Memberikan izin alur kerja untuk mengakses resource Google Cloud

Workflows menggunakan akun layanan untuk memberi alur kerja akses ke resource Google Cloud . Akun layanan adalah akun khusus yang berfungsi sebagai identitas non-orang, seperti fungsi, aplikasi, atau VM. Mereka memberi Anda cara untuk mengautentikasi non-orang ini. Akun layanan dapat dianggap sebagai identitas dan resource.

• Saat menganggap akun layanan sebagai identitas, Anda dapat memberikan peran ke akun layanan, sehingga akun layanan tersebut dapat mengakses resource (seperti alur kerja).

• Saat menganggap akun layanan sebagai resource, Anda dapat memberikan peran kepada pengguna lain untuk mengakses atau mengelola akun layanan tersebut.

Akun layanan diidentifikasi oleh alamat emailnya, yang bersifat unik untuk akun tersebut.

Untuk mengetahui informasi selengkapnya tentang cara menyiapkan autentikasi dengan aplikasi produksi, lihat Melakukan autentikasi sebagai akun layanan.

Akun layanan default

Setiap alur kerja dikaitkan dengan akun layanan Identity and Access Management (IAM) pada saat alur kerja dibuat. Jika Anda tidak menentukan akun layanan selama pembuatan alur kerja, alur kerja akan menggunakan akun layanan Compute Engine default untuk identitasnya. Anda dapat memverifikasi akun layanan terkait alur kerja. Dalam dokumen ini, lihat Memverifikasi akun layanan terkait alur kerja.

• Sebaiknya gunakan akun layanan default hanya untuk pengujian dan pengembangan. Untuk lingkungan produksi, sebaiknya buat akun layanan baru dan berikan satu atau beberapa peran IAM yang berisi izin minimum yang diperlukan untuk mengelola alur kerja.

• Satu-satunya peran yang diperlukan oleh akun layanan Anda adalah peran yang diperlukan untuk mengakses resource yang diatur oleh alur kerja Anda. Untuk mengetahui informasi selengkapnya, lihat Izin akun layanan dalam dokumen ini.

Izin akun layanan

Karena akun layanan adalah identitas, Anda dapat mengizinkan akun layanan mengakses resource dalam project Anda dengan memberinya peran, seperti yang Anda lakukan untuk akun utama lainnya. Misalnya, jika Anda ingin mengizinkan alur kerja Anda mengirim log ke Cloud Logging, pastikan akun layanan yang menjalankan alur kerja telah diberi peran yang mencakup izin logging.logEntries.create (misalnya, peran Logs Writer). Secara umum, peran yang diperlukan oleh akun layanan Anda bergantung pada resource yang Anda atur dengan alur kerja Anda. Untuk menentukan peran yang diperlukan, tinjau dokumentasi produk untuk resource yang Anda atur, atau pilih peran bawaan.

Perhatikan bahwa akun layanan alur kerja tidak memerlukan peran workflows.invoker kecuali jika alur kerja memanggil dirinya sendiri atau alur kerja lain (yaitu, membuat eksekusi alur kerja baru). Untuk mengetahui informasi selengkapnya, lihat Memanggil Alur Kerja.

Untuk mengetahui informasi selengkapnya tentang cara memberikan peran kepada akun utama, termasuk akun layanan, lihat Mengelola akses ke project, folder, dan organisasi.

Melampirkan akun layanan ke resource

Untuk membuat resource dan melampirkan akun layanan, Anda memerlukan izin untuk membuat resource tersebut dan untuk melampirkan akun layanan ke resource. Izin untuk melampirkan akun layanan ke resource diberikan oleh peran apa pun yang mencakup izin iam.serviceAccounts.actAs.

Untuk mengetahui informasi selengkapnya, lihat Peran untuk autentikasi akun layanan.

Memanggil fungsi Cloud Run

Di fungsi Cloud Run, izin pemanggilan tersedia dengan mengelola layanan Cloud Run yang mendasarinya. Jika alur kerja Anda memanggil layanan fungsi Cloud Run, Anda tidak perlu memberikan peran Cloud Functions Invoker (roles/cloudfunctions.invoker) untuk akun layanan pemanggil. Sebagai gantinya, Anda harus memberikan peran Cloud Run Invoker (roles/run.invoker).

Untuk mengetahui informasi selengkapnya, lihat Membandingkan fungsi Cloud Run.

Men-deploy alur kerja dengan akun layanan kustom

Anda dapat membuat akun layanan yang dikelola pengguna sendiri untuk memberi Anda fleksibilitas yang lebih besar dalam mengontrol akses ke alur kerja Anda.

1. Buat akun layanan Anda dan catat namanya.

2. Berikan akun layanan peran yang sesuai, berdasarkan resource yang harus diakses alur kerja untuk melakukan pekerjaannya.

3. Pastikan semua akun utama yang men-deploy alur kerja dapat melampirkan akun layanan ke resource. Jika Anda yang membuat akun layanan, Anda akan otomatis diberi izin ini. Untuk mengetahui informasi selengkapnya, lihat Peran untuk autentikasi akun layanan.

   Untuk mendapatkan izin yang diperlukan untuk melampirkan akun layanan ke resource, minta administrator untuk memberi Anda Peran IAM Pengguna Akun Layanan (roles/iam.serviceAccountUser) di project atau akun layanan Anda. Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

   Peran bawaan ini berisi izin iam.serviceAccounts.actAs , yang diperlukan untuk melampirkan akun layanan ke resource.

   Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

   Berikan peran pada project:

   gcloud projects add-iam-policy-binding WORKFLOWS_PROJECT_ID \
       --member=PRINCIPAL \
       --role='roles/iam.serviceAccountUser'

   Atau, berikan peran di akun layanan:

   gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_RESOURCE_NAME \
       --member=PRINCIPAL \
       --role='roles/iam.serviceAccountUser'

   Ganti kode berikut:

   • WORKFLOWS_PROJECT_ID: ID Google Cloud project Anda yang berisi resource alur kerja

   • PRINCIPAL: ID untuk deployer alur kerja dalam format user|group|serviceAccount:email atau domain:domain. Contoh:

     • user:[email protected]
     • group:[email protected]
     • serviceAccount:[email protected]
     • domain:example.domain.com

   • SERVICE_ACCOUNT_RESOURCE_NAME: nama lengkap resource akun layanan. Contoh:

     projects/SERVICE_ACCOUNT_PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_NAME@SERVICE_ACCOUNT_PROJECT_ID.iam.gserviceaccount.com

     Dengan:

     • SERVICE_ACCOUNT_PROJECT_ID adalah Google Cloud ID project yang berisi akun layanan.
     • SERVICE_ACCOUNT_NAME adalah nama akun layanan.

4. Deploy alur kerja menggunakan akun layanan kustom.

Men-deploy alur kerja dengan akun layanan lintas project

Secara default, Anda tidak dapat membuat akun layanan pada satu project dan melampirkannya ke resource pada project lain. Petunjuk berikut menunjukkan cara melampirkan akun layanan di satu project ke alur kerja di project lain. Kemudian, Anda dapat menggunakan akun layanan di berbagai project untuk men-deploy alur kerja.

Jika akun layanan dan resource alur kerja berada dalam project yang berbeda, dari project tempat akun layanan berada, selesaikan langkah-langkah berikut:

1. Di konsol Google Cloud , buka halaman Kebijakan organisasi:

   Buka Organization policies

   Periksa kebijakan organisasi untuk project dan pastikan batasan boolean iam.disableCrossProjectServiceAccountUsage tidak diterapkan untuk project. Untuk mengetahui informasi selengkapnya, lihat Mengaktifkan akun layanan untuk dilampirkan di seluruh project.

2. Buat akun layanan Anda dan catat namanya.

3. Berikan akun layanan peran yang sesuai, berdasarkan resource yang harus diakses alur kerja untuk melakukan pekerjaannya.

4. Berikan peran Pembuat Token Akun Layanan (roles/iam.serviceAccountTokenCreator) kepada agen layanan Workflows. Hal ini memungkinkan agen layanan mengelola akses lintas project untuk akun layanan. Agen layanan adalah identitas layananGoogle Cloud tertentu untuk project tertentu. Untuk mengetahui informasi selengkapnya, lihat Agen layanan.

   Konsol

   1. Di konsol Google Cloud , buka halaman Workflows:

      Buka Workflows

   2. Klik add Buat untuk membuat alur kerja atau pilih nama alur kerja yang ingin Anda perbarui.

   3. Di daftar Service account, klik Switch project.

   4. Pilih akun layanan dari project lain.

   5. Jika diminta, berikan peran roles/iam.serviceAccountTokenCreator kepada agen layanan Workflows.

   gcloud

   1. Berikan peran roles/iam.serviceAccountTokenCreator ke agen layanan Workflows:

      gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_RESOURCE_NAME \
          --member='serviceAccount:service-WORKFLOWS_PROJECT_NUMBER@gcp-sa-workflows.iam.gserviceaccount.com' \
          --role='roles/iam.serviceAccountTokenCreator'

      Ganti kode berikut:

      • SERVICE_ACCOUNT_RESOURCE_NAME: nama lengkap resource akun layanan. Contoh:

        projects/SERVICE_ACCOUNT_PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_NAME@SERVICE_ACCOUNT_PROJECT_ID.iam.gserviceaccount.com

        Dengan:

        • SERVICE_ACCOUNT_PROJECT_ID adalah Google Cloud project ID yang berisi akun layanan.
        • SERVICE_ACCOUNT_NAME adalah nama akun layanan.

      • WORKFLOWS_PROJECT_NUMBER:Google Cloud nomor project yang berisi resource alur kerja.

5. Pastikan semua akun utama yang men-deploy alur kerja dapat melampirkan akun layanan ke resource. Jika Anda yang membuat akun layanan, Anda akan otomatis diberi izin ini. Untuk mengetahui informasi selengkapnya, lihat Peran untuk autentikasi akun layanan.

   Untuk mendapatkan izin yang diperlukan untuk melampirkan akun layanan ke resource, minta administrator untuk memberi Anda Peran IAM Pengguna Akun Layanan (roles/iam.serviceAccountUser) di project atau akun layanan Anda. Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

   Peran bawaan ini berisi izin iam.serviceAccounts.actAs , yang diperlukan untuk melampirkan akun layanan ke resource.

   Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

   Konsol

   1. Di konsol Google Cloud , buka halaman Workflows:

      Buka Workflows

   2. Klik add Buat untuk membuat alur kerja atau pilih nama alur kerja yang ingin Anda perbarui.

   3. Di daftar Service account, klik Switch project.

   4. Pilih akun layanan dari project lain.

   5. Jika diminta, berikan peran roles/iam.serviceAccountUser pada project.

   gcloud

   Berikan peran pada project:

   gcloud projects add-iam-policy-binding WORKFLOWS_PROJECT_ID \
       --member=PRINCIPAL \
       --role='roles/iam.serviceAccountUser'

   Atau, berikan peran di akun layanan:

   gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_RESOURCE_NAME \
       --member=PRINCIPAL \
       --role='roles/iam.serviceAccountUser'

   Ganti kode berikut:

   • WORKFLOWS_PROJECT_ID: ID project Google Cloud yang berisi resource alur kerja
   • PRINCIPAL: ID untuk workflow deployer dalam format user|group|serviceAccount:email atau domain:domain. Sebagai contoh:
     • user:[email protected]
     • group:[email protected]
     • serviceAccount:[email protected]
     • domain:example.domain.com

   • SERVICE_ACCOUNT_RESOURCE_NAME: nama lengkap resource akun layanan. Contoh:

     projects/SERVICE_ACCOUNT_PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_NAME@SERVICE_ACCOUNT_PROJECT_ID.iam.gserviceaccount.com

     Dengan:

     • SERVICE_ACCOUNT_PROJECT_ID adalah Google Cloud project ID yang berisi akun layanan.
     • SERVICE_ACCOUNT_NAME adalah nama akun layanan.

6. Deploy alur kerja Anda menggunakan akun layanan lintas project.

Memverifikasi akun layanan yang terkait dengan alur kerja

Anda dapat memverifikasi akun layanan mana yang dikaitkan dengan alur kerja tertentu.

Langkah berikutnya

• Mengelola akses ke project, folder, dan organisasi

• Membuat permintaan yang diautentikasi dari alur kerja

• Peran dan izin alur kerja