ユーザー グループによる証明書ベースのアクセスの適用

このページでは、ユーザー グループで証明書ベースのアクセス（CBA）を適用する方法について説明します。

Google Cloud コンソールを含むすべての Google Cloud サービスへのアクセスを制限するには、アクセスを制限するユーザー グループに CBA アクセスレベルをバインドします。

手順を続行する前に、リソースへのアクセスを決定するときに証明書を必要とする CBA アクセスレベルを作成済みであることを確認します。

ユーザー グループの作成

CBA アクセスレベルに基づいてアクセス権を付与するメンバーを含むユーザー グループを作成します。

Cloud アクセス バインディング管理者のロールを割り当てる

次の手順に従い、Cloud Access Binding 管理者ロールをユーザー グループに割り当てます。

コンソール

  1. コンソールで [IAM] ページに移動します。

    IAM に移動

  2. [追加] をクリックして、以下を構成します。

    1. 新しいプリンシパル: ロールを付与するグループを指定します。
    2. ロールを選択し、[Access Context Manager] > [Cloud アクセス バインディング管理者] の順に選択します。
    3. [保存] をクリックします。

gcloud CLI

  1. 組織レベルの IAM 権限を追加するのに十分な権限で承認されていることを確認してください。少なくとも、組織管理者のロールが必要です。

    適切な権限があることを確認したら、ログインします。

    gcloud auth login

  2. 次のコマンドを実行して GcpAccessAdmin ロールを割り当てます。

    gcloud organizations add-iam-policy-binding ORG_ID \
  --member=user:EMAIL \
  --role=roles/accesscontextmanager.gcpAccessAdmin

    • ORG_ID は、組織 ID です。組織 ID を把握していない場合は、次のコマンドを使用して確認できます。

       gcloud organizations list

    • EMAIL は、ロールを付与するユーザーまたはグループのメールアドレスです。

CBA アクセスレベルをユーザー グループにバインドする

  1. コンソールで、[BeyondCorp Enterprise] ページに移動します。

    BeyondCorp Enterprise に移動

  2. 組織を選択し、[選択] をクリックします。

  3. [アクセスの管理] をクリックして、アクセスを許可するユーザー グループを選択します。

  4. [追加] をクリックして、以下を構成します。

    1. メンバー グループ: アクセス権を付与するグループを指定します。選択できるのは、アクセスレベルにまだバインドされていないグループのみです。
    2. アクセスレベルを選択する: グループに適用する CBA アクセスレベルを選択します。
    3. [保存] をクリックします。