Glossarbegriff
Dienstkonto (Service Account)
Eine nicht menschliche Google-Cloud-Identität für Workloads wie VMs, CI-Pipelines und Funktionen. E-Mail endet auf gserviceaccount.com; sie hat IAM-Rollen.
Ein Dienstkonto ist eine Google-Cloud-Identität für Workloads statt für Menschen. Von Nutzern erstellte Dienstkonten haben E-Mail-Adressen wie name@PROJECT.iam.gserviceaccount.com; von Google verwaltete Dienst-Agents nutzen andere gserviceaccount.com-Domains. Ein Dienstkonto erhält IAM-Rollen wie jede andere Identität.
Workloads erhalten seine Anmeldedaten auf drei Hauptwegen: angehängt an eine Ressource (eine VM bezieht Tokens vom Metadatenserver), über Impersonation durch eine andere Identität oder mit einem herunterladbaren Dienstkontoschlüssel. In Audit-Logs erscheint es in authenticationInfo.principalEmail. Weil Dienstkonten oft zu viele Rechte haben und ihre Anmeldedaten nach außen gelangen, sind sie der häufigste Einstiegspunkt bei Kompromittierungen in Google Cloud.
Siehe Geleakter GCP-Dienstkontoschlüssel: so untersuchen Sie ihn.