Otorga el rol de usuario de cuenta de servicio para las cuentas de servicio de ejecución

En esta página, se enumeran las principales que requieren el rol de usuario de cuenta de servicio (roles/iam.serviceAccountUser) para los próximos cambios de autorización y se explica cómo otorgarlo.

Quién necesita el rol de usuario de cuenta de servicio

Las siguientes principales requieren el rol de usuario de cuenta de servicio en la cuenta de servicio indicada:

Principal Cuenta de servicio
Usuarios que publican o prueban la integración, incluida la automatización de la implementación. La cuenta de servicio de ejecución de la integración
Usuarios y automatización que ejecutan la integración a través de la API o la consola de Google Cloud , de forma síncrona o asíncrona. La cuenta de servicio de ejecución de la integración
Es la cuenta de servicio que usa un activador para iniciar la integración. Esto incluye el correo electrónico de la cuenta de servicio de un activador de Cloud Scheduler, o la cuenta de servicio de un activador de Cloud Pub/Sub, un activador de Eventarc o un activador de eventos de Integration Connectors. Esto no es necesario si la cuenta del activador es la cuenta de servicio de ejecución. La cuenta de servicio de ejecución de la integración
Usuarios que aprueban o reanudan una ejecución suspendida. La cuenta de servicio de ejecución de la integración
Es el principal que inicia una integración que llama a una subintegración con la tarea Integración de llamadas. En el caso de una integración iniciada por un activador con una cuenta de servicio, esta es la cuenta de servicio del activador. La cuenta de servicio de ejecución de la subintegración, además de la cuenta de servicio de ejecución de la integración que realiza la llamada
La cuenta de servicio de ejecución de la integración que realiza la llamada, cuando llama a una integración secundaria de forma asíncrona. Esto no es necesario si ambas integraciones usan la misma cuenta de servicio. La cuenta de servicio de ejecución de la subintegración
Usuarios que crean o editan un perfil de autenticación de tipo Cuenta de servicio o Token de OIDC. La cuenta de servicio que se menciona en el perfil
Usuarios que publican o prueban una integración que usa ese perfil, incluida la automatización de la implementación La cuenta de servicio que se menciona en el perfil
La principal que ejecuta una integración que llega a una tarea con ese perfil. En el caso de una ejecución asíncrona o programada, esta es la cuenta de servicio de ejecución de la integración o el agente de servicio de Application Integration, service-PROJECT_NUMBER@gcp-sa-integrations., si la integración no tiene una. En ese caso, la solución recomendada es configurar una cuenta de servicio de ejecución. La cuenta de servicio que se menciona en el perfil

Para guardar un borrador, no se requiere el rol de usuario de cuenta de servicio. Actualmente, se aplican las verificaciones de autorización para publicar, probar y guardar perfiles de autenticación. Las verificaciones de ejecución, aprobación, llamada a subintegraciones y ejecución de tareas que usan un perfil de autenticación se aplicarán a medida que avance el lanzamiento. Otorga estos roles de forma proactiva para garantizar que tus integraciones sigan ejecutándose correctamente.

Otorga el rol

Para otorgar el rol a una principal, ejecuta el siguiente comando:

gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT \
    --project=SERVICE_ACCOUNT_PROJECT_ID \
    --member='user:PRINCIPAL' \
    --role='roles/iam.serviceAccountUser'

Reemplaza lo siguiente:

  • SERVICE_ACCOUNT: Es la dirección de correo electrónico de la cuenta de servicio run-as o de la cuenta que se menciona en un perfil de autenticación.
  • SERVICE_ACCOUNT_PROJECT_ID: Es el ID del proyecto que es propietario de la cuenta de servicio.
  • PRINCIPAL: Es la dirección de correo electrónico del usuario.

Para otros tipos de principales, usa el prefijo --member correspondiente:

  • Grupos: Usa group:. Te recomendamos usar Grupos de Google en lugar de cuentas de usuario individuales para simplificar la administración de acceso a medida que cambian los miembros del equipo.
  • Cuentas de servicio: Usa serviceAccount: para procesos automatizados, aplicaciones y cuentas de servicio de activadores.

Para otorgar el rol en la consola de Google Cloud , sigue estos pasos:

  1. Ve a IAM y administración > Cuentas de servicio.
  2. Selecciona la cuenta de servicio.
  3. Haz clic en Permisos > Otorgar acceso.

Para otorgar este rol, necesitas el rol roles/iam.serviceAccountAdmin en la cuenta de servicio. Los propietarios de proyectos tienen este permiso de forma predeterminada. Para obtener más información, consulta Administra el acceso a las cuentas de servicio.

¿Qué sigue?