusted Cloud . Gli ID progetto sono stringhe alfanumeriche, come my-project.
   • PRIV_SA: l'indirizzo email del account di servizio con privilegi per il quale viene creato il token di breve durata.
   • POLICY_VERSION: La versione della policy da restituire. Le richieste devono specificare la versione più recente delle norme, ovvero la versione 3. Per maggiori dettagli, vedi Specificare una versione delle norme quando si recuperano le norme.

   Metodo HTTP e URL:

   POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy

   Corpo JSON della richiesta:

   {
     "options": {
       "requestedPolicyVersion": POLICY_VERSION
     }
   }
   

   Per inviare la richiesta, espandi una di queste opzioni:

   curl (Linux, macOS o Cloud Shell)

   Salva il corpo della richiesta in un file denominato request.json, quindi esegui il comando seguente:

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy"

   PowerShell (Windows)

   Salva il corpo della richiesta in un file denominato request.json, ed esegui questo comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy" | Select-Object -Expand Content

   Explorer API (browser)

   Copia il corpo della richiesta e apri la pagina di riferimento del metodo. Sul lato destro della pagina si apre il riquadro Explorer API. Puoi interagire con questo strumento per inviare richieste. Incolla il corpo della richiesta in questo strumento, compila gli altri campi obbligatori e fai clic su Esegui.

   Dovresti ricevere una risposta JSON simile alla seguente:

   {
     "version": 1,
     "etag": "BwWKmjvelug=",
     "bindings": [
       {
         "role": "roles/serviceAccountAdmin",
         "members": [
           "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
         ]
       }
     ]
   }
   

   Se non hai concesso ruoli al account di servizio, la risposta contiene solo un valore etag. Includi questo valore di etag nel passaggio successivo.

2. Modifica il criterio di autorizzazione per concedere a CALLER_SA il ruolo Creatore token di identità OpenID Connect per account di servizio (roles/iam.serviceAccountOpenIdTokenCreator).

   Ad esempio, per modificare la risposta di esempio del passaggio precedente, aggiungi quanto segue:

     {
       "version": 1,
       "etag": "BwWKmjvelug=",
       "bindings": [
         {
           "role": "roles/serviceAccountAdmin",
           "members": [
             "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
           ]
         },
         {
           "role": "roles/iam.serviceAccountOpenIdTokenCreator",
           "members": [
             "serviceAccount:CALLER_SA"
           ]
         }
       ]
     }

3. Scrivi la policy di autorizzazione aggiornata:

   Il metodo serviceAccounts.setIamPolicy imposta un criterio di autorizzazione aggiornato per il account di servizio.

   Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

   • PROJECT_ID: il tuo ID progetto Trusted Cloud . Gli ID progetto sono stringhe alfanumeriche, come my-project.
   • PRIV_SA: l'indirizzo email del account di servizio con privilegi per il quale viene creato il token di breve durata.
   • POLICY_VERSION: La versione della policy da restituire. Le richieste devono specificare la versione più recente delle norme, ovvero la versione 3. Per maggiori dettagli, vedi Specificare una versione delle norme quando si recuperano le norme.

   • POLICY: una rappresentazione JSON della policy che vuoi impostare. Per ulteriori informazioni sul formato di una policy, consulta la documentazione di riferimento delle policy.

     Ad esempio, per impostare il criterio di autorizzazione mostrato nel passaggio precedente, sostituisci POLICY con quanto segue, dove CALLER_SA è l'account di servizio che crea il token di breve durata:

     {
       "version": 1,
       "etag": "BwWKmjvelug=",
       "bindings": [
         {
           "role": "roles/serviceAccountAdmin",
           "members": [
             "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
           ]
         },
         {
           "role": "roles/iam.serviceAccountOpenIdTokenCreator",
           "members": [
             "serviceAccount:CALLER_SA"
           ]
         }
       ]
     }

   Metodo HTTP e URL:

   POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:setIamPolicy

   Corpo JSON della richiesta:

   {
     "policy": POLICY
   }
   

   Per inviare la richiesta, espandi una di queste opzioni:

   curl (Linux, macOS o Cloud Shell)

   Salva il corpo della richiesta in un file denominato request.json, ed esegui questo comando:

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:setIamPolicy"

   PowerShell (Windows)

   Salva il corpo della richiesta in un file denominato request.json, ed esegui questo comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:setIamPolicy" | Select-Object -Expand Content

   Explorer API (browser)

   Copia il corpo della richiesta e apri la pagina di riferimento del metodo. Sul lato destro della pagina si apre il riquadro Explorer API. Puoi interagire con questo strumento per inviare richieste. Incolla il corpo della richiesta in questo strumento, compila gli altri campi obbligatori e fai clic su Esegui.

   La risposta contiene la policy di autorizzazione aggiornata.

Console

1. Nella console Trusted Cloud , vai alla pagina Service Accounts.

   Vai a Service account

2. Seleziona un progetto.
3. Fai clic sull'indirizzo email del account di servizio con privilegi, PRIV_SA.
4. Fai clic sulla scheda Autorizzazioni.
5. In Entità con accesso a questo service account, fai clic su person_add Concedi accesso.

6. Inserisci l'identificatore dell'entità dell'account chiamante, CALLER_ACCOUNT.

   Ad esempio, //iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com.

7. Seleziona il ruolo Service Account OpenID Connect Identity Token Creator (roles/iam.serviceAccountOpenIdTokenCreator).
8. Fai clic su Salva per concedere il ruolo all'account utente.

gcloud

Il comando gcloud iam service-accounts add-iam-policy-binding concede un ruolo su un account di servizio.

Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

• PRIV_SA: l'indirizzo email del account di servizio con privilegi per cui viene generato il token.
• CALLER_ACCOUNT: l'indirizzo email dell'account utente utilizzato per richiedere il token di breve durata.

Esegui questo comando:

gcloud iam service-accounts add-iam-policy-binding PRIV_SA \
    --member=user:CALLER_ACCOUNT --role=roles/iam.serviceAccountOpenIdTokenCreator --format=json

gcloud iam service-accounts add-iam-policy-binding PRIV_SA `
    --member=user:CALLER_ACCOUNT --role=roles/iam.serviceAccountOpenIdTokenCreator --format=json

gcloud iam service-accounts add-iam-policy-binding PRIV_SA ^
    --member=user:CALLER_ACCOUNT --role=roles/iam.serviceAccountOpenIdTokenCreator --format=json

Dovresti ricevere una risposta simile alla seguente:

Updated IAM policy for serviceAccount [PRIV_SA].
{
  "bindings": [
    {
      "members": [
        "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
      ],
      "role": "roles/iam.serviceAccountOpenIdTokenCreator"
    }
  ],
  "etag": "BwX1ZbefjXU=",
  "version": 1
}

REST

1. Leggi la policy di autorizzazione per PRIV_SA:

   Il metodo serviceAccounts.getIamPolicy recupera il criterio di autorizzazione di un account di servizio.

   Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

   • PROJECT_ID: il tuo ID progetto Trusted Cloud . Gli ID progetto sono stringhe alfanumeriche, come my-project.
   • PRIV_SA: l'indirizzo email del account di servizio con privilegi per il quale viene creato il token di breve durata.
   • POLICY_VERSION: La versione della policy da restituire. Le richieste devono specificare la versione più recente delle norme, ovvero la versione 3. Per maggiori dettagli, vedi Specificare una versione delle norme quando si recuperano le norme.

   Metodo HTTP e URL:

   POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy

   Corpo JSON della richiesta:

   {
     "options": {
       "requestedPolicyVersion": POLICY_VERSION
     }
   }
   

   Per inviare la richiesta, espandi una di queste opzioni:

   curl (Linux, macOS o Cloud Shell)

   Salva il corpo della richiesta in un file denominato request.json, quindi esegui il comando seguente:

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy"

   PowerShell (Windows)

   Salva il corpo della richiesta in un file denominato request.json, ed esegui questo comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy" | Select-Object -Expand Content

   Explorer API (browser)

   Copia il corpo della richiesta e apri la pagina di riferimento del metodo. Sul lato destro della pagina si apre il riquadro Explorer API. Puoi interagire con questo strumento per inviare richieste. Incolla il corpo della richiesta in questo strumento, compila gli altri campi obbligatori e fai clic su Esegui.

   Dovresti ricevere una risposta JSON simile alla seguente:

   {
     "version": 1,
     "etag": "BwWKmjvelug=",
     "bindings": [
       {
         "role": "roles/serviceAccountAdmin",
         "members": [
           "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
         ]
       }
     ]
   }
   

   Se non hai concesso ruoli al account di servizio, la risposta contiene solo un valore etag. Includi questo valore di etag nel passaggio successivo.

2. Modifica il criterio di autorizzazione per concedere CALLER_ACCOUNT il ruolo Creatore token di identità OpenID Connect per account di servizio ( roles/iam.serviceAccountOpenIdTokenCreator).

   Ad esempio, per modificare la risposta di esempio del passaggio precedente, aggiungi quanto segue:

   {
     "version": 1,
     "etag": "BwWKmjvelug=",
     "bindings": [
       {
         "role": "roles/serviceAccountAdmin",
         "members": [
           "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
         ]
       },
       {
         "role": "roles/iam.serviceAccountOpenIdTokenCreator",
         "members": [
           "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
         ]
       }
     ]
   }

3. Scrivi la policy di autorizzazione aggiornata:

   Il metodo serviceAccounts.setIamPolicy imposta un criterio di autorizzazione aggiornato per il account di servizio.

   Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

   • PROJECT_ID: il tuo ID progetto Trusted Cloud . Gli ID progetto sono stringhe alfanumeriche, come my-project.
   • PRIV_SA: l'indirizzo email del account di servizio con privilegi per il quale viene creato il token di breve durata.
   • POLICY_VERSION: La versione della policy da restituire. Le richieste devono specificare la versione più recente delle norme, ovvero la versione 3. Per maggiori dettagli, vedi Specificare una versione delle norme quando si recuperano le norme.

   • POLICY: una rappresentazione JSON della policy che vuoi impostare. Per ulteriori informazioni sul formato di una policy, consulta la documentazione di riferimento delle policy.

     Ad esempio, per impostare il criterio di autorizzazione mostrato nel passaggio precedente, sostituisci POLICY con quanto segue, dove CALLER_ACCOUNT è l'account utente che crea il token temporaneo:

     {
       "version": 1,
       "etag": "BwWKmjvelug=",
       "bindings": [
         {
           "role": "roles/serviceAccountAdmin",
           "members": [
             "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
           ]
         },
         {
           "role": "roles/iam.serviceAccountOpenIdTokenCreator",
           "members": [
             "CALLER_ACCOUNT"
           ]
         }
       ]
     }

   Metodo HTTP e URL:

   POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:setIamPolicy

   Corpo JSON della richiesta:

   {
     "policy": POLICY
   }
   

   Per inviare la richiesta, espandi una di queste opzioni:

   curl (Linux, macOS o Cloud Shell)

   Salva il corpo della richiesta in un file denominato request.json, ed esegui questo comando:

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:setIamPolicy"

   PowerShell (Windows)

   Salva il corpo della richiesta in un file denominato request.json, ed esegui questo comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:setIamPolicy" | Select-Object -Expand Content

   Explorer API (browser)

   Copia il corpo della richiesta e apri la pagina di riferimento del metodo. Sul lato destro della pagina si apre il riquadro Explorer API. Puoi interagire con questo strumento per inviare richieste. Incolla il corpo della richiesta in questo strumento, compila gli altri campi obbligatori e fai clic su Esegui.

   La risposta contiene la policy di autorizzazione aggiornata.

Console

1. Nella console Trusted Cloud , vai alla pagina Service Accounts.

   Vai a Service account

2. Seleziona un progetto.
3. Fai clic sull'indirizzo email del account di servizio con privilegi, PRIV_SA.
4. Fai clic sulla scheda Autorizzazioni.
5. In Entità con accesso a questo service account, fai clic su person_add Concedi accesso.

6. Inserisci l'indirizzo email del account di servizio del chiamante, CALLER_SA.

   Ad esempio, demo@my-project.s3ns-system.iam.gserviceaccount.com.

7. Seleziona il ruolo Creatore token account di servizio (roles/iam.serviceAccountTokenCreator).
8. Fai clic su Salva per concedere il ruolo al account di servizio.

gcloud

Il comando gcloud iam service-accounts add-iam-policy-binding concede un ruolo su un account di servizio.

Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

• PRIV_SA: l'indirizzo email del account di servizio con privilegi per cui viene generato il token.
• CALLER_SA: l'indirizzo email del account di servizio che rappresenta l'applicazione che richiede il token di breve durata.

Esegui questo comando:

gcloud iam service-accounts add-iam-policy-binding PRIV_SA \
    --member=serviceAccount:CALLER_SA --role=roles/iam.serviceAccountTokenCreator --format=json

gcloud iam service-accounts add-iam-policy-binding PRIV_SA `
    --member=serviceAccount:CALLER_SA --role=roles/iam.serviceAccountTokenCreator --format=json

gcloud iam service-accounts add-iam-policy-binding PRIV_SA ^
    --member=serviceAccount:CALLER_SA --role=roles/iam.serviceAccountTokenCreator --format=json

Dovresti ricevere una risposta simile alla seguente:

Updated IAM policy for serviceAccount [PRIV_SA].
{
  "bindings": [
    {
      "members": [
        "serviceAccount:CALLER_SA"
      ],
      "role": "roles/iam.serviceAccountTokenCreator"
    }
  ],
  "etag": "BwXhCB4eyjY=",
  "version": 1
}

REST

1. Leggi la policy di autorizzazione per PRIV_SA:

   Il metodo serviceAccounts.getIamPolicy recupera il criterio di autorizzazione di un account di servizio.

   Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

   • PROJECT_ID: il tuo ID progetto Trusted Cloud . Gli ID progetto sono stringhe alfanumeriche, come my-project.
   • PRIV_SA: l'indirizzo email del account di servizio con privilegi per il quale viene creato il token di breve durata.
   • POLICY_VERSION: La versione della policy da restituire. Le richieste devono specificare la versione più recente delle norme, ovvero la versione 3. Per maggiori dettagli, vedi Specificare una versione delle norme quando si recuperano le norme.

   Metodo HTTP e URL:

   POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy

   Corpo JSON della richiesta:

   {
     "options": {
       "requestedPolicyVersion": POLICY_VERSION
     }
   }
   

   Per inviare la richiesta, espandi una di queste opzioni:

   curl (Linux, macOS o Cloud Shell)

   Salva il corpo della richiesta in un file denominato request.json, quindi esegui il comando seguente:

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy"

   PowerShell (Windows)

   Salva il corpo della richiesta in un file denominato request.json, ed esegui questo comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy" | Select-Object -Expand Content

   Explorer API (browser)

   Copia il corpo della richiesta e apri la pagina di riferimento del metodo. Sul lato destro della pagina si apre il riquadro Explorer API. Puoi interagire con questo strumento per inviare richieste. Incolla il corpo della richiesta in questo strumento, compila gli altri campi obbligatori e fai clic su Esegui.

   Dovresti ricevere una risposta JSON simile alla seguente:

   {
     "version": 1,
     "etag": "BwWKmjvelug=",
     "bindings": [
       {
         "role": "roles/serviceAccountAdmin",
         "members": [
           "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
         ]
       }
     ]
   }
   

   Se non hai concesso ruoli al account di servizio, la risposta contiene solo un valore etag. Includi questo valore di etag nel passaggio successivo.

2. Modifica il criterio di autorizzazione per concedere a CALLER_SA il ruolo Creatore token account di servizio (roles/iam.serviceAccountTokenCreator).

   Ad esempio, per modificare la risposta di esempio del passaggio precedente, aggiungi quanto segue:

     {
       "version": 1,
       "etag": "BwWKmjvelug=",
       "bindings": [
         {
           "role": "roles/serviceAccountAdmin",
           "members": [
             "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
           ]
         },
         {
           "role": "roles/iam.serviceAccountTokenCreator",
           "members": [
             "serviceAccount:CALLER_SA"
           ]
         }
       ]
     }

3. Scrivi la policy di autorizzazione aggiornata:

   Il metodo serviceAccounts.setIamPolicy imposta un criterio di autorizzazione aggiornato per il account di servizio.

   Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

   • PROJECT_ID: il tuo ID progetto Trusted Cloud . Gli ID progetto sono stringhe alfanumeriche, come my-project.
   • PRIV_SA: l'indirizzo email del account di servizio con privilegi per il quale viene creato il token di breve durata.
   • POLICY_VERSION: La versione della policy da restituire. Le richieste devono specificare la versione più recente delle norme, ovvero la versione 3. Per maggiori dettagli, vedi Specificare una versione delle norme quando si recuperano le norme.

   • POLICY: una rappresentazione JSON della policy che vuoi impostare. Per ulteriori informazioni sul formato di una policy, consulta la documentazione di riferimento delle policy.

     Ad esempio, per impostare il criterio di autorizzazione mostrato nel passaggio precedente, sostituisci POLICY con quanto segue, dove CALLER_SA è l'account di servizio che crea il token di breve durata:

     {
       "version": 1,
       "etag": "BwWKmjvelug=",
       "bindings": [
         {
           "role": "roles/serviceAccountAdmin",
           "members": [
             "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
           ]
         },
         {
           "role": "roles/iam.serviceAccountTokenCreator",
           "members": [
             "serviceAccount:CALLER_SA"
           ]
         }
       ]
     }

   Metodo HTTP e URL:

   POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:setIamPolicy

   Corpo JSON della richiesta:

   {
     "policy": POLICY
   }
   

   Per inviare la richiesta, espandi una di queste opzioni:

   curl (Linux, macOS o Cloud Shell)

   Salva il corpo della richiesta in un file denominato request.json, ed esegui questo comando:

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:setIamPolicy"

   PowerShell (Windows)

   Salva il corpo della richiesta in un file denominato request.json, ed esegui questo comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:setIamPolicy" | Select-Object -Expand Content

   Explorer API (browser)

   Copia il corpo della richiesta e apri la pagina di riferimento del metodo. Sul lato destro della pagina si apre il riquadro Explorer API. Puoi interagire con questo strumento per inviare richieste. Incolla il corpo della richiesta in questo strumento, compila gli altri campi obbligatori e fai clic su Esegui.

   La risposta contiene la policy di autorizzazione aggiornata.

Console

1. Nella console Trusted Cloud , vai alla pagina Service Accounts.

   Vai a Service account

2. Seleziona un progetto.
3. Fai clic sull'indirizzo email del account di servizio con privilegi, PRIV_SA.
4. Fai clic sulla scheda Autorizzazioni.
5. In Entità con accesso a questo service account, fai clic su person_add Concedi accesso.

6. Inserisci l'identificatore dell'entità dell'account chiamante, CALLER_ACCOUNT.

   Ad esempio, //iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com.

7. Seleziona il ruolo Creatore token account di servizio (roles/iam.serviceAccountTokenCreator).
8. Fai clic su Salva per concedere il ruolo all'account utente.

gcloud

Il comando gcloud iam service-accounts add-iam-policy-binding concede un ruolo su un account di servizio.

Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

• PRIV_SA: l'indirizzo email del account di servizio con privilegi per cui viene generato il token.
• CALLER_ACCOUNT: l'indirizzo email dell'account utente utilizzato per richiedere il token di breve durata.

Esegui questo comando:

gcloud iam service-accounts add-iam-policy-binding PRIV_SA \
    --member=user:CALLER_ACCOUNT --role=roles/iam.serviceAccountTokenCreator --format=json

gcloud iam service-accounts add-iam-policy-binding PRIV_SA `
    --member=user:CALLER_ACCOUNT --role=roles/iam.serviceAccountTokenCreator --format=json

gcloud iam service-accounts add-iam-policy-binding PRIV_SA ^
    --member=user:CALLER_ACCOUNT --role=roles/iam.serviceAccountTokenCreator --format=json

Dovresti ricevere una risposta simile alla seguente:

Updated IAM policy for serviceAccount [PRIV_SA].
{
  "bindings": [
    {
      "members": [
        "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
      ],
      "role": "roles/iam.serviceAccountTokenCreator"
    }
  ],
  "etag": "BwX1ZbefjXU=",
  "version": 1
}

REST

1. Leggi la policy di autorizzazione per PRIV_SA:

   Il metodo serviceAccounts.getIamPolicy recupera il criterio di autorizzazione di un account di servizio.

   Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

   • PROJECT_ID: il tuo ID progetto Trusted Cloud . Gli ID progetto sono stringhe alfanumeriche, come my-project.
   • PRIV_SA: l'indirizzo email del account di servizio con privilegi per il quale viene creato il token di breve durata.
   • POLICY_VERSION: La versione della policy da restituire. Le richieste devono specificare la versione più recente delle norme, ovvero la versione 3. Per maggiori dettagli, vedi Specificare una versione delle norme quando si recuperano le norme.

   Metodo HTTP e URL:

   POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy

   Corpo JSON della richiesta:

   {
     "options": {
       "requestedPolicyVersion": POLICY_VERSION
     }
   }
   

   Per inviare la richiesta, espandi una di queste opzioni:

   curl (Linux, macOS o Cloud Shell)

   Salva il corpo della richiesta in un file denominato request.json, quindi esegui il comando seguente:

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy"

   PowerShell (Windows)

   Salva il corpo della richiesta in un file denominato request.json, ed esegui questo comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy" | Select-Object -Expand Content

   Explorer API (browser)

   Copia il corpo della richiesta e apri la pagina di riferimento del metodo. Sul lato destro della pagina si apre il riquadro Explorer API. Puoi interagire con questo strumento per inviare richieste. Incolla il corpo della richiesta in questo strumento, compila gli altri campi obbligatori e fai clic su Esegui.

   Dovresti ricevere una risposta JSON simile alla seguente:

   {
     "version": 1,
     "etag": "BwWKmjvelug=",
     "bindings": [
       {
         "role": "roles/serviceAccountAdmin",
         "members": [
           "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
         ]
       }
     ]
   }
   

   Se non hai concesso ruoli al account di servizio, la risposta contiene solo un valore etag. Includi questo valore di etag nel passaggio successivo.

2. Modifica il criterio di autorizzazione per concedere a CALLER_ACCOUNT il ruolo Creatore token account di servizio ( roles/iam.serviceAccountTokenCreator).

   Ad esempio, per modificare la risposta di esempio del passaggio precedente, aggiungi quanto segue:

   {
     "version": 1,
     "etag": "BwWKmjvelug=",
     "bindings": [
       {
         "role": "roles/serviceAccountAdmin",
         "members": [
           "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
         ]
       },
       {
         "role": "roles/iam.serviceAccountTokenCreator",
         "members": [
           "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
         ]
       }
     ]
   }

3. Scrivi la policy di autorizzazione aggiornata:

   Il metodo serviceAccounts.setIamPolicy imposta un criterio di autorizzazione aggiornato per il account di servizio.

   Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

   • PROJECT_ID: il tuo ID progetto Trusted Cloud . Gli ID progetto sono stringhe alfanumeriche, come my-project.
   • PRIV_SA: l'indirizzo email del account di servizio con privilegi per il quale viene creato il token di breve durata.
   • POLICY_VERSION: La versione della policy da restituire. Le richieste devono specificare la versione più recente delle norme, ovvero la versione 3. Per maggiori dettagli, vedi Specificare una versione delle norme quando si recuperano le norme.

   • POLICY: una rappresentazione JSON della policy che vuoi impostare. Per ulteriori informazioni sul formato di una policy, consulta la documentazione di riferimento delle policy.

     Ad esempio, per impostare il criterio di autorizzazione mostrato nel passaggio precedente, sostituisci POLICY con quanto segue, dove CALLER_ACCOUNT è l'account utente che crea il token temporaneo:

     {
       "version": 1,
       "etag": "BwWKmjvelug=",
       "bindings": [
         {
           "role": "roles/serviceAccountAdmin",
           "members": [
             "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
           ]
         },
         {
           "role": "roles/iam.serviceAccountTokenCreator",
           "members": [
             "CALLER_ACCOUNT"
           ]
         }
       ]
     }

   Metodo HTTP e URL:

   POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:setIamPolicy

   Corpo JSON della richiesta:

   {
     "policy": POLICY
   }
   

   Per inviare la richiesta, espandi una di queste opzioni:

   curl (Linux, macOS o Cloud Shell)

   Salva il corpo della richiesta in un file denominato request.json, ed esegui questo comando:

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:setIamPolicy"

   PowerShell (Windows)

   Salva il corpo della richiesta in un file denominato request.json, ed esegui questo comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:setIamPolicy" | Select-Object -Expand Content

   Explorer API (browser)

   Copia il corpo della richiesta e apri la pagina di riferimento del metodo. Sul lato destro della pagina si apre il riquadro Explorer API. Puoi interagire con questo strumento per inviare richieste. Incolla il corpo della richiesta in questo strumento, compila gli altri campi obbligatori e fai clic su Esegui.

   La risposta contiene la policy di autorizzazione aggiornata.

Console

1. Nella console Trusted Cloud , vai alla pagina Service Accounts.

   Vai a Service account

2. Seleziona un progetto.
3. Fai clic sull'indirizzo email del account di servizio con privilegi, PRIV_SA.
4. Fai clic sulla scheda Autorizzazioni.
5. In Entità con accesso a questo service account, fai clic su person_add Concedi accesso.

6. Inserisci l'indirizzo email del account di servizio del chiamante, CALLER_SA.

   Ad esempio, demo@my-project.s3ns-system.iam.gserviceaccount.com.

7. Seleziona il ruolo Creatore token account di servizio (roles/iam.serviceAccountTokenCreator).
8. Fai clic su Salva per concedere il ruolo al account di servizio.

gcloud

Il comando gcloud iam service-accounts add-iam-policy-binding concede un ruolo su un account di servizio.

Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

• PRIV_SA: l'indirizzo email del account di servizio con privilegi per cui viene generato il token.
• CALLER_SA: l'indirizzo email del account di servizio che rappresenta l'applicazione che richiede il token di breve durata.

Esegui questo comando:

gcloud iam service-accounts add-iam-policy-binding PRIV_SA \
    --member=serviceAccount:CALLER_SA --role=roles/iam.serviceAccountTokenCreator --format=json

gcloud iam service-accounts add-iam-policy-binding PRIV_SA `
    --member=serviceAccount:CALLER_SA --role=roles/iam.serviceAccountTokenCreator --format=json

gcloud iam service-accounts add-iam-policy-binding PRIV_SA ^
    --member=serviceAccount:CALLER_SA --role=roles/iam.serviceAccountTokenCreator --format=json

Dovresti ricevere una risposta simile alla seguente:

Updated IAM policy for serviceAccount [PRIV_SA].
{
  "bindings": [
    {
      "members": [
        "serviceAccount:CALLER_SA"
      ],
      "role": "roles/iam.serviceAccountTokenCreator"
    }
  ],
  "etag": "BwXhCB4eyjY=",
  "version": 1
}

REST

1. Leggi la policy di autorizzazione per PRIV_SA:

   Il metodo serviceAccounts.getIamPolicy recupera il criterio di autorizzazione di un account di servizio.

   Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

   • PROJECT_ID: il tuo ID progetto Trusted Cloud . Gli ID progetto sono stringhe alfanumeriche, come my-project.
   • PRIV_SA: l'indirizzo email del account di servizio con privilegi per il quale viene creato il token di breve durata.
   • POLICY_VERSION: La versione della policy da restituire. Le richieste devono specificare la versione più recente delle norme, ovvero la versione 3. Per maggiori dettagli, vedi Specificare una versione delle norme quando si recuperano le norme.

   Metodo HTTP e URL:

   POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy

   Corpo JSON della richiesta:

   {
     "options": {
       "requestedPolicyVersion": POLICY_VERSION
     }
   }
   

   Per inviare la richiesta, espandi una di queste opzioni:

   curl (Linux, macOS o Cloud Shell)

   Salva il corpo della richiesta in un file denominato request.json, quindi esegui il comando seguente:

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy"

   PowerShell (Windows)

   Salva il corpo della richiesta in un file denominato request.json, ed esegui questo comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy" | Select-Object -Expand Content

   Explorer API (browser)

   Copia il corpo della richiesta e apri la pagina di riferimento del metodo. Sul lato destro della pagina si apre il riquadro Explorer API. Puoi interagire con questo strumento per inviare richieste. Incolla il corpo della richiesta in questo strumento, compila gli altri campi obbligatori e fai clic su Esegui.

   Dovresti ricevere una risposta JSON simile alla seguente:

   {
     "version": 1,
     "etag": "BwWKmjvelug=",
     "bindings": [
       {
         "role": "roles/serviceAccountAdmin",
         "members": [
           "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
         ]
       }
     ]
   }
   

   Se non hai concesso ruoli al account di servizio, la risposta contiene solo un valore etag. Includi questo valore di etag nel passaggio successivo.

2. Modifica il criterio di autorizzazione per concedere a CALLER_SA il ruolo Creatore token account di servizio (roles/iam.serviceAccountTokenCreator).

   Ad esempio, per modificare la risposta di esempio del passaggio precedente, aggiungi quanto segue:

     {
       "version": 1,
       "etag": "BwWKmjvelug=",
       "bindings": [
         {
           "role": "roles/serviceAccountAdmin",
           "members": [
             "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
           ]
         },
         {
           "role": "roles/iam.serviceAccountTokenCreator",
           "members": [
             "serviceAccount:CALLER_SA"
           ]
         }
       ]
     }

3. Scrivi la policy di autorizzazione aggiornata:

   Il metodo serviceAccounts.setIamPolicy imposta un criterio di autorizzazione aggiornato per il account di servizio.

   Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

   • PROJECT_ID: il tuo ID progetto Trusted Cloud . Gli ID progetto sono stringhe alfanumeriche, come my-project.
   • PRIV_SA: l'indirizzo email del account di servizio con privilegi per il quale viene creato il token di breve durata.
   • POLICY_VERSION: La versione della policy da restituire. Le richieste devono specificare la versione più recente delle norme, ovvero la versione 3. Per maggiori dettagli, vedi Specificare una versione delle norme quando si recuperano le norme.

   • POLICY: una rappresentazione JSON della policy che vuoi impostare. Per ulteriori informazioni sul formato di una policy, consulta la documentazione di riferimento delle policy.

     Ad esempio, per impostare il criterio di autorizzazione mostrato nel passaggio precedente, sostituisci POLICY con quanto segue, dove CALLER_SA è l'account di servizio che crea il token di breve durata:

     {
       "version": 1,
       "etag": "BwWKmjvelug=",
       "bindings": [
         {
           "role": "roles/serviceAccountAdmin",
           "members": [
             "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
           ]
         },
         {
           "role": "roles/iam.serviceAccountTokenCreator",
           "members": [
             "serviceAccount:CALLER_SA"
           ]
         }
       ]
     }

   Metodo HTTP e URL:

   POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:setIamPolicy

   Corpo JSON della richiesta:

   {
     "policy": POLICY
   }
   

   Per inviare la richiesta, espandi una di queste opzioni:

   curl (Linux, macOS o Cloud Shell)

   Salva il corpo della richiesta in un file denominato request.json, ed esegui questo comando:

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:setIamPolicy"

   PowerShell (Windows)

   Salva il corpo della richiesta in un file denominato request.json, ed esegui questo comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:setIamPolicy" | Select-Object -Expand Content

   Explorer API (browser)

   Copia il corpo della richiesta e apri la pagina di riferimento del metodo. Sul lato destro della pagina si apre il riquadro Explorer API. Puoi interagire con questo strumento per inviare richieste. Incolla il corpo della richiesta in questo strumento, compila gli altri campi obbligatori e fai clic su Esegui.

   La risposta contiene la policy di autorizzazione aggiornata.

Console

1. Nella console Trusted Cloud , vai alla pagina Service Accounts.

   Vai a Service account

2. Seleziona un progetto.
3. Fai clic sull'indirizzo email del account di servizio con privilegi, PRIV_SA.
4. Fai clic sulla scheda Autorizzazioni.
5. In Entità con accesso a questo service account, fai clic su person_add Concedi accesso.

6. Inserisci l'identificatore dell'entità dell'account chiamante, CALLER_ACCOUNT.

   Ad esempio, //iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com.

7. Seleziona il ruolo Creatore token account di servizio (roles/iam.serviceAccountTokenCreator).
8. Fai clic su Salva per concedere il ruolo all'account utente.

gcloud

Il comando gcloud iam service-accounts add-iam-policy-binding concede un ruolo su un account di servizio.

Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

• PRIV_SA: l'indirizzo email del account di servizio con privilegi per cui viene generato il token.
• CALLER_ACCOUNT: l'indirizzo email dell'account utente utilizzato per richiedere il token di breve durata.

Esegui questo comando:

gcloud iam service-accounts add-iam-policy-binding PRIV_SA \
    --member=user:CALLER_ACCOUNT --role=roles/iam.serviceAccountTokenCreator --format=json

gcloud iam service-accounts add-iam-policy-binding PRIV_SA `
    --member=user:CALLER_ACCOUNT --role=roles/iam.serviceAccountTokenCreator --format=json

gcloud iam service-accounts add-iam-policy-binding PRIV_SA ^
    --member=user:CALLER_ACCOUNT --role=roles/iam.serviceAccountTokenCreator --format=json

Dovresti ricevere una risposta simile alla seguente:

Updated IAM policy for serviceAccount [PRIV_SA].
{
  "bindings": [
    {
      "members": [
        "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
      ],
      "role": "roles/iam.serviceAccountTokenCreator"
    }
  ],
  "etag": "BwX1ZbefjXU=",
  "version": 1
}

REST

1. Leggi la policy di autorizzazione per PRIV_SA:

   Il metodo serviceAccounts.getIamPolicy recupera il criterio di autorizzazione di un account di servizio.

   Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

   • PROJECT_ID: il tuo ID progetto Trusted Cloud . Gli ID progetto sono stringhe alfanumeriche, come my-project.
   • PRIV_SA: l'indirizzo email del account di servizio con privilegi per il quale viene creato il token di breve durata.
   • POLICY_VERSION: La versione della policy da restituire. Le richieste devono specificare la versione più recente delle norme, ovvero la versione 3. Per maggiori dettagli, vedi Specificare una versione delle norme quando si recuperano le norme.

   Metodo HTTP e URL:

   POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy

   Corpo JSON della richiesta:

   {
     "options": {
       "requestedPolicyVersion": POLICY_VERSION
     }
   }
   

   Per inviare la richiesta, espandi una di queste opzioni:

   curl (Linux, macOS o Cloud Shell)

   Salva il corpo della richiesta in un file denominato request.json, quindi esegui il comando seguente:

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy"

   PowerShell (Windows)

   Salva il corpo della richiesta in un file denominato request.json, ed esegui questo comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:getIamPolicy" | Select-Object -Expand Content

   Explorer API (browser)

   Copia il corpo della richiesta e apri la pagina di riferimento del metodo. Sul lato destro della pagina si apre il riquadro Explorer API. Puoi interagire con questo strumento per inviare richieste. Incolla il corpo della richiesta in questo strumento, compila gli altri campi obbligatori e fai clic su Esegui.

   Dovresti ricevere una risposta JSON simile alla seguente:

   {
     "version": 1,
     "etag": "BwWKmjvelug=",
     "bindings": [
       {
         "role": "roles/serviceAccountAdmin",
         "members": [
           "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
         ]
       }
     ]
   }
   

   Se non hai concesso ruoli al account di servizio, la risposta contiene solo un valore etag. Includi questo valore di etag nel passaggio successivo.

2. Modifica il criterio di autorizzazione per concedere a CALLER_ACCOUNT il ruolo Creatore token account di servizio ( roles/iam.serviceAccountTokenCreator).

   Ad esempio, per modificare la risposta di esempio del passaggio precedente, aggiungi quanto segue:

   {
     "version": 1,
     "etag": "BwWKmjvelug=",
     "bindings": [
       {
         "role": "roles/serviceAccountAdmin",
         "members": [
           "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
         ]
       },
       {
         "role": "roles/iam.serviceAccountTokenCreator",
         "members": [
           "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
         ]
       }
     ]
   }

3. Scrivi la policy di autorizzazione aggiornata:

   Il metodo serviceAccounts.setIamPolicy imposta un criterio di autorizzazione aggiornato per il account di servizio.

   Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

   • PROJECT_ID: il tuo ID progetto Trusted Cloud . Gli ID progetto sono stringhe alfanumeriche, come my-project.
   • PRIV_SA: l'indirizzo email del account di servizio con privilegi per il quale viene creato il token di breve durata.
   • POLICY_VERSION: La versione della policy da restituire. Le richieste devono specificare la versione più recente delle norme, ovvero la versione 3. Per maggiori dettagli, vedi Specificare una versione delle norme quando si recuperano le norme.

   • POLICY: una rappresentazione JSON della policy che vuoi impostare. Per ulteriori informazioni sul formato di una policy, consulta la documentazione di riferimento delle policy.

     Ad esempio, per impostare il criterio di autorizzazione mostrato nel passaggio precedente, sostituisci POLICY con quanto segue, dove CALLER_ACCOUNT è l'account utente che crea il token temporaneo:

     {
       "version": 1,
       "etag": "BwWKmjvelug=",
       "bindings": [
         {
           "role": "roles/serviceAccountAdmin",
           "members": [
             "principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/my-user@example.com"
           ]
         },
         {
           "role": "roles/iam.serviceAccountTokenCreator",
           "members": [
             "CALLER_ACCOUNT"
           ]
         }
       ]
     }

   Metodo HTTP e URL:

   POST https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:setIamPolicy

   Corpo JSON della richiesta:

   {
     "policy": POLICY
   }
   

   Per inviare la richiesta, espandi una di queste opzioni:

   curl (Linux, macOS o Cloud Shell)

   Salva il corpo della richiesta in un file denominato request.json, ed esegui questo comando:

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:setIamPolicy"

   PowerShell (Windows)

   Salva il corpo della richiesta in un file denominato request.json, ed esegui questo comando:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://iam.googleapis.com/v1/projects/PROJECT_ID/serviceAccounts/PRIV_SA:setIamPolicy" | Select-Object -Expand Content

   Explorer API (browser)

   Copia il corpo della richiesta e apri la pagina di riferimento del metodo. Sul lato destro della pagina si apre il riquadro Explorer API. Puoi interagire con questo strumento per inviare richieste. Incolla il corpo della richiesta in questo strumento, compila gli altri campi obbligatori e fai clic su Esegui.

   La risposta contiene la policy di autorizzazione aggiornata.