Cloud Build Service Account 和 Service Agent 有什么区别？答案

【问题标题】：What is the difference between the Cloud Build Service Account and Service Agent?Cloud Build Service Account 和 Service Agent 有什么区别？
【发布时间】：2020-03-04 06:46:01
【问题描述】：

当您为项目启用 Google Cloud Build 服务时，会为项目中的两个服务帐号分配角色：

[PROJECT-ID]@cloudbuild.gserviceaccount.com 被分配了 Cloud Build Service Account 角色，并且在 Cloud Build 文档中被称为服务帐户，如果您需要构建执行功能（例如部署到AppEngine 或 Cloud Functions。
service-[PROJECT-ID]@gcp-sa-cloudbuild.iam.gserviceaccount.com 实际上被命名为“Cloud Build Service Account”，并在您的项目中被授予Cloud Build Service Agent 角色。

不幸的是，对于后一个服务帐户，我找不到任何文档。我假设这是实际触发构建的帐户，而另一个由正在运行的构建本身使用。

准确吗？

【问题讨论】：

标签： google-cloud-platform google-cloud-build google-cloud-iam

【解决方案1】：

任何在服务帐户描述中包含“代理”的服务都应保留。服务使用这些服务帐户来授权其运行所需的 GCP 服务。这些服务帐号由 Google Cloud 拥有/管理/控制。如果您移除此服务帐户的权限，服务通常会中断（停止正常工作）。

Cloud Build Service Agent 有权在您的项目中管理/创建其需要运行的 GCP 资源。这个link 提供了这些权限的文档。

【讨论】：

【解决方案2】：

根据官方文档Understanding roles：

Cloud Build Service Account 可以执行构建

Cloud Build Service Agent (Alpha) 为 Cloud Build 服务帐号提供对托管资源的访问权限

【讨论】：