Cloud OnAir

Cloud OnAir 番組レポート : エンタープライズでのマイグレーションプラクティカルな組織と運用

2019年9月4日

https://storage.googleapis.com/gweb-cloudblog-publish/images/image1_EQfmynD.max-1400x1400.png

Google Cloud Japan Team

Cloud OnAir は、Google Cloud の製品をわかりやすく解説し、最新の情報などをいち早く皆様にお伝えする Online 番組です。

7 月 25 日の放送では、オンプレミスからクラウドへの移行を実際に行う上で、どのような組織とし、リソースをどのような方法で管理するかがテーマです。大規模なプロジェクトで GCP を活用していく際に、複雑になりがちな管理業務を効率良く行うためのヒントをお伝えします。

クラウド移行前の準備

プロジェクトが大きくなるほど、付随する管理業務も複雑になります。移行前の準備段階では、次の点を明確にしておくことをおすすめします。

クラウド利用ユーザの管理と把握:いくつの組織が利用するのか、どのようにユーザーを管理するか、どのユーザーに、いつ、何の権限を、どのように付与するのか
プロジェクトの管理と把握:いくつプロジェクトがあるのか、プロジェクトでユーザーは何ができるのか
ビリングやサポートの管理と把握:経理部門との連携は？、サポート問い合わせや、アカウント停止を誰が解除できるのか

ユーザー、プロジェクト、ビリングといったものは組織リソースと呼ばれるものであり、いわゆる GCP が提供するサービスリソースとは異なります。大規模システムをクラウドへ移行する場合、これらの組織リソースを適切に管理することが重要です。

実際のところ、Google Cloud のサポートチームへのお問い合わせの中で、組織リソースに関するものは決して少なくありません。具体的には、アクセス権の喪失、Google サービス間での請求書の識別、支払いの遅れ、サービス停止といったお問い合わせをいただきます。組織リソースについて理解を深め、適切に管理することで、クラウドへの移行もスムーズに進められるわけです。

ID、リソース、役割の管理

組織リソースを適切に管理するため、GCP では、Cloud IAM というサービスを提供しています。

誰が（Google アカウントや Google グループなど）
どういう操作を（役割）
何に対して（組織やフォルダ、プロジェクト、サービスリソースなど）
どういう条件下で（IP アドレス、時間など）

番組では、これらの 4 つ項目を Cloud IAM によって、どのように管理するのが良いか、ベストプラクティスも交えながらその方法やポイントを紹介します。

特に、リソースに対してきめ細かいアクセス制御を行う場合には、Cloud IAM Conditions（ベータ）も利用可能です。この機能を使用すると、Google Cloud Platform（GCP）リソースに対して条件付きの属性ベースのアクセス制御を定義して適用できます。

Cloud IAM Conditions では、構成された条件が満たされている場合にのみ、ID（メンバー）に権限を付与できます。本番環境に関する問題が発生した場合、ユーザーに対して一時的なアクセス権を構成したり、本社の従業員に対してリソースへのアクセスを制限したりできます。デバイスのセキュリティステータス、IP アドレス、リソースタイプ、日時などの属性に基づいて、リソースに対するきめ細かいアクセス制御ポリシーを作成できます。