配置服务账号

在 App Design Center 中，您可以配置专用服务账号，以便为应用或计算工作负载提供用于访问 Google Cloud 资源的身份。您可以根据 terraform-google-service-accounts Terraform 模块自定义服务账号的组件连接和配置参数。

组件连接

下表列出了您可以连接到服务账号的组件，以及对应用及其生成的 Terraform 代码所做的相应更新。

关联的组成部分	应用更新	背景信息
Compute Engine 实例模板	Compute Engine 实例模板会使用关联的服务账号，而不是创建新的服务账号。关联的服务账号用于向其他 Google Cloud 服务进行身份验证和授权。 服务账号电子邮件地址和 IAM 信息会添加到 Compute Engine 实例模板中。	创建使用用户管理的服务账号的虚拟机
Secret Manager	服务账号可以访问 Secret 数据。 roles/secretmanager.secretAccessor 角色已分配给服务账号。	管理对 Secret 的访问权限
BigQuery	Cloud Run 等服务可以使用该服务账号读取和修改 BigQuery 数据集中的数据。 BigQuery roles/bigquery.dataEditor 角色已添加到服务账号。	BigQuery IAM 角色和权限
Cloud Run	Cloud Run 服务将该服务账号用作服务身份。 roles/run.invoker 角色已添加到服务账号。 服务账号电子邮件地址和 IAM 信息会添加到 Cloud Run 实例中。	对服务到服务进行身份验证
Cloud SQL (MySQL)	服务账号可以连接到 Cloud SQL (MySQL) 实例。 roles/cloudsql.instanceUser 和 roles/cloudsql.client 角色已添加到服务账号。 服务账号 IAM 信息会添加到 Cloud SQL 实例中。	角色和权限
Cloud SQL (PostgreSQL)	服务账号可以连接到 Cloud SQL (PostgreSQL) 实例。 roles/cloudsql.instanceUser 和 roles/cloudsql.client 角色已添加到服务账号。 服务账号 IAM 信息会添加到 Cloud SQL 实例中。	角色和权限
Cloud Storage	服务账号可以管理 Cloud Storage 存储桶中的对象。 服务账号 IAM 信息会添加到 Cloud Storage 存储桶。 roles/storage.objectAdmin 角色已分配给服务账号。	为存储桶设置和管理 IAM 政策
Memorystore for Redis	该服务账号可以管理 Memorystore for Redis 实例。 roles/redis.editor 角色已添加到服务账号。	Memorystore for Redis 服务账号
Memorystore for Redis Cluster	服务账号可以管理 Memorystore for Redis Cluster。 应用设计中心会将 roles/redis.editor 角色添加到服务账号。	使用 IAM 进行访问权限控制
Memorystore for Valkey	该服务账号可以管理 Memorystore for Valkey 实例。 应用设计中心会将 roles/memorystore.editor 角色添加到服务账号。	使用 IAM 进行访问权限控制
Pub/Sub	该服务账号可以管理 Pub/Sub 主题，并从订阅中拉取消息。 roles/pubsub.editor 角色已添加到服务账号。 服务账号名称和电子邮件信息会添加到 Pub/Sub 拉取订阅中。	使用 IAM 进行访问权限控制
Spanner	服务账号有权访问 Spanner 实例。 该服务账号会作为 IAM 用户添加到 Spanner 实例中。	使用服务账号配置实例
Vertex AI	服务账号可以与 Vertex AI 服务进行交互。 roles/aiplatform.user 角色已添加到服务账号。	使用 IAM 进行 Vertex AI 访问权限控制

必需的配置参数

如果您的模板包含服务账号组件，则必须在部署之前配置以下参数。

参数名称	说明和限制	背景信息
项目 ID	要在其中创建服务账号资源的项目。	配置组件
名称	一个长度必须介于 6 到 30 个字符之间的标识符。可以包含小写字母数字字符和短划线。例如 my-service-account。	创建服务账号

可选配置参数

以下参数是可选的。如需显示高级参数，请在配置区域中选择显示高级字段。

参数名称	说明和限制条件信息	背景信息
显示名称	服务账号的用户可读名称。	创建服务账号
说明	用户可读的说明。	创建服务账号
项目角色	project_roles	管理对项目、文件夹和组织的访问权限