IAM ロール
このページでは、Assured Workloads の構成に使用できる Identity and Access Management(IAM)のロールについて説明します。ロールは、プリンシパルのリソースへのアクセスを制限します。該当する Google Cloud API、機能、リソースの操作に必要な権限のみをプリンシパルに付与します。
Assured Workloads フォルダを作成するには、その権限を持つ以下のロールのいずれかと、Cloud Billing のアクセス制御ロールが割り当てられている必要があります。また、アクティブで有効な請求先アカウントも必要です。詳細については、Cloud Billing アクセス制御の概要をご覧ください。
必要なロール
以下は、最低限必要な Assured Workloads 関連のロールです。IAM ロールを使用してリソースへのアクセス権を付与、変更、取り消す方法については、リソースへのアクセス権の付与、変更、取り消しをご覧ください。
- Assured Workloads 管理者(
roles/assuredworkloads.admin
): Assured Workloads フォルダの作成と削除用。 - Resource Manager 組織閲覧者(
roles/resourcemanager.organizationViewer
): 組織に属するすべてのリソースを表示するためのアクセス権。
Assured Workloads のロール
Assured Workloads に関係する IAM のロールと、Google Cloud CLI を使用してこれらのロールを付与する方法について説明します。Google Cloud コンソールまたはプログラムでこれらのロールを付与する方法については、IAM ドキュメントのリソースへのアクセス権の付与、変更、取り消しをご覧ください。
ORGANIZATION_ID プレースホルダは実際の組織 ID に置き換え、example@customer.org
はユーザーのメールアドレスに置き換えます。組織 ID を取得するには、組織 ID の取得をご覧ください。
roles/assuredworkloads.admin
Assured Workloads フォルダの作成と削除用。読み取りと書き込みのアクセスを許可します。
gcloud organizations add-iam-policy-binding ORGANIZATION_ID \ --member="user:example@customer.org" \ --role="roles/assuredworkloads.admin"
roles/assuredworkloads.editor
読み取りと書き込みのアクセスを許可します。
gcloud organizations add-iam-policy-binding ORGANIZATION_ID \ --member="user:example@customer.org" \ --role="roles/assuredworkloads.editor"
roles/assuredworkloads.reader
Assured Workloads フォルダの取得と一覧表示用。読み取り専用アクセスを許可します。
gcloud organizations add-iam-policy-binding ORGANIZATION_ID \ --member="user:example@customer.org" \ --role="roles/assuredworkloads.reader"
カスタムロール
指定した権限を一括で含めるために独自の役割を定義する場合は、カスタムロールを使用します。
Assured Workloads IAM のベスト プラクティス
最小権限に従って IAM ロールを適切に保護することは、Google Cloud のセキュリティのベスト プラクティスです。この原則では、ユーザーが自分のロールに必要なプロダクト、サービス、アプリケーションにのみアクセスできるようにする必要がるというルールに従います。現在、ユーザーは、Assured Workloads フォルダの外部にプロダクトやサービスをデプロイする場合、Assured Workloads プロジェクトで対象範囲外のサービスを使用することは制限されていません。
コンプライアンス プログラム別の対象範囲内のプロダクトのリストは、セキュリティ管理者が、ユーザー アクセスを Assured Workloads フォルダ内の対象範囲のプロダクトに制限するカスタムロールを作成する場合に役立ちます。カスタムロールは、Assured Workloads フォルダ内でのコンプライアンスの取得と維持をサポートできます。