Google Cloud でのアクセスの管理

このページは Apigee と Apigee ハイブリッドに適用されます。

Apigee Edge のドキュメントを表示する

Apigee 組織がプロビジョニングされたという確認を受け取ったら、Google Cloud プロジェクトにユーザーアカウントを追加できます。これを行うには、Google Cloud コンソールの IAM サービスを使用します。

このセクションでは、Google Cloud プロジェクトに新規のユーザーアカウントを追加して、そのアクセスを管理する方法について説明します。分析レポートを作成するユーザーや、API プロキシのデプロイとデプロイ解除を担当するユーザーなど、特殊なロールが割り当てられるユーザーアカウントがあります。API アクセスの詳細を含む Apigee のロールの説明については、API を使用したユーザー、ロール、権限の管理をご覧ください。

小規模なプロジェクトの場合は、新規ユーザーを追加する必要がない場合もあります。大規模なプロジェクトになると、Apigee のロールごとに少なくとも 1 つは新規のプリンシパルを追加する可能性が高くなります。Apigee の組織管理者ロールには最高レベルの権限が含まれているため、割り当て数は制限するようにしてください。

Google Cloud プロジェクトでユーザーを追加して Apigee のロールを割り当てるには:

Google Cloud コンソールを開き、Google Cloud アカウントでログインします。
コンソールの左上にあるナビゲーションメニューで、[IAM と管理] > [IAM] を選択します。コンソールに [権限] ビューが表示されます。
新規ユーザーを追加するには、[追加] ボタンをクリックします。コンソールにプリンシパルの追加ビューが表示されます。
[新しいプリンシパル] フィールドに、新規ユーザーのアカウントのメールアドレスを入力します。
メールアドレスは次のいずれかのタイプである必要があります。
- Google アカウント（例: fred@gmail.com）。Gmail アカウントはすべて Google アカウントですが、ドメインが異なるメールアドレスを Google アカウントとして登録することもできます。
- Google グループの名前。たとえば my-group@googlegroups.com などです。Google グループをユーザーとして追加すると、グループのすべてのメンバーにそのロールが割り当てられます。
- サービスアカウント。たとえば my-service-account@example.gserviceaccount.com などです（サービスアカウントをここに追加する必要はありません）。
- Google Workspace のドメイン。たとえば address@example-domain.com などです。この example.com は Google Cloud サービスのお申し込みに使用したドメインです。
[新しいプリンシパル] フィールドに複数のメールアドレスを指定し、それらのアドレスすべてに同一のロールを割り当てることができます。メールアドレスごとに違うロールを割り当てるには、新しいプリンシパルごとにステップ 4 と 5 を行います。
新しいプリンシパルに少なくとも 1 つのロールを割り当てます。
1. [ロールを選択] プルダウンリストを開きます。
2. 割り当てるロールを選択します。割り当てるロールを決定するには、Apigee のロールの説明をご覧ください。
3. Apigee のロールを割り当てるには、フィルタとして「Apigee」と入力します。これにより、次の例のように Apigee のロールのみがプルダウンリストに表示されます。
4. ユーザーに割り当てるロールごとにこの手順を繰り返します。
注: リソースをより細かく制御するには、ロールごとにリソース条件を指定します。リソース条件を指定する方法については、IAM ポリシーでのリソース条件の追加をご覧ください。ロールにリソース条件を指定しない場合、そのロールにはすべての子リソースに対する包括的な権限が付与されます。
[保存] をクリックして、割り当てたロールを持つ新規ユーザーを Google Cloud プロジェクトに追加します。
追加するユーザーごとにこの手順を繰り返します。

Google Cloud でプロジェクトの新規ユーザーが、割り当てられている権限で組織内のすべての環境にアクセスできます。ユーザーに対して特定の環境へのアクセスを制限するには、UI でユーザーアカウントを追加するの説明に従って、ハイブリッド UI を使用します。