docker - 当您将服务帐户分配给 Cloud Run 服务时，究竟会发生什么？

Question

我试图了解将服务帐户分配给 Cloud Run 服务实际上做了什么，以提高容器的安全性。我有多个进程在 Cloud Run 服务中运行，并非所有进程都需要访问项目资源。

我想到的一个更具体的问题是:我是否能够创建多个用户并以无权访问服务帐户的用户身份运行某些进程，或者是否每个用户都可以访问服务帐户？

我在 VM 实例上运行了一个小实验(我猜这将是与 Cloud Run 类似的情况)，我在其中创建了一个新用户，但在创建后，它没有被授权使用该实例的服务帐户。但是，我不确定是否有一种方法可以授权它，这会使我的方法不安全。

谢谢。

编辑

为了执行测试，我创建了一个新的 os 用户并使用了新用户帐户中的“gcloud auth list”。但是，我应该发出 curl 请求，这样我就可以检索凭据，正如下面的答案所指出的那样。

Answer 1

你的问题不是很清楚，但我会尽力为你提供一些意见。

当您在 Cloud Run 上运行服务时，您有 2 个选择来定义 its identity

• 要么是使用的计算引擎服务帐户(默认情况下，您是否未指定任何内容)
• 或者它是您在部署时指定的服务帐户

此服务帐户对 Cloud Run 服务有效(每个项目最多可以有 1000 个不同的服务)。

现在，当您运行容器时，服务帐户并没有真正加载到容器中(计算引擎也是一样)，但是有一个 API 可用于请求此服务帐户的身份验证数据。它的名字metadata server

它不限于用户(我不知道你是如何在 Compute Engine 上进行测试的!)，一个简单的 curl 就足以获取数据。

这个元数据服务器在你使用你的图书馆时使用，例如，你使用 "default credentials" . gcloud SDK 也使用它。

我希望你现在有更好的看法。如果没有，请在您的问题或评论中添加详细信息。