更改关联的服务账号

由用户管理

如果您还没有用户管理的服务账号，请先创建一个服务账号。如需了解详细说明，请参阅设置服务账号。

默认值

如果您熟悉 Compute Engine 默认服务账号，并希望使用默认服务账号提供的凭据而不是创建新服务账号，则可以将 IAM 角色授予默认服务账号。

在将 IAM 角色分配给默认服务账号之前，请注意：

• 向默认服务账号授予 IAM 角色会影响以默认服务账号的身份运行的所有虚拟机。例如，如果您向默认服务账号授予 roles/storage.objectAdmin 角色，则具有所需访问权限范围且以默认服务账号的身份运行的所有虚拟机都将具有 roles/storage.objectAdmin 角色授予的权限。同样，如果通过省略某些角色来限制访问权限，则会影响以默认服务账号的身份运行的所有虚拟机。

• 根据您的组织政策配置，默认服务账号可能会自动获得项目的 Editor 角色。我们强烈建议您通过强制执行 iam.automaticIamGrantsForDefaultServiceAccounts 组织政策限制条件来停用自动角色授予功能。如果您的组织是在 2024 年 5 月 3 日之后创建的，则默认情况下会强制执行此限制条件。

  如果您停用自动角色授予功能，则必须决定向默认服务账号授予哪些角色，然后自行授予这些角色。

  如果默认服务账号已具有 Editor 角色，我们建议您将 Editor 角色替换为权限较少的角色。如需安全地修改服务账号的角色，请使用 Policy Simulator 查看更改的影响，然后授予和撤消相应的角色。

如果您不确定如何向默认服务账号授予 IAM 角色，请改为创建新用户管理的服务账号。

控制台

1. 转到虚拟机实例页面。

   转到“虚拟机实例”

2. 点击要为其更改服务账号的虚拟机实例名称。

3. 如果虚拟机未停止，请点击停止。等待虚拟机停止。

4. 点击修改。

5. 向下滚动到服务账号部分。

6. 从下拉列表中，选择要分配给虚拟机的服务账号。

   • 如果您选择用户管理的服务账号，则虚拟机的访问权限范围默认为建议的 cloud-platform 范围。如果用户管理的服务账号需要其他范围，请使用 gcloud CLI 或 Compute Engine API 关联该服务账号。
   • 如果您选择 Compute Engine 默认服务账号，则可以在 Google Cloud 控制台中修改其访问权限范围。
     • 如需更改范围，请在访问权限范围部分中，选择针对每个 API 设置访问权限，并根据需要设置适当的范围。
     • 建议 如果您不确定要设置的正确访问权限范围，请选择允许所有 Cloud API 的全面访问权限，然后确保通过设置服务账号的 IAM 角色来限制访问权限。

7. 点击保存以保存更改。

8. 点击启动/恢复以重启虚拟机。

gcloud

1. 使用 instances stop 命令停止虚拟机。将 VM_NAME 替换为虚拟机实例的名称。

   gcloud compute instances stop VM_NAME
   

2. 关联服务账号。如需关联服务账号，请使用 instances set-service-account 命令并提供虚拟机名称、服务账号电子邮件地址和所需的范围。如需详细了解如何设置访问权限范围，请参阅最佳做法。

   gcloud compute instances set-service-account VM_NAME \
     --service-account=SERVICE_ACCOUNT_EMAIL \
     --scopes=SCOPES
   

   替换以下内容：

   • SERVICE_ACCOUNT_EMAIL：您创建的服务账号的电子邮件地址。例如：my-sa-123@my-project-123.iam.gserviceaccount.com。如需查看电子邮件地址，请参阅列出服务账号。

     如果您要从虚拟机中移除服务账号，请使用 --no-service-account 标志。

   • VM_NAME：虚拟机实例的名称。

   • SCOPES：--scopes 标志说明中提供的以英文逗号分隔的范围 URI 或别名列表。

     如果要移除虚拟机的所有范围，请改为使用 --no-scopes 标志。

   例如，以下命令将服务账号 my-sa-123@my-project-123.iam.gserviceaccount.com 分配给名为 example-instance 的虚拟机，并对该虚拟机设置访问权限范围，以允许对 Compute Engine 进行读写访问，同时允许对 Google Cloud Storage 进行只读访问：

   gcloud compute instances set-service-account example-instance \
     --service-account=my-sa-123@my-project-123.iam.gserviceaccount.com \
     --scopes=compute-rw,storage-ro
   

3. 使用 instances start 命令启动虚拟机。将 VM_NAME 替换为虚拟机实例的名称。

   gcloud compute instances start VM_NAME
   

REST

1. 使用 instances.stop 方法发出 POST 请求以停止虚拟机：

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/stop
   

   替换以下内容：

   • PROJECT_ID：您的虚拟机所在的项目
   • ZONE：虚拟机所在的地区
   • VM_NAME：您要停止的虚拟机的名称

2. 向 setServiceAccount 方法发出 POST 请求，以关联服务账号：

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/setServiceAccount
   
   {
     "email": "SERVICE_ACCOUNT_EMAIL",
     "scopes": [
       "SCOPE_URI",
       "SCOPE_URI",
       ...
     ]
   }
   

   替换以下内容：

   • PROJECT_ID：此请求的项目 ID。
   • ZONE：此虚拟机所属的可用区。
   • VM_NAME：虚拟机的名称。
   • SERVICE_ACCOUNT_EMAIL：您创建的服务账号的电子邮件地址。例如：my-sa-123@my-project-123.iam.gserviceaccount.com。如需查看电子邮件地址，请参阅列出服务账号。
   • SCOPE_URI：所需的范围 URI。

   例如，以下请求使用服务账号电子邮件地址 my-sa-123@my-project-123.iam.gserviceaccount.com 并设置 Cloud Storage 和 BigQuery 范围：

   POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/setServiceAccount
   
   {
     "email": "my-sa-123@my-project-123.iam.gserviceaccount.com",
     "scopes": [
       "https://www.googleapis.com/auth/bigquery",
       "https://www.googleapis.com/auth/devstorage.read_only"
     ]
   }
   

3. 使用 instances.start 方法构造 POST 请求以启动虚拟机：

   POST https://www.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/start
   

   替换以下内容：

   • PROJECT_ID：您的虚拟机所在的项目
   • ZONE：虚拟机所在的地区
   • VM_NAME：您要启动的虚拟机的名称

控制台

1. 转到虚拟机实例页面。

   转到“虚拟机实例”

2. 点击要为其更改服务账号的虚拟机实例名称。

3. 前往 API 和身份管理部分。本部分展示了虚拟机使用的服务账号和访问权限范围。

gcloud

运行 gcloud compute instances describe 命令：

gcloud compute instances describe VM_NAME \
    --format json

输出类似于以下内容：

{
  ...
  "serviceAccounts":[
      {
        "email":"123845678986-compute@developer.gserviceaccount.com",
        "scopes":[
            "https://www.googleapis.com/auth/devstorage.full_control"
        ]
      }
  ]
  ...
   }

如果虚拟机未使用服务账号，您会收到不带 serviceAccounts 属性的响应。

元数据服务器

从虚拟机本身查询元数据服务器。向 http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/ 发出请求：

user@myinst:~$ curl "http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/" \
-H "Metadata-Flavor: Google"

如果您在创建实例时启用了一个或多个服务账号，则此 curl 命令将返回如下所示的输出：

123845678986-compute@developer.gserviceaccount.com/
default/

如果实例未使用服务账号，您会收到空响应。