使用使用者自行管理的服務帳戶

App Engine 應用程式需要服務帳戶才能存取其他服務並執行工作。 Google Cloud根據預設,系統會使用 App Engine 預設服務帳戶做為 App Engine 應用程式身分。您也可以指定不同的使用者管理服務帳戶,做為特定 App Engine 應用程式版本的身分。這樣一來,您就能根據各版本執行的特定工作,授予不同的權限,避免授予不必要的權限。

本指南將說明如何在部署新版本時指定其他使用者管理服務帳戶。如果您在部署特定版本的應用程式時不需要建立不同的服務帳戶,可以繼續使用預設服務帳戶,而不指定服務帳戶。

建立使用者代管的服務帳戶

如要建立使用者自管服務帳戶,請參閱這些操作說明。定義要授予服務帳戶的身分與存取權管理 (IAM) 角色時,請參閱「授予 App Engine 存取權的角色」。

如果您需要先瞭解身分與存取權管理概念,再建立服務帳戶,請參閱 身分與存取權管理概念總覽服務帳戶指南。

在部署應用程式時指定服務帳戶

gcloud

執行 gcloud app deploy 指令並指定服務帳戶:

gcloud app deploy --service-account=SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

app.yaml

app.yaml 檔案中,新增 service_account 元素來指定服務帳戶:

service_account: SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com

後續步驟

請遵循服務帳戶的最佳做法