GCP の IAM をおさらいしよう

Yutty Kawahara

Published in

google-cloud-jp

7 min readDec 6, 2019

この記事は Google Cloud Japan Customer Engineer Advent Calendar 2019 の 6日目の記事です。

TL;DR

本記事ではGoogle Cloud Platform (GCP) でのユーザーや権限を管理する IAM について整理していきます。

はじめに

クラウドを使う上で、ユーザー管理や権限管理は重要ですよね。GCP を使う際に、どのようにユーザー管理できるのか、権限管理や認証を整理してみようと思います。GCP では権限管理を Identity and Access Management（ IAM ）というもので管理しています。IAMでは、誰が、どのような操作を、何に対して行えるかというものを定義・管理します。これによりアカウントの追加・削除や権限付与がシンプルになり、管理が容易になります。

IAMのユーザーと権限

GCP で利用できるアカウント

GCP で利用できるアカウントには、Google アカウントや、Google アカウントを束ねた Google グループ、またサービスアカウントといったものがあります。

１つ目が、個人利用の Google アカウント。こちらはいわゆる「gmail アカウント」となります。また知らない人も多いのですが、既存の会社ドメインのメールアドレスでも「個人利用の Google アカウント」が取得できます。この場合、gmail 機能は利用できません。

２つ目が、企業管理のユーザーアカウントです。こちらは会社で G Suite を導入している場合、そのユーザをそのまま利用することができます。取引先など、社外のユーザーがGCP環境にアクセスする場合もあるかもしれません。そのときはCloud Identity を利用して、ユーザーを管理することができます。

私は組織で GCP を利用する場合には、企業管理のユーザーを使うようにおすすめしているのですが、それは以下のようなメリットがあるためです。

Active Directoryとの連携
２要素認証の有効化
SAML対応

企業管理のユーザーを使う際に、ドメイン認証を行う必要があるのですが、ドメイン認証を行うことで、技術サポートに問い合わせができたり、組織ポリシーを適用したりといろいろなメリットがあります。

人以外が使うアカウントとして、サービスアカウントがあります。こちらは例えば GCP のAPI を VM instance などから利用する場合に必要になってきます。

付与できる操作の権限

GCP では権限は全て API で管理されており、サービス名、リソース、動詞という命名規則をもって定義されています。基本的にはサービスの動作と API は一対一の関係にあります。

例えば、GCEであれば、

compute.instances.delete
compute.instances.get
compute.instances.list
compute.instances.setMachineType
compute.instances.start
compute.instances.stop

といった形です。しかし、これらを一つ一つ権限付与していくのは大変なので、特定の操作でまとめて付与できるのが、役割、となります。

役割は事前定義されたものや、カスタムで細かく設定したものを付与する事ができますが、あまり細かく設定すると、管理面で煩雑さが増してしまうので、事前定義されたものでまにあうのであれば、そちらの利用をおすすめします。

役割を付与する際に、おすすめしているのがGoogleグループに役割を付与する方法です。これにより、グループの管理をするだけでプロジェクトやリソースにアクセスできるユーザーを管理できます。

権限の対象

権限の対象は、組織 / フォルダ、プロジェクトに設定できます。一部のサービスリソース、請求先アカウントは個別に、さらに権限を設定していくことができます。

プロジェクト、もしくはフォルダに設定していくケースが多いかと思いますが、GCP のリソースを組織で利用する場合は、こちらの図のように、階層構造を作ることができるのですが、権限を継承するようになっています。

したがって上位で設定された権限は、下位のリソースで剥奪することができません。例えば、サンドボックスフォルダに対して、全デベロッパーがプロジェクト作成権限を持つことで自由に検証をする環境を整えておくことができます。また部署ごとのフォルダ配下し、管理者のみプロジェクトを作成することができる、といった運用にすることも可能です。

GCP の利用料は請求アカウントに請求がされるのですが、請求アカウントに関しても個別の権限の付与ができます。そのため経理の管理者とプロジェクトの管理者を切り分けることが可能です。こちらに例がまとまっていますので、参考にしてみてください。

組織利用の際のフォルダ戦略

組織で利用する際、「どのようにフォルダを構成するか」はよく悩む問題かと思います。組織の中で、権限を移譲できる単位で分けましょう、とご案内していますが、いくつかのパターンがありますので、それも紹介させてください。障害時の影響範囲を限定するため、基本的に本番環境と開発環境のプロジェクトは分けるようにしましょう。

環境で分ける

開発環境と本番環境などでフォルダを構成するパターンです。本番環境と開発環境は、利用する人・チームの権限が分かれることが多いと思いますので、権限管理がやりやすいメリットがあります。