Übersicht
In diesem Lab lernen Sie, wie Sie mit der Rolle „Service Account User” arbeiten und wie Sie Rollen zuweisen.
Ziele
Aufgaben in diesem Lab:
- Zugriffssteuerung mit IAM implementieren
- Zugriff auf bestimmte Features und Ressourcen beschränken
- Rolle „Service Account User” verwenden
Einrichtung und Anforderungen
Für jedes Lab werden Ihnen ein neues Google Cloud-Projekt und die entsprechenden Ressourcen für eine bestimmte Zeit kostenlos zur Verfügung gestellt.
-
Klicken Sie auf Lab starten. Wenn Sie für das Lab bezahlen müssen, wird ein Pop-up-Fenster geöffnet, in dem Sie Ihre Zahlungsmethode auswählen können.
Auf der linken Seite befindet sich der Bereich Details zum Lab mit diesen Informationen:
- Schaltfläche Google Cloud Console öffnen
- Restzeit
- Temporäre Anmeldedaten für das Lab
- Ggf. weitere Informationen für dieses Lab
-
Klicken Sie auf Google Cloud Console öffnen (oder klicken Sie mit der rechten Maustaste und wählen Sie Link in Inkognitofenster öffnen aus, wenn Sie Chrome verwenden).
Im Lab werden Ressourcen aktiviert. Anschließend wird ein weiterer Tab mit der Seite Anmelden geöffnet.
Tipp: Ordnen Sie die Tabs nebeneinander in separaten Fenstern an.
Hinweis: Wird das Dialogfeld Konto auswählen angezeigt, klicken Sie auf Anderes Konto verwenden.
-
Kopieren Sie bei Bedarf den folgenden Nutzernamen und fügen Sie ihn in das Dialogfeld Anmelden ein.
{{{user_0.username | "Username"}}}
Sie finden den Nutzernamen auch im Bereich Details zum Lab.
-
Klicken Sie auf Weiter.
-
Kopieren Sie das folgende Passwort und fügen Sie es in das Dialogfeld Willkommen ein.
{{{user_0.password | "Password"}}}
Sie finden das Passwort auch im Bereich Details zum Lab.
-
Klicken Sie auf Weiter.
Wichtig: Sie müssen die für das Lab bereitgestellten Anmeldedaten verwenden. Nutzen Sie nicht die Anmeldedaten Ihres Google Cloud-Kontos.
Hinweis: Wenn Sie Ihr eigenes Google Cloud-Konto für dieses Lab nutzen, können zusätzliche Kosten anfallen.
-
Klicken Sie sich durch die nachfolgenden Seiten:
- Akzeptieren Sie die Nutzungsbedingungen.
- Fügen Sie keine Wiederherstellungsoptionen oder Zwei-Faktor-Authentifizierung hinzu (da dies nur ein temporäres Konto ist).
- Melden Sie sich nicht für kostenlose Testversionen an.
Nach wenigen Augenblicken wird die Google Cloud Console in diesem Tab geöffnet.
Hinweis: Wenn Sie eine Liste der Google Cloud-Produkte und ‑Dienste aufrufen möchten, klicken Sie oben links auf das Navigationsmenü oder geben Sie den Namen des Produkts oder Dienstes in das Feld Suchen ein.
Aufgabe 1: Zwei Nutzende anmelden
In dieser Aufgabe richten Sie das Lab für zwei Nutzende ein: Nutzername 1 und Nutzername 2.
Als erste Nutzerin/erster Nutzer in der Cloud Console anmelden
- Für dieses Lab finden Sie im Dialogfeld Verbindungsdetails zwei Nutzernamen. Melden Sie sich in einem Inkognitofenster in der Cloud Console wie gewohnt mit dem in Google Skills angegebenen Nutzernamen 1 an. Für beide Nutzernamen gilt dasselbe Passwort.
Als zweite Nutzerin/zweiter Nutzer in der Cloud Console anmelden
- Öffnen Sie einen weiteren Tab im Inkognitofenster.
- Rufen Sie console.cloud.google.com auf.
- Klicken Sie auf das Nutzersymbol oben rechts und dann auf Konto hinzufügen.
- Melden Sie sich mit Nutzername 2 aus Google Skills in der Cloud Console an.
Hinweis: Wenn Sie sich während dieses Labs aus dem Konto von Nutzername 1 abmelden, wird das Konto von Nutzername 2 von Google Skills gelöscht. Bleiben Sie daher als Nutzername 1 angemeldet, bis Sie Nutzername 2 nicht mehr benötigen.
Aufgabe 2: Die IAM-Konsole kennenlernen
In dieser Aufgabe sehen Sie sich die IAM-Konsole mit den Anmeldedaten von Nutzername 1 und Nutzername 2 an.
Gehen Sie zum Tab Nutzername 1 der Cloud Console.
IAM-Konsole öffnen und Rollen kennenlernen
- Klicken Sie in der Google Cloud Console im Navigationsmenü (
) auf IAM und Verwaltung > IAM.
- Klicken Sie auf Zugriff gewähren und sehen Sie sich die Rollen an, die im Drop-down-Menü zur Verfügung stehen.
Die Rollen, die den einzelnen Ressourcen zugeordnet sind, finden Sie im MenüRollen.
- Klicken Sie auf ABBRECHEN.
- Wechseln Sie in der Cloud Console zum Tab Nutzername 2.
- Klicken Sie im Navigationsmenü () auf IAM & Verwaltung > IAM. Suchen Sie im Lab--Dialogfeld Verbindungsdetails in der Liste nach den Zeilen mit den Namen, die dem Nutzernamen 1 und dem Nutzernamen 2 zugeordnet sind.
Hinweis: Nutzername 2 hat Zugriff auf das Projekt, kann aber keine Rollen bearbeiten, da ihm die Rolle „Projektinhaber” nicht zugewiesen ist. Bewegen Sie den Mauszeiger über das Stiftsymbol für Nutzername 2, um die entsprechenden Informationen anzuzeigen.
- Wechseln Sie in der Cloud Console zum Tab Nutzername 1.
- Klicken Sie in der IAM-Konsole auf das Stiftsymbol für Nutzername 2. Nutzername 2 ist die Rolle Viewer zugewiesen. Ändern Sie die Projektrolle nicht.
- Klicken Sie auf Abbrechen.
Aufgabe 3: Ressource für Zugriffstests vorbereiten
In dieser Aufgabe erstellen Sie einen Cloud Storage-Bucket. Anschließend laden Sie eine Beispieldatei von Ihrem lokalen Computer in den Cloud Storage-Bucket hoch. Abschließend prüfen Sie, ob Nutzername 2 den Bucket sehen kann.
Bucket erstellen und Beispieldatei hochladen
-
Wechseln Sie gegebenenfalls in der Cloud Console zum Tab Nutzername 1.
-
Wählen Sie in der Google Cloud Console im Navigationsmenü () die Option Cloud Storage > Buckets aus.
-
Klicken Sie auf +Erstellen.
-
Geben Sie Folgendes an und lassen Sie ansonsten die Standardeinstellungen unverändert:
| Attribut |
Wert (Wert eingeben bzw. Option auswählen) |
| Name |
Geben Sie einen global eindeutigen Namen ein. |
| Standorttyp |
Mehrere Regionen |
Hinweis: Notieren Sie sich den Bucket-Namen: Er wird in einem späteren Schritt gebraucht und dort als [YOUR_BUCKET_NAME] bezeichnet.
- Klicken Sie auf ERSTELLEN.
Hinweis: Wenn Sie die Aufforderung Der öffentliche Zugriff wird verhindert sehen und die Option Verhinderung des öffentlichen Zugriffs für diesen Bucket erzwingen aktiviert ist, klicken Sie auf Bestätigen.
- Klicken Sie auf Hochladen und wählen Sie im Drop-down-Menü Datei hochladen aus.
- Laden Sie eine Beispieldatei von Ihrem lokalen Computer hoch.
- Klicken Sie anschließend am Ende der Zeile, die den Dateinamen enthält, auf das Dreipunkt-Menü und dann auf Umbenennen.
- Benennen Sie die Datei in sample.txt um und klicken Sie auf UMBENENNEN.
Klicken Sie auf Fortschritt prüfen.
Bucket erstellen und Beispieldatei hochladen
Überprüfen, ob der Project Viewer Zugriff hat
-
Wechseln Sie in der Cloud Console zum Tab Nutzername 2.
-
Rufen Sie Navigationsmenü > Cloud Storage > Buckets in der Cloud Console auf.
-
Überprüfen Sie, ob Nutzername 2 den Bucket sehen kann.
Aufgabe 4: Projektzugriff aufheben
In dieser Aufgabe entfernen Sie die Rolle „Project Viewer“ für „Nutzername 2“ und prüfen, ob diese Nutzerin/dieser Nutzer keinen Zugriff mehr auf das Projekt hat.
Rolle „Project Viewer” für „Nutzername 2” aufheben
- Wechseln Sie in der Cloud Console zum Tab Nutzername 1.
- Klicken Sie in der Google Cloud Console im Navigationsmenü () auf IAM und Verwaltung > IAM.
- Wählen Sie Nutzername 2 aus und klicken Sie auf Zugriff entfernen.
Hinweis: Achten Sie darauf, dass Sie den Zugriff für Nutzername 2 entfernen. Wenn Sie den Zugriff für Nutzername 1 versehentlich entfernen, müssen Sie dieses Lab neu starten.
- Bestätigen Sie den Vorgang, indem Sie auf BESTÄTIGEN klicken.
Die Nutzerin/Der Nutzer wurde aus der Liste entfernt und kann nicht mehr auf das Projekt zugreifen.
Klicken Sie auf Fortschritt prüfen.
Projektzugriff aufheben
Vergewissern, dass Nutzername 2 keinen Zugriff mehr hat
-
Wechseln Sie in der Cloud Console zum Tab Nutzername 2.
-
Klicken Sie in der Cloud Console im Navigationsmenü () auf Cloud-Übersicht > Dashboard.
-
Klicken Sie in der Cloud Console im Navigationsmenü () auf Cloud Storage > Buckets.
Ein Fehler wird angezeigt. Wird kein Fehler angezeigt, aktualisieren Sie die Seite. Nutzername 2 hat zwar noch ein Google Cloud-Konto, kann aber nicht auf das Projekt zugreifen.
Aufgabe 5. Speicherzugriff hinzufügen
In dieser Aufgabe weisen Sie Nutzername 2 die Rolle „Storage Object Viewer“ zu und prüfen dann, ob die Nutzerin/der Nutzer eingeschränkten Zugriff auf Cloud Storage hat.
Speicherberechtigungen hinzufügen
- Kopieren Sie den Wert für Nutzername 2 aus dem Lab-Dialogfeld Verbindungsdetails.
- Wechseln Sie in der Cloud Console zum Tab Nutzername 1.
- Klicken Sie in der Google Cloud Console im Navigationsmenü () auf IAM und Verwaltung > IAM.
- Klicken Sie auf Zugriff gewähren, um die Nutzerin/den Nutzer hinzuzufügen.
- Fügen Sie für Neue Hauptkonten den Wert für Nutzername 2 ein, den Sie aus dem Lab-Dialogfeld Verbindungsdetails kopiert haben.
- Wählen Sie unter Rolle auswählen die Option Cloud Storage > Storage Object Viewer aus.
- Klicken Sie auf SPEICHERN.
Klicken Sie auf Fortschritt prüfen.
Speicherberechtigungen hinzufügen
Prüfen, ob Nutzername 2 Speicherzugriff hat
- Wechseln Sie in der Cloud Console zum Tab Nutzername 2.
Hinweis: Nutzername 2 hat nicht die Rolle „Project Viewer”, kann das Projekt oder die zugehörigen Ressourcen also nicht in der GCP Console sehen. Sie/Er hat jedoch spezifischen Zugriff auf Cloud Storage.
- Klicken Sie auf Cloud Shell aktivieren (
), um Cloud Shell zu starten, und dann, falls Sie dazu aufgefordert werden, auf Weiter.
- Führen Sie folgenden Befehl aus, um den Inhalt des zuvor erstellten Buckets aufzurufen. Ersetzen Sie
[YOUR_BUCKET_NAME] in diesem Befehl durch den eindeutigen Namen des von Ihnen erstellten Cloud Storage-Buckets:
gcloud storage ls gs://[YOUR_BUCKET_NAME]
Wie Sie sehen, hat Nutzername 2 eingeschränkten Zugriff auf Cloud Storage.
- Schließen Sie in der Cloud Console den Tab Nutzername 2.
Der verbleibende Teil dieses Labs wird in der Cloud Console im Tab Nutzername 1 ausgeführt.
- Wechseln Sie in der Cloud Console zum Tab Nutzername 1.
Aufgabe 6. Service Account User einrichten
In dieser Aufgabe weisen Sie Dienstkonten eingeschränkte Berechtigungen zu und lernen, wie Sie die Rolle „Service Account User“ verwenden.
Dienstkonto erstellen
- Klicken Sie in der Google Cloud Console im Navigationsmenü () auf IAM und Verwaltung > Dienstkonten.
- Klicken Sie auf + DIENSTKONTO ERSTELLEN.
- Geben Sie als Dienstkontonamen read-bucket-objects an.
- Klicken Sie auf ERSTELLEN UND FORTFAHREN.
- Wählen Sie unter Rolle auswählen die Option Cloud Storage > Storage Object Viewer aus .
- Klicken Sie auf WEITER.
- Klicken Sie auf FERTIG.
Nutzerin/Nutzer zum Dienstkonto hinzufügen
- Wählen Sie das Dienstkonto read-bucket-objects aus.
- Klicken Sie rechts neben dem Namen des Dienstkontos auf das Dreipunkt-Menü. Klicken Sie dann auf Berechtigungen verwalten > Hauptkonten mit Zugriff.
Hinweis: Sie erteilen der Nutzerin/dem Nutzer die Rolle eines Service Account User. Damit kann sie/er ein Dienstkonto auf einer VM verwenden, zu der sie/er Zugriff hat. Sie können diese Aktivität für eine bestimmte Nutzerin/einen bestimmten Nutzer, eine Gruppe oder eine Domain ausführen. In diesem Lab weisen Sie die Rolle „Service Account User” jeder/jedem Mitarbeitenden des Unternehmens Altostrat.com zu. Dabei handelt es sich um ein fiktives Unternehmen, das zu Demonstrations- und Trainingszwecken verwendet wird.
- Klicken Sie auf den Button ZUGRIFF GEWÄHREN. Geben Sie Folgendes an und lassen Sie ansonsten die Standardeinstellungen unverändert:
| Attribut |
Wert (Wert eingeben bzw. Option auswählen) |
| Neue Hauptkonten |
altostrat.com |
| Rolle |
Dienstkonten > Service Account User |
- Klicken Sie auf SPEICHERN.
Zugriff auf Compute Engine erteilen
Sie erteilen nun der gesamten Organisation Altostrat die Rolle „Compute Engine-Admin”.
- Klicken Sie in der Cloud Console im Navigationsmenü () auf IAM und Verwaltung > IAM.
- Klicken Sie auf Zugriff gewähren.
- Geben Sie Folgendes an und lassen Sie ansonsten die Standardeinstellungen unverändert:
| Attribut |
Wert (Wert eingeben bzw. Option auswählen) |
| Neue Hauptkonten |
altostrat.com |
| Rolle auswählen |
Compute Engine > Compute Instance Admin (Version 1) |
- Klicken Sie auf SPEICHERN.
Hinweis: In diesem Schritt üben Sie die Vorgehensweise, um einer bestimmten Nutzerin/einem bestimmten Nutzer Zugriff zu geben.
Mit dieser Aktion erhält die Nutzerin/der Nutzer eingeschränkte Möglichkeiten zur Verwendung einer VM-Instanz. Sie/Er kann sich über SSH bei einer VM anmelden und einige Verwaltungsaufgaben ausführen.
VM mit dem Dienstkontonutzer erstellen
- Klicken Sie in der Cloud Console im Navigationsmenü () auf Compute Engine > VM-Instanzen.
- Klicken Sie auf INSTANZ ERSTELLEN.
- Geben Sie Folgendes an und lassen Sie ansonsten die Standardeinstellungen unverändert:
| Attribut |
Wert (Wert eingeben bzw. Option auswählen) |
| Name |
demoiam |
| Region |
|
| Zone |
|
| Reihe |
E2 |
| Maschinentyp |
e2-micro (2 vCPUs, 1 GB Arbeitsspeicher) |
-
Klicken Sie auf Betriebssystem und Speicher.
Klicken Sie auf Ändern und wählen Sie die folgenden Werte aus:
-
Betriebssystem:
Debian
-
Version:
Debian GNU/Linux 12 (Bookworm)
Klicken Sie auf Auswählen.
-
Klicken Sie auf Sicherheit.
- Wählen Sie unter Dienstkonto die Option read-bucket-objects aus.
- Wählen Sie im Abschnitt Zugriffsbereiche die Option Zugriff für jede API festlegen aus.
- Wählen Sie bei Speicher die Option Lesen/Schreiben aus.
-
Klicken Sie auf Erstellen.
Klicken Sie auf Fortschritt prüfen.
Dienstkontonutzer einrichten und eine VM erstellen
Aufgabe 7. Rolle „Dienstkontonutzer” kennenlernen
In dieser Aufgabe lassen Sie die Nutzerin/den Nutzer den Zugriff testen, indem sie/er über SSH eine Verbindung zur VM herstellt und die nächsten Aktionen ausführt. Als Eigentümer*in des Projekts haben Sie bereits die Rolle „Dienstkontonutzer”. Sie können also die Schritte der Nutzerin/des Nutzers nachvollziehen, indem Sie in der Cloud Console die virtuelle Maschine über SSH aufrufen.
Dabei führen Sie dieselben Aktionen aus und erhalten dieselben Ergebnisse wie die Zielnutzerin/der Zielnutzer.
Dienstkontonutzer verwenden
- Klicken Sie für demoiam auf SSH, um ein Terminal zu starten und eine Verbindung herzustellen.
- Führen Sie dazu diesen Befehl aus:
gcloud compute instances list
Ergebnis (Beispielausgabe):
WARNUNG: Einige Anfragen waren nicht erfolgreich.
– Die Anfrage enthielt unzureichende Authentifizierungsbereiche.
Was ist passiert? Warum?
- Kopieren Sie die Datei sample.txt aus dem zuvor erstellten Bucket. Beachten Sie, dass der Punkt nach dem Leerzeichen noch Teil des folgenden Befehls ist. Er bezeichnet die Position, an die die Datei kopiert werden soll:
gcloud storage cp gs://[YOUR_BUCKET_NAME]/sample.txt .
Ergebnis (Beispielausgabe):
Copying gs://train-test-iam/sample.txt...
/ [1 files][ 28.0 B/ 28.0 B]
Operation completed over 1 objects/28.0 B.
- Führen Sie den folgenden Befehl aus, um die kopierte Datei umzubenennen:
mv sample.txt sample2.txt
- Führen Sie den folgenden Befehl aus, um die umbenannte Datei zurück in den Bucket zu kopieren:
gcloud storage cp sample2.txt gs://[YOUR_BUCKET_NAME]
Ergebnis (Beispielausgabe):
AccessDeniedException: 403 Caller does not have storage.objects.create access to bucket train-test-iam.
Hinweis: Was ist passiert?
Da Sie über SSH mit der Instanz verbunden sind, können Sie als Dienstkonto agieren und übernehmen im Wesentlichen dieselben Berechtigungen.
Das Dienstkonto, mit dem die Instanz gestartet wurde, hatte die Rolle eines Storage-Betrachters. Mit dieser Rolle können Objekte aus GCS-Buckets in das Projekt heruntergeladen werden.
Damit das Dienstkonto Instanzen in einem Projekt auflisten kann, müssen Sie die Berechtigung "compute.instance.list" erteilen. Da diese Berechtigung für das Dienstkonto nicht vorlag, konnten Sie keine Instanzen auflisten, die im Projekt ausgeführt wurden.
Das Dienstkonto hatte jedoch die Berechtigung zum Herunterladen von Objekten. Daher konnte ein Objekt aus dem Bucket heruntergeladen werden. Es hatte keine Berechtigung zum Schreiben von Objekten. Daher wurde die Meldung 403 access denied (Zugriff verweigert) ausgegeben.
- Klicken Sie in der Google Cloud Console im Navigationsmenü () auf IAM und Verwaltung > IAM.
- Suchen Sie in der Liste nach den Zeilen mit read-bucket-objects und klicken Sie auf das Stiftsymbol. read-bucket-objects hat derzeit die Rolle Storage-Objekt-Betrachter. Ändern Sie die Rolle in Cloud Storage > Storage-Objekt-Ersteller .
- Klicken Sie auf Speichern.
- Kehren Sie zum SSH-Fenster für demoiam zurück.
- Führen Sie den folgenden Befehl aus, um die umbenannte Datei zurück in den Bucket zu kopieren:
gcloud storage cp sample2.txt gs://[YOUR_BUCKET_NAME]
Diesmal ist der Befehl erfolgreich, da das Dienstkonto die richtigen Berechtigungen hat.
Aufgabe 8. Überprüfen
In diesem Lab haben Sie einer Nutzerin/einem Nutzer (Nutzername 2) und danach einem Dienstkontonutzer Rollen in Cloud IAM zugewiesen und wieder entzogen. Sie können dem Dienstkontonutzer Anmeldedaten zuordnen und in eine VM einbinden, um zweckgebundene autorisierte Bastion Hosts zu erstellen.
Lab beenden
Wenn Sie das Lab abgeschlossen haben, klicken Sie auf Lab beenden. Google Cloud Skills Boost entfernt daraufhin die von Ihnen genutzten Ressourcen und bereinigt das Konto.
Anschließend erhalten Sie die Möglichkeit, das Lab zu bewerten. Wählen Sie die entsprechende Anzahl von Sternen aus, schreiben Sie einen Kommentar und klicken Sie anschließend auf Senden.
Die Anzahl der Sterne hat folgende Bedeutung:
- 1 Stern = Sehr unzufrieden
- 2 Sterne = Unzufrieden
- 3 Sterne = Neutral
- 4 Sterne = Zufrieden
- 5 Sterne = Sehr zufrieden
Wenn Sie kein Feedback geben möchten, können Sie das Dialogfeld einfach schließen.
Verwenden Sie für Feedback, Vorschläge oder Korrekturen den Tab Support.
© 2026 Google LLC. Alle Rechte vorbehalten. Google und das Google-Logo sind Marken von Google LLC. Alle anderen Unternehmens- und Produktnamen können Marken der jeweils mit ihnen verbundenen Unternehmen sein.
