Google Cloud Platformにおける権限管理の初心者ガイド

Google Cloud Platformは、プロジェクト内の各ユーザーの権限を管理するアイデンティティおよびアクセス管理システムで保護されています。AWSから移行する場合、GCPは少し異なる方法で機能します。

権限はどのように機能しますか？

AWSの名前の由来であるIAMシステムに慣れている場合、ここでのいくつかのキーワードは認識できるかもしれませんが、それらは異なる意味を持っています。GoogleのIAMでは、「誰（アイデンティティ）がどのリソースに対してどのようなアクセス権（ロール）を持っているのか」を定義することでアクセス制御を管理します。

まず、アイデンティティです。これには、プロジェクトにアクセスできる個々のユーザーのGoogleアカウントやG Suiteアカウント、アプリケーションアクセスを提供するために使用できるサービスアカウント、または全体のGoogleグループが含まれます。これらの異なるタイプのユーザーは、GCPリソースにアクセスする方法が異なりますが、権限は同じ方法で管理されます。

複数の権限は「ロール」にまとめられ、特定のユーザーに付与されます。AWSとは異なり、ロールは特定のリソースに対して詳細なアクセスを提供しません。代わりに、ロールは「インスタンス管理者」、「ビューア」、「編集者」などのように、複数のリソースに適用できる一般的なものであります。ユーザーに付与されると、アカウント内のすべてのリソースに対してプロジェクト全体の権限を与えます。個別のリソースに付与されると、そのリソースに対する権限が与えられます。

IAMポリシーでは、役割とアイデンティティがリンクされており、どのアイデンティティにどの役割が付与されるかを強制します。IAMポリシーは、IAMコンソールではなく、インスタンスに直接添付されます。

最終的に得られるのは、Compute Engine インスタンスのような個々のリソースに人々を追加し、与えられたリソースへのアクセスを許可する特定の役割を割り当てることができるシステムです。

これにより、詳細なアクセス許可はリソース設定のリソースレベルで管理されます。Compute Engineの場合、インスタンスを管理するために、特定の役割（たとえば、インスタンス管理者）をメンバーのリストに与えます。

IAMコンソールの使用

IAMのさまざまな設定は、GCPのIAMセクションで管理されます。「IAM」の下には、プロジェクトのメンバーを表示するためのコントロールや、新しいメンバーを追加するためのコントロールがあります。

ユーザーを追加または編集する際に、ビューワー、エディター、オーナーなどのプロジェクト全体の権限を付与したり、特定のリソースタイプ全体に適用するための特定の権限を付与したりすることができます。ただし、個々のコンピュートエンジンインスタンスやクラウドストレージバケットのような特定のリソースには適用できません。

権限については、事前に定義されたものが多数あり、特定のリソースに手動で割り当てる方法のため、AWSポリシーのように頻繁には作成する必要はありません。ただし、編集したい場合は、IAMコンソールの「ロール」タブから行うことができます。

ここから「権限の追加」をクリックして役割を編集します。

ここには多くの権限があるので、サービスの種類でフィルタリングし、手動で検索することが確実に役立ちます。また、役割でフィルタリングして、事前定義された役割から権限を選択することもできます。