Service Accounts verstehen
Zuletzt aktualisiert am
Benutzerkonten und Service Accounts haben bei STACKIT unterschiedliche Zwecke. Obwohl beide zur Authentifizierung und Autorisierung von Aktionen verwendet werden, ist ein Benutzerkonto für einen menschlichen Benutzer vorgesehen, während ein Service Account für Systemdienste und Applikationen bestimmt ist.
Hauptmerkmale und Funktionen von Service Accounts
Abschnitt betitelt „Hauptmerkmale und Funktionen von Service Accounts“Ein Service Account ermöglicht es Ihnen, einem Dienst oder einer Applikation spezifische Berechtigungen zu erteilen, ohne Ihre persönlichen Zugangsdaten preiszugeben. Dies macht die Verwaltung Ihrer automatisierten Workflows sicherer und einfacher. Sie können einen Service Account erstellen und ihm über das STACKIT Portal Rollen und Berechtigungen innerhalb eines STACKIT-Projekts zuweisen.
- Nicht-menschliche Identität: Ein Service Account ist nicht mit einer Person verknüpft.
- Automatisierung: Service Accounts eignen sich für die Automatisierung von Routineaufgaben, die Verwaltung von Ressourcen und die Integration mit verschiedenen APIs.
- Authentifizierung: Ein Service Account bietet eine eindeutige Identität, mit der eine Applikation authentifiziert werden kann.
- Autorisierung: Zugriffssteuerungen und Berechtigungen können für einen Service Account festgelegt werden, um sicherzustellen, dass nur autorisierte Applikationen auf bestimmte Ressourcen zugreifen können.
- Sicherheit: Die Verwendung von Service Accounts für automatisierte Aufgaben erhöht die Sicherheit, weil Sie keine persönlichen Benutzerkonten verwenden müssen.
- Rollenbasierte Zugriffssteuerung (RBAC): Service Accounts haben standardmäßig ebenso wenig Zugriff auf Ressourcen wie Benutzerkonten. Berechtigungen werden erteilt, indem dem Service Account Rollen für bestimmte Ressourcen zugewiesen werden.
- Workload Identity Federation (WIF): Mit WIF verknüpfen Sie einen Service Account mit einem externen OIDC-Aussteller. So erhalten Sie kurzlebige Tokens ohne statische Schlüssel.
Authentifizierungsmethoden
Abschnitt betitelt „Authentifizierungsmethoden“Ein Service Account authentifiziert sich mit einem klassischen Schlüssel oder über Föderation.
Workload Identity Federation
Abschnitt betitelt „Workload Identity Federation“Sie können einen Federated Identity Provider so konfigurieren, dass er Tokens eines externen OIDC-Ausstellers vertraut. Dadurch verknüpfen Sie einen Service Account mit einem externen OIDC-Aussteller und erhalten kurzlebige Tokens ohne statische Schlüssel. Wenn Sie einen Federated Identity Provider erstellen, legen Sie ausdrücklich fest, wem Sie beim externen OIDC-Aussteller vertrauen.
Definieren Sie zwei Elemente: die Issuer-URL und eine Reihe von Assertions. Tokens des
externen Ausstellers werden nur akzeptiert, wenn die Issuer-URL exakt dem iss-Wert in den Tokens
entspricht und alle Assertion-Bedingungen erfüllt sind. Assertions legen erforderliches Verhalten
oder Claims im externen Token fest. Jede Assertion besteht aus einem Element wie Subject oder
Audience, dem Gleichheitsoperator und einem Wert. Eine Assertion kann zum Beispiel verlangen, dass
subject EQUALS shop-api AND audience EQUALS clients ist.
Service Account-Schlüssel
Abschnitt betitelt „Service Account-Schlüssel“Alternativ authentifizieren Sie sich mit einem Service Account-Schlüssel über den Key-Flow bei STACKIT. Wenn Sie im STACKIT Portal einen Schlüssel für Ihren Service Account erstellen, kann das System ein RSA-Schlüsselpaar für Sie generieren, oder Sie stellen Ihr eigenes bereit.
Rollen und Berechtigungen für Service Accounts
Abschnitt betitelt „Rollen und Berechtigungen für Service Accounts“| Niedrigster Bereich | Name | Beschreibung | Berechtigungen |
|---|---|---|---|
| Projekt | Service Account Admin | Ermöglicht die Verwaltung von Service Accounts. Dazu gehören das Erstellen, Auflisten, Abrufen und Löschen von Service Accounts. Da Service Accounts nicht per Soft-Delete entfernt werden können, sollten Sie Rollen mit der Berechtigung iam.service-account.delete besonders vorsichtig zuweisen. |
|
| Projekt | Service Account Creator | Ermöglicht das Erstellen von Service Accounts. |
|
| Projekt | Service Account Deleter | Ermöglicht das dauerhafte Löschen von Service Accounts. Achtung: Service Accounts werden sofort und endgültig entfernt, da kein Soft-Delete verfügbar ist. |
|
| Projekt | Service Account Key Admin | Ermöglicht die Verwaltung von Service Account-Schlüsseln. |
|
| Projekt | Service Account Access Token Admin | Ermöglicht die Verwaltung von Service Account-Zugriffstoken. Hinweis: Service Account-Zugriffstoken sind seit dem 16. Dezember 2025 veraltet. Diese Rolle ist ebenfalls veraltet. |
|
| Projekt | Service Account User | Ermöglicht das Zuweisen von Service Accounts zu Workloads (zum Beispiel virtuellen Maschinen). |
|
| Projekt | Service Account Reader | Ermöglicht das Auflisten und Abrufen von Service Accounts sowie der zugehörigen Service Account-Zugriffstoken und Service Account-Schlüssel. |
|