为默认 Cloud Build 服务账号配置访问权限

本页面介绍了如何向默认 Cloud Build 服务账号授予权限以及如何撤消其权限。

请注意，系统会自动为旧版 Cloud Build 服务账号授予项目的 Cloud Build Service Account 角色。Compute Engine 默认服务账号不包含此角色。您可以向所使用的任何服务账号授予更多权限。

准备工作

使用“设置”页面向默认 Cloud Build 服务账号授予角色

您可以使用 Google Cloud 控制台中的 Cloud Build“设置”页面向默认 Cloud Build 服务账号授予某些常用的 IAM 角色：

  1. 打开 Cloud Build 的“设置”页面：

    打开 Cloud Build 的“设置”页面

    您将会看到服务账号权限页面：

    “服务账号权限”页面的屏幕截图

  2. 使用下拉菜单选择要更新的服务账号。

  3. 将要添加的角色状态设置为启用。

使用 IAM 页面向默认 Cloud Build 服务账号授予角色

如果您要授予的角色未在 Google Cloud 控制台的“Cloud Build 设置”页面中列出，请使用 IAM 页面授予该角色：

  1. 打开 IAM 页面：

    打开 IAM 页面

  2. 选择您的 Google Cloud 项目。

  3. 在权限表上方，选中包括 Google 提供的角色授权复选框。

    您会看到权限表中显示了更多行。

  4. 在权限表中，找到您的默认 Cloud Build 服务账号。

  5. 点击铅笔图标。

  6. 选择要授予 Cloud Build 服务账号的角色。

  7. 点击保存。

撤销 Cloud Build 服务账号的角色

  1. 打开 IAM 页面：

    打开 IAM 页面

  2. 选择您的 Google Cloud 项目。

  3. 在权限表上方，选中包括 Google 提供的角色授权复选框。

    您会看到权限表中显示了更多行。

  4. 在权限表中，找到您的默认 Cloud Build 服务账号。

  5. 点击铅笔图标。

  6. 找到要撤消的角色，然后点击该角色旁边的删除垃圾箱。

向 Cloud Build 服务代理授予角色

除了 Cloud Build 默认服务账号之外，Cloud Build 还具有一个 Cloud Build 服务代理，可允许其他 Google Cloud 服务访问您的资源。在大多数情况下，服务代理会在 Google Cloud 项目首次需要时自动创建。服务代理采用以下格式，其中 PROJECT_NUMBER 是您的项目编号。

     service-PROJECT_NUMBER@gcp-sa-cloudbuild.

您可以前往 Google Cloud 控制台中的 IAM 页面，然后选中显示 Google 代管式服务账号复选框，查看项目的服务代理。如果未列出 Cloud Build 服务代理，您可以手动创建服务代理。

如果您不小心撤消了 Cloud Build 服务代理在项目中的角色，则可以使用以下步骤手动授予该角色：

控制台

  1. 在 Google Cloud 控制台中打开 IAM 页面：

    打开 IAM 页面

  2. 点击授予访问权限。

  3. 添加以下主账号，其中 PROJECT_NUMBER 是您的项目编号：

    service-PROJECT_NUMBER@gcp-sa-cloudbuild.

  4. 选择服务代理 Cloud Build Service Agent 作为您的角色。

  5. 点击保存。

gcloud

将 roles/cloudbuild.serviceAgent IAM 角色授予 Cloud Build 服务代理：

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="serviceAccount:service-PROJECT_NUMBER@gcp-sa-cloudbuild." \
    --role="roles/cloudbuild.serviceAgent"

将命令中的占位值替换为以下内容：

  • PROJECT_ID：项目 ID
  • PROJECT_NUMBER：项目编号

后续步骤