如何以编程方式将角色添加到云构建服务帐户？

Question

我正在尝试将setIAMPolicy用于Cloud Build Service帐户@ cloudbuild.gserviceaccount.com。我想为Cloud Build Service成员提供AppEngine Admin和Cloud Run Admin权限，以便它可以在AppEngine上进行自动发布。

以某种方式，当我在获取IAM策略时传递Cloud Build Service帐户的资源时会抛出404。为了确认，我在API资源管理器中尝试了GET https://iam.googleapis.com/v1/{name=projects/*}/serviceAccounts，但它也没有返回Google托管服务帐户。看来，它仅返回创建的服务帐户，而不返回Google托管的默认帐户。

如何设置IAM策略以将这些权限授予Cloud Build？

Answer 1

通常的想法是为App Engine和Cloud Run启用这些权限。

此外，一个常见的问题是不知道App Engine和Cloud构建需要cron权限。例如，this文章提到“ App Engine Admin”的“ Update cron schedules”为“ No”。是否需要，取决于构建的方式。如果最终还是需要这样做，请在@ cloudbuild.gserviceaccount.com上使用权限“ Cloud Scheduler Admin”。您可以将相同的逻辑应用于其他权限，that图表可能有助于了解所需设置（取决于您的设置）。