google-cloud-platform - 使用服务帐户登录谷歌计算引擎

Question

我今天花了一整天时间阅读有关 stackexchange 的文档和问题，试图使用服务帐户登录到计算引擎，但无处可去。

我是谷歌云的新手，所以请原谅我的知识。

我们正在尝试在 google 计算引擎上设置长期运行的服务。我们希望该服务作为系统帐户而不是个人帐户运行，以便允许跨团队而不是特定用户进行故障排除权限。我们认为 GCP 的服务帐户应该能够实现这一点，但我们还没有能够以服务帐户的身份登录到计算引擎。我们采取了以下步骤来尝试这个 -

创建服务帐户并向团队授予 serviceaccountuser 权限。还要为分发给团队的服务帐户创建 rsa key 。

使用 gcloud auth activate-service-account 切换到服务帐号

gcloud init 到服务帐户并设置配置

使用 gcloud 计算 ssh 。

我们希望能够以服务帐户登录实例，因为我们在登录之前切换了身份。但是我们没有得到想要的效果。

问题 -

服务账号真的可以用来登录计算引擎吗？

如果没有，配置服务帐户以在 GCP 上创建 VM 时运行的目的是什么。

如果不是，那么使用每个人都可以访问的系统帐户在计算引擎上运行服务的正确方法是什么？

如果是，我们缺少什么？

非常感谢您提前解决了困惑，

Answer 1

服务帐号允许 Compute Engine 实例访问其他 Google API。例如，实例可能需要访问存储桶中的私有(private)内容或连接到数据存储。见 https://cloud.google.com/iam/docs/service-accounts

为了让您的团队成员 (ssh) 访问计算引擎实例，您可以通过添加他们的 Google 帐户将他们作为成员添加到项目中。指定他们的访问级别，以便他们只能列出和 ssh 进入，而不能创建或删除。我认为您想要一个具有“计算操作系统登录”权限的新角色。他们也不需要设置帐单。见 https://cloud.google.com/iam/docs/granting-changing-revoking-access