Contas de nuvem

Uma conta de nuvem conecta o GoShip a um provedor (DigitalOcean, Hetzner Cloud, Latitude.sh, AWS, Google Cloud) pra criar clusters por você, sem sair do painel. O provedor cobra a máquina direto de você; o GoShip cobra só a faixa do cluster, nunca os dois pelo mesmo recurso.

Fica em Cloud accounts, no grupo Infrastructure da barra lateral, visível para o dono e os administradores da organização. Veja Contas da organização para as regras.

Provedores disponíveis

Provedor	Como conecta
DigitalOcean	OAuth — um clique, você aprova no site da DigitalOcean
Hetzner Cloud	Chave de API
Latitude.sh	Chave de API
AWS	Função IAM (stack CloudFormation de um clique) ou chaves de acesso
Google Cloud	Conectar com Google (uma autorização) ou um comando no Cloud Shell; nenhuma chave guardada

Contas da organização

Uma conta de nuvem é da organização: o dono e os administradores a conectam, e qualquer cluster da organização pode ser criado nela. Não há contas por projeto.

Uma conta por identidade do provedor. O mesmo projeto do Google Cloud, a mesma conta da AWS ou a mesma conta da DigitalOcean não se conecta duas vezes na mesma organização.
Várias contas do mesmo provedor são permitidas, desde que sejam identidades diferentes: dois projetos do Google Cloud, por exemplo. Dê a cada uma um nome (label) que a distinga; é ele que aparece em Where ao criar um cluster, e --cloud na CLI aceita o nome ou o id.
Os servidores de banco da organização também usam essas contas.

Conectar DigitalOcean

Clique em Connect no card da DigitalOcean. Abre a tela de autorização da própria DigitalOcean, que lista exatamente os escopos que o GoShip pede:

droplet:create, droplet:read, droplet:delete
tag:create, tag:read
ssh_key:create, ssh_key:read, ssh_key:delete
region:read, size:read
block_storage:create, block_storage:read, block_storage:delete, block_storage_action:create

Aprovando, a conta aparece na lista com o nome do seu time na DigitalOcean como label (dá pra editar depois).

Conectar Hetzner Cloud ou Latitude.sh

Essas duas conectam por chave de API — cole a chave e o GoShip valida na hora.

Hetzner Cloud: gere em Project → Security → API tokens, com permissão de leitura e escrita.
Latitude.sh: gere em Dashboard → API keys.

Conectar AWS

Dois jeitos. O primeiro é o recomendado: nenhuma chave sua fica guardada no GoShip, e você desliga o acesso apagando a stack.

Função IAM (recomendado)

No card da AWS, clique em Connect e depois em Open in the AWS console. O console abre na região Ohio (us-east-2) com tudo preenchido.
Marque “I acknowledge that AWS CloudFormation might create IAM resources with custom names” e clique em Create stack.
Volte ao GoShip: em cerca de um minuto a conta aparece como active, sem copiar nada. A página do GoShip se atualiza sozinha.

O link do console vale por 30 minutos; passou disso, abra um novo em Connect. A stack fica em Ohio porque é de lá que ela avisa o GoShip; a função que ela cria é global e funciona em qualquer região. Se a sua empresa bloqueia a us-east-2, abra Created the stack another way? Paste the RoleArn, use Create the stack in another region e, quando a stack terminar, cole o valor RoleArn da aba Outputs dela.

A stack cria a função GoShipNodeRole-<8 caracteres> na sua conta (o sufixo vem da própria stack, então uma stack antiga ou de outra organização não atrapalha). Ela confia só na conta do GoShip e só com o seu External ID — ninguém mais consegue assumi-la. A política dá à função o mínimo para máquinas do GoShip: ler regiões, tipos, VPCs e endereços; criar instâncias, o grupo de segurança goship-nodes e IPs elásticos; abrir portas e ligar/desligar IPs elásticos apenas no que o GoShip marcou com coffeece.io/managed=true; e terminar instâncias e liberar IPs apenas o que estiver marcado com coffeece.io/managed=true.

A função da sua stack se chama só GoShipNodeRole, sem sufixo? Ela é de uma versão anterior: não atualize essa stack com o template novo. Apague-a e conecte de novo pelo botão — atualizar troca a função por uma nova e o GoShip perde o acesso.

Para desconectar de vez, apague a stack no CloudFormation: o GoShip é avisado na hora e a conta aparece como revoked.

Chaves de acesso

Se não puder criar uma stack (conta gerenciada, sem permissão de IAM), crie um usuário IAM só para o GoShip e anexe a política abaixo — é a mesma da stack. Depois cole o access key ID e o secret access key em Usar chaves de acesso. As chaves ficam cifradas no GoShip, como as dos outros provedores.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "Read",
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeRegions",
        "ec2:DescribeInstanceTypes",
        "ec2:DescribeInstanceTypeOfferings",
        "ec2:DescribeInstances",
        "ec2:DescribeVpcs",
        "ec2:DescribeSubnets",
        "ec2:DescribeSecurityGroups",
        "ec2:DescribeAddresses",
        "ec2:DescribeImages"
      ],
      "Resource": "*"
    },
    {
      "Sid": "ResolveUbuntuAMI",
      "Effect": "Allow",
      "Action": "ssm:GetParameters",
      "Resource": "arn:aws:ssm:*::parameter/aws/service/canonical/ubuntu/*"
    },
    {
      "Sid": "Create",
      "Effect": "Allow",
      "Action": [
        "ec2:RunInstances",
        "ec2:CreateSecurityGroup",
        "ec2:AllocateAddress"
      ],
      "Resource": "*"
    },
    {
      "Sid": "OpenManagedSecurityGroup",
      "Effect": "Allow",
      "Action": "ec2:AuthorizeSecurityGroupIngress",
      "Resource": "arn:aws:ec2:*:*:security-group/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/coffeece.io/managed": "true"
        }
      }
    },
    {
      "Sid": "AttachManagedAddress",
      "Effect": "Allow",
      "Action": [
        "ec2:AssociateAddress",
        "ec2:DisassociateAddress"
      ],
      "Resource": [
        "arn:aws:ec2:*:*:elastic-ip/*",
        "arn:aws:ec2:*:*:instance/*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/coffeece.io/managed": "true"
        }
      }
    },
    {
      "Sid": "AttachAddressNetworkInterface",
      "Effect": "Allow",
      "Action": [
        "ec2:AssociateAddress",
        "ec2:DisassociateAddress"
      ],
      "Resource": "arn:aws:ec2:*:*:network-interface/*"
    },
    {
      "Sid": "TagOnCreate",
      "Effect": "Allow",
      "Action": "ec2:CreateTags",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "ec2:CreateAction": [
            "RunInstances",
            "CreateSecurityGroup",
            "AllocateAddress"
          ]
        }
      }
    },
    {
      "Sid": "TagManaged",
      "Effect": "Allow",
      "Action": "ec2:CreateTags",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/coffeece.io/managed": "true"
        }
      }
    },
    {
      "Sid": "DestroyManaged",
      "Effect": "Allow",
      "Action": [
        "ec2:TerminateInstances",
        "ec2:ReleaseAddress"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/coffeece.io/managed": "true"
        }
      }
    }
  ]
}

Reconectar o card da AWS com outra conta da AWS (por qualquer um dos dois jeitos) é recusado enquanto houver clusters usando a conexão: remova esses clusters antes.

Conta da nova experiência da AWS

Contas criadas pela nova experiência da AWS (gerenciadas em AWS Settings, organizadas em projetos) vêm com políticas da AWS que você não pode mudar. Uma delas bloqueia qualquer acesso de fora da sua organização, então a conexão por função IAM (o botão do console) não funciona nelas — o GoShip avisa quando é o caso. Conecte com chaves de acesso:

No console da AWS, abra o seu projeto e vá em IAM → Usuários → Criar usuário (por exemplo goship), sem acesso ao console.
Em Permissões, escolha Anexar políticas diretamente → Criar política, aba JSON, e cole a política mostrada no painel do GoShip (a mesma da seção acima).
No usuário criado, abra Credenciais de segurança → Criar chave de acesso, caso de uso Aplicação executando fora da AWS, e copie o par de chaves para o GoShip.

O que muda nesse tipo de conta:

O projeto usa uma única região (a que a AWS escolheu pelo seu endereço). O GoShip só oferece essa região na hora de criar um cluster.
O plano gratuito da AWS não permite criar máquinas EC2. Se for o seu caso, o card da conta avisa; mude para o plano pago em AWS Settings e reconecte para o aviso sumir.

O que o GoShip cria na sua conta

Uma instância por cluster, Ubuntu 24.04, disco raiz de 40 GB gp3, na VPC padrão da região. Se a região não tiver VPC padrão, a criação falha na hora com um link para criá-la; nada é cobrado.
Um IP elástico por cluster, para o endereço não mudar num reboot. A AWS cobra IPv4 público de qualquer jeito; o IP elástico não custa a mais enquanto estiver ligado ao cluster. A cota padrão é 5 por região.
Um grupo de segurança goship-nodes por VPC (compartilhado entre clusters, não é apagado ao remover um cluster, não custa nada). Ele abre para a internet as portas TCP 22, 80, 443, 6443, 30000–32767 e as duas que o GoShip usa a cada deploy: 20443 (build) e 20500 (registry). O firewall da própria máquina (iptables) só aceita essas duas vindas do GoShip.

Os tipos oferecidos são t3, t3a, m6i, m7i, c6i e c7i até 16 vCPU, a partir de 2 vCPU e 4 GB de RAM (por exemplo t3.medium, c6i.large). O preço mensal da AWS não aparece na tabela (mostra “—”); a faixa do GoShip aparece. t3/t3a ficam no modo de créditos unlimited padrão da AWS — sob carga contínua pode haver uma cobrança extra pequena da AWS.

Conectar Google Cloud

O GoShip não guarda nenhuma chave do seu projeto. A conexão cria no projeto um pool de identidade que confia no GoShip só para a sua organização; é esse pool que dá o acesso, e para desligá-lo basta apagar o pool.

Conectar com Google

No card do Google Cloud, clique em Connect e depois em Connect with Google.
Na janela do Google, escolha a sua conta Google e autorize o GoShip.
De volta ao GoShip, escolha o projeto na lista e clique em Connect project.
Espere cerca de um minuto. A página mostra cada etapa (ativar as APIs, criar o pool, os papéis e liberar o acesso) e termina com o projeto active.

A autorização é usada uma vez, só para criar o pool e os papéis no projeto, e o GoShip não guarda nenhum token do Google: terminada a conexão, ela é descartada. Quem precisa autorizar é alguém que administra o projeto (dono do projeto, por exemplo).

Se o Google mostrar Acesso bloqueado, a sua conta Google ainda não está liberada para o GoShip. Use o comando abaixo: o resultado é o mesmo.

Prefere o terminal?

No card do Google Cloud, clique em Connect e abra Prefer the terminal? Generate the command. Clique em Generate command.
Clique em Open Cloud Shell, cole o comando e aperte Enter. Ele pergunta qual projeto conectar (ou usa o que já está selecionado) e leva cerca de um minuto.
Volte ao GoShip: a página se atualiza sozinha e o projeto aparece como active.

O comando vale por 30 minutos e só serve para a sua organização. Passou disso, gere outro.

O que a conexão cria

Um pool de identidade goship com um provedor OIDC que aceita só a identidade goship-org-<id da sua organização>, emitida por https://api.goship.sh/cloud-identity.
Dois papéis personalizados: goshipNode (listar regiões, zonas e tipos de máquina; criar instâncias, discos e IPs estáticos; definir tags, metadados e rótulos nas instâncias; e criar regras de firewall na rede default) e goshipNodeCleanup (apagar instâncias e IPs, só os que têm nome começando com coffeece- ou goship-; o GoShip não consegue apagar as suas máquinas).
As duas ligações de IAM desses papéis para aquela identidade.

Para servidores de banco (Banco no seu Google Cloud), a conexão também ativa a API do Cloud SQL no projeto e dá ao GoShip as permissões cloudsql.instances.* e cloudsql.users.*, valendo para o projeto inteiro. Contas conectadas antes de outubro de 2026 precisam rodar o comando de conexão de novo para ganhar essas permissões; a conexão é segura de repetir.

As permissões do goshipNode valem para o projeto inteiro, não só para o que o GoShip criou. Por isso, use um projeto dedicado aos seus clusters do GoShip.

Nenhuma conta de serviço e nenhuma chave são criadas. Os dois jeitos de conectar criam exatamente isso. O script é público e igual para todo mundo; leia antes de rodar se quiser: https://goship.sh/gcp/connect.sh. Conectar de novo é seguro: corrige e atualiza o que já existe.

O projeto precisa de uma conta de faturamento; sem ela o Google não deixa ativar a API do Compute Engine, e a conexão avisa com o link para ativar o faturamento.

Configurar à mão

Para quem não pode usar o Cloud Shell ou prefere rodar cada passo. Troque PROJETO pelo id do projeto e ORG pelo id da organização (aparece no comando gerado pelo painel):

PROJECT=PROJETO
ORG=ORG
NUMBER=$(gcloud projects describe "$PROJECT" --format='value(projectNumber)')

gcloud services enable compute.googleapis.com iam.googleapis.com sts.googleapis.com cloudresourcemanager.googleapis.com sqladmin.googleapis.com --project "$PROJECT"

gcloud iam workload-identity-pools create goship --location=global --project "$PROJECT" --display-name="GoShip"
gcloud iam workload-identity-pools providers create-oidc goship \
  --workload-identity-pool=goship --location=global --project "$PROJECT" \
  --issuer-uri="https://api.goship.sh/cloud-identity" \
  --attribute-mapping="google.subject=assertion.sub" \
  --attribute-condition="assertion.sub == 'goship-org-$ORG'"

gcloud iam roles create goshipNode --project "$PROJECT" --title="GoShip node" --stage=GA \
  --permissions="cloudsql.instances.create,cloudsql.instances.get,cloudsql.instances.list,cloudsql.instances.update,cloudsql.users.create,cloudsql.users.list,cloudsql.users.update,compute.addresses.create,compute.addresses.get,compute.addresses.use,compute.disks.create,compute.firewalls.create,compute.firewalls.get,compute.globalOperations.get,compute.instances.create,compute.instances.get,compute.instances.list,compute.instances.setLabels,compute.instances.setMetadata,compute.instances.setTags,compute.machineTypes.get,compute.machineTypes.list,compute.networks.get,compute.networks.updatePolicy,compute.projects.get,compute.regionOperations.get,compute.regions.list,compute.subnetworks.use,compute.subnetworks.useExternalIp,compute.zoneOperations.get,compute.zones.list"
gcloud iam roles create goshipNodeCleanup --project "$PROJECT" --title="GoShip node cleanup" --stage=GA \
  --permissions="cloudsql.instances.delete,compute.addresses.delete,compute.instances.delete"

MEMBER="principal://iam.googleapis.com/projects/$NUMBER/locations/global/workloadIdentityPools/goship/subject/goship-org-$ORG"
gcloud projects add-iam-policy-binding "$PROJECT" --member="$MEMBER" \
  --role="projects/$PROJECT/roles/goshipNode" --condition=None
gcloud projects add-iam-policy-binding "$PROJECT" --member="$MEMBER" \
  --role="projects/$PROJECT/roles/goshipNodeCleanup" \
  --condition="title=goship-nodes-only,expression=resource.name.extract('/instances/{name}').startsWith('coffeece-') || resource.name.extract('/instances/{name}').startsWith('goship-') || resource.name.extract('/addresses/{name}').startsWith('coffeece-')"

echo "Número do projeto: $NUMBER"

Depois, no painel, abra Set up the Google Cloud project another way? Enter the project number e informe o número do projeto (não o id).

O que o GoShip cria no seu projeto

Uma instância por cluster, Ubuntu 24.04, disco de boot de 40 GB pd-balanced, na rede default. Se o projeto não tiver a rede default, a criação falha na hora com um link para criá-la; nada é cobrado.
Um IP estático por cluster, com o mesmo nome da instância, para o endereço não mudar num reboot. Ele é liberado quando você remove o cluster destruindo a máquina.
Duas regras de firewall no projeto (compartilhadas entre clusters, não são apagadas ao remover um cluster, não custam nada), para as instâncias com a tag goship-node: goship-nodes abre as portas TCP 22, 80, 443, 6443 e 30000–32767; goship-nodes-build abre as duas que o GoShip usa a cada deploy, 20443 (build) e 20500 (registry). O firewall da própria máquina só aceita essas duas vindas do GoShip.
A instância roda sem conta de serviço: nada dentro dela tem acesso ao seu projeto.

Você escolhe a região; o GoShip escolhe a zona, e tenta a próxima se a primeira estiver sem capacidade. Os tipos oferecidos são e2, n2, n2d e c3 até 16 vCPU, a partir de 2 vCPU e 4 GB de RAM (por exemplo e2-medium). O preço mensal do Google não aparece na tabela (mostra “—”); a faixa do GoShip aparece.

Reconectar e desconectar

Se o pool for apagado (ou a condição do provedor mudar), a conta aparece como revoked: clique em Reconnect e conecte de novo, com Google ou pelo comando. Uma mensagem de permissão negada ao criar um cluster se resolve do mesmo jeito, sem revogar nada.

Conectar outro projeto é recusado enquanto houver clusters usando a conexão; remova esses clusters antes.

Ao clicar em Disconnect, o painel oferece duas opções:

Remove from Google Cloud: o Google pede seu consentimento de novo e o GoShip apaga do projeto as permissões e o pool goship com o provedor, depois desconecta. Os dois papéis personalizados ficam no projeto, sem ninguém ligado a eles, e você pode apagá-los à mão: gcloud iam roles delete goshipNode --project PROJETO e o mesmo para goshipNodeCleanup. Se algo falhar no meio, clique de novo: a remoção continua de onde parou.
Only disconnect: o GoShip só esquece o projeto. Para tirar o acesso de verdade, apague o pool:
```
gcloud iam workload-identity-pools delete goship --location=global --project PROJETO
```

Mudar o tamanho de um cluster

Um cluster que o GoShip criou na sua conta de nuvem pode trocar de tamanho sem ser recriado. Na página do cluster, clique em Change size (dono e administradores da organização). Vale para clusters ativos na Google Cloud, AWS, DigitalOcean e Hetzner Cloud. Servidores da Latitude.sh, máquinas que você conectou à mão e clusters Kubernetes conectados não podem ser redimensionados pelo GoShip.

A página lista os tamanhos com vCPU, memória e a faixa do GoShip, marca o tamanho atual e mostra quais apps ficam fora do ar. Mudar de tamanho exige desligar a máquina: espere alguns minutos de indisponibilidade. O andamento aparece em etapas: Stopping the machine · Changing the size · Starting the machine · Waiting for the cluster · Measuring capacity.

O que se mantém e o que limita a lista:

O IP da máquina não muda, em nenhum provedor.
O disco nunca é alterado. Na DigitalOcean e na Hetzner, por isso, um tamanho menor só é oferecido se o disco dele for pelo menos do tamanho do atual.
Na Google Cloud só aparecem tipos disponíveis na zona da instância; na AWS, só tipos da zona de disponibilidade da instância e da mesma arquitetura.
Todo tamanho precisa cumprir o piso do GoShip: 2 vCPU, 4 GB de RAM e 30 GB de disco.
Reduzir é recusado quando a CPU e a memória reservadas pelos apps passariam de 90% do novo tamanho. A mensagem traz os números; pare ou reduza apps, ou escolha um tamanho maior.

Se algo falhar, o GoShip liga a máquina de novo e avisa por e-mail o owner da organização; a página do cluster mostra o que aconteceu. Se o tamanho novo não ligar (falta de capacidade na zona, por exemplo), o GoShip volta a máquina ao tamanho antigo e a liga nele. Só quando nem o tamanho antigo liga o cluster mostra um erro: ligue a máquina pelo console do provedor e o GoShip a retoma. Se o GoShip for interrompido no meio da troca, ele a retoma sozinho em poucos minutos.

Reconectar a conta

Contas conectadas antes da troca de tamanho existir não têm a permissão de parar, iniciar e redimensionar máquinas. Você não precisa ir até Contas de nuvem: a página Change size confere a permissão antes de listar os tamanhos. Se o GoShip já pode redimensionar, a lista aparece normalmente. Se não pode, a página mostra dois passos: o passo 1 reconecta a conta ali mesmo e o passo 2 (escolher o tamanho) fica bloqueado até o primeiro terminar. Quando a permissão chega, a página volta à lista de tamanhos, com o tamanho que você tinha escolhido ainda marcado. Mesmo depois de reconectar, você ainda escolhe o tamanho e confirma: a troca nunca começa sozinha. Se, depois de reconectar, a permissão ainda não apareceu, a página avisa e oferece o passo de novo; o Google às vezes leva um minuto para aplicar o acesso novo, então espere e clique em Check again.

O passo 1 depende de como a conta foi conectada:

Google Cloud: clique em Reconnect with Google e entre com uma conta Google que administre o mesmo projeto. Se for outra conta, a página avisa e pede que você entre com um dono do projeto. Se preferir, Use the Cloud Shell command instead troca para o comando. Quando o login com Google não está disponível para a conta, a página mostra direto Generate command: copie o comando (ou abra o Cloud Shell pelo link), rode e a página se atualiza sozinha. A conexão atualiza os papéis e é segura de repetir.
DigitalOcean: clique em Reconnect with DigitalOcean e autorize de novo. A DigitalOcean só se conecta por esse botão, sem token.
Hetzner: cole um token novo de leitura e escrita (que consiga desligar e redimensionar máquinas) no campo da página e clique em Save token.
AWS (função IAM): atualize a stack do GoShip com o template novo. Clique em Open the GoShip stack in AWS, escolha Update → Replace current template → Amazon S3 URL, cole a URL do template que a página mostra num campo para copiar, avance até enviar e, quando a stack terminar de atualizar, clique em Check again. Se a função da stack se chama só GoShipNodeRole, sem sufixo, não atualize: apague a stack e conecte de novo pelo botão (Função IAM).
AWS (chaves de acesso): adicione à política do usuário as ações ec2:StopInstances, ec2:StartInstances e ec2:ModifyInstanceAttribute e clique em Check again.

Se você não é dono nem administrador da organização, a página não consegue reconectar por você: peça a um dono ou administrador que faça o passo 1.

Cobrança

A faixa do cluster acompanha os vCPU medidos. Um tamanho maior é cobrado na hora. Um menor mantém a maior faixa do período de cobrança em curso, e a faixa mais baixa vale a partir do próximo. O provedor cobra a máquina nova direto de você, como sempre.

Os apps mantêm os planos

Um cluster maior dá espaço, não mais CPU ou memória por app. Para dar mais a um app, troque o plano dele (goship app plan); em cluster seu, a troca de plano não é cobrada.

Pela CLI

goship cluster sizes meu-cluster                          # tamanhos disponíveis para o cluster
goship cluster resize meu-cluster --size e2-standard-4    # pede confirmação; --yes pula

O que fica guardado

A chave (ou o token OAuth, no caso da DigitalOcean) fica cifrada no GoShip e nunca aparece de novo — nem pra você, nem pro suporte. Você pode desconectar a conta quando quiser, exceto enquanto houver clusters usando ela: a tentativa é recusada e a mensagem diz quantos clusters dependem dela primeiro.

Se a chave for revogada no provedor (ou expirar), a conta aparece com status revoked e um botão Reconnect — cole ou aprove de novo e a conta volta a funcionar sem precisar recriar nada.

Criar um cluster com uma conta conectada

Com a conta conectada, Add cluster (grupo Infrastructure da barra lateral, em Clusters) e goship cluster create --cloud criam a máquina nela. O passo a passo está em Criar na sua nuvem.

Pela CLI

goship cloud providers                                  # catálogo, com o que já está disponível
goship cloud connect digitalocean                        # abre o navegador; precisa estar logado em goship.sh nele
echo "$HCLOUD_TOKEN" | goship cloud connect hetzner --api-key-stdin
echo "$LATITUDE_TOKEN" | goship cloud connect latitude --api-key-stdin
goship cloud connect aws                                 # abre o console e espera a stack
# --role-arn segue valendo para o caminho manual; aceita a linha inteira colada da aba Outputs ("RoleArn  arn:aws:..."); o CLI pega só o ARN
goship cloud connect aws --role-arn arn:aws:iam::123456789012:role/GoShipNodeRole-942e3a80
printf '%s\n%s\n' "$AWS_ACCESS_KEY_ID" "$AWS_SECRET_ACCESS_KEY" | goship cloud connect aws --access-keys-stdin
goship cloud connect gcp                                 # roda o script com o seu gcloud (pergunta antes) ou mostra o comando do Cloud Shell, e espera
goship cloud connect gcp --gcp-project meu-projeto       # idem, sem perguntar qual projeto
goship cloud connect gcp --project-number 123456789012   # projeto já configurado à mão
goship cloud list
goship cloud regions <conta>
goship cloud sizes <conta> --region <slug>
goship cloud disconnect <conta>

Com a conta conectada, goship cluster create meu-cluster --cloud <conta> --region <slug> --size <slug> cria o cluster (Criar na sua nuvem).

Veja também:

Clusters → Visão geral
Clusters → Criar na sua nuvem
Clusters → Conectar um servidor: servidor seu, sem conta de nuvem
Referência da CLI