ユーザー管理のサービスアカウントを使用する VM を作成する

このドキュメントでは、ユーザー管理のサービスアカウントを使用するように構成された仮想マシン（VM）インスタンスを作成する方法について説明します。サービスアカウントは特別なアカウントであり、通常はアプリケーションやコンピューティングワークロードが承認された API 呼び出しを行うときに使用されます。

Google Cloud APIs を呼び出す必要があるアプリケーションがある場合、アプリケーションまたはワークロードを実行中の VM にユーザー管理のサービスアカウントを接続することをおすすめします。次に、サービスアカウントに IAM ロールを付与して、サービスアカウント、ひいては VM 上で実行中のアプリケーションに、Google Cloud リソースへのアクセス権を付与します。

始める前に

このガイドのコマンドラインの例を使用する場合は、次の操作を行います。
1. Google Cloud CLI の最新バージョンをインストールするか、最新バージョンに更新します。
2. デフォルトのリージョンとゾーンを設定します。
このガイドの API の例を使用する場合は、API アクセスを設定します。

必要なロール

サービスアカウントを使用する VM を作成するために必要な権限を取得するには、以下の IAM ロールをプロジェクトに付与するよう管理者に依頼してください。

Compute インスタンス管理者（v1）（roles/compute.instanceAdmin.v1）
サービスアカウントの作成（roles/iam.serviceAccountCreator）

ロールの付与の詳細については、アクセス権の管理をご覧ください。

これらの事前定義ロールには、サービスアカウントを使用する VM の作成に必要な権限が含まれています。必要とされる正確な権限については、「必要な権限」セクションを開いてご確認ください。

必要な権限

サービスアカウントを使用する VM を作成するには、次の権限が必要です。

サービスアカウントを作成する権限: serviceAccountCreator ロールのすべての権限
VM を作成する権限:
- プロジェクトに対する compute.instances.create
- Shielded VM インスタンスを作成し、Shielded VM の設定を変更できるようにする場合: compute.instances.updateShieldedVmConfig
- レガシーネットワークを使用している場合: プロジェクトに対する compute.networks.use
- プロジェクト全体または選択したサブネット（VPC ネットワーク）に対する compute.subnetworks.use
- レガシーネットワークを使用してインスタンスに外部 IP アドレス（エフェメラルまたは静的アドレス）を割り当てる必要がある場合: プロジェクトに対する compute.networks.useExternalIp
- VPC ネットワークを使用してインスタンスに外部 IP アドレス（エフェメラルまたは静的アドレス）を割り当てる必要がある場合: プロジェクト全体または選択したサブネットに対する compute.subnetworks.useExternalIp
- プロジェクトで静的アドレスを指定する場合: プロジェクトに対する compute.addresses.use
- メタデータを設定する場合: compute.instances.setMetadata
- タグを設定する場合: インスタンスに対する compute.instances.setTags
- ラベルを設定する場合: インスタンスに対する compute.instances.setLabels
- サービスアカウントを設定する場合: インスタンスに対する compute.instances.setServiceAccount
- 新しいルート永続ディスクを作成する場合: イメージに対する compute.images.useReadOnly
- このインスタンスで新しいルート永続ディスクを作成する場合: プロジェクトに対する compute.disks.create
- 既存の永続ディスクを読み取り専用モードでアタッチする場合: ディスクに対する compute.disks.useReadOnly
- 既存のディスクを読み書きモードでアタッチする場合: ディスクに対する compute.disks.use
- ラベルを設定する場合: ディスクに対する compute.disks.setLabels
- スナップショットからインスタンスを作成する際に新しいスナップショットを作成する場合: プロジェクトに対する compute.snapshots.create
- スナップショットからインスタンスを作成する場合: スナップショットに対する compute.snapshots.useReadOnly
- インスタンステンプレートからインスタンスを作成する場合: インスタンステンプレートに対する compute.instanceTemplates.useReadOnly

カスタムロールや他の事前定義ロールを使用して、これらの権限を取得することもできます。

概要

VM のサービスアカウントは、次のように構成することをおすすめします。

Compute Engine のデフォルトのサービスアカウントを使用せずに、ユーザー管理の新しいサービスアカウントを作成し、必要なリソースとオペレーションに対してのみ、そのサービスアカウントに IAM ロールを付与します。
サービスアカウントを VM に接続します。
VM にクラウドプラットフォーム（https://www.googleapis.com/auth/cloud-platform）のスコープを設定します。これにより、VM のサービスアカウントを使用して、使用権限のある Google Cloud APIs を呼び出せるようになります。
- Google Cloud コンソールを使用してサービスアカウントを指定すると、VM のアクセススコープは自動的にデフォルトで cloud-platform スコープに設定されます。
- Google Cloud CLI または Compute Engine API を使用してサービスアカウントを指定すると、scopes パラメータを使用してアクセススコープを設定できます。

サービスアカウントを設定する

サービスアカウントを作成し、必要な IAM ロールを割り当てます。IAM ロールは必要な数だけ割り当てます。必要に応じて、サービスアカウントの IAM ロールを変更できます。

サービスアカウントは、次のいずれかの方法で設定します。

コンソール

Google Cloud コンソールで [サービスアカウントの作成] ページに移動します。
[サービスアカウントの作成] に移動
プロジェクトを選択します。
[サービスアカウント名] フィールドに名前を入力します。Google Cloud コンソールでは、この名前に基づいて [サービスアカウント ID] フィールドに値が設定されます。

[サービスアカウントの説明] フィールドに説明を入力します。例: Service account for quickstart
[作成して続行] をクリックします。
サービスアカウントに必要なロールを付与します。

ロールを付与するには、[ロールを選択] リストを見つけてロールを選択します。

追加のロールを付与するには、 [別のロールを追加] をクリックして各ロールを追加します。

注: [ロール] フィールドは、サービスアカウントがプロジェクト内のどのリソースにアクセスできるかに影響します。これらのロールは後で取り消すことも、追加のロールを付与することもできます。本番環境では、オーナー、編集者、閲覧者のロールを付与しないでください。代わりに、ニーズに合わせて事前定義ロールまたはカスタムロールを付与します。
[続行] をクリックします。
[サービスアカウントユーザーロール] ボックスに、Google アカウントのメールアドレスを入力します。
[完了] をクリックして、サービスアカウントの作成を完了します。

gcloud

認証を設定します。

サービスアカウントを作成します。
```
gcloud iam service-accounts create SERVICE_ACCOUNT_NAME
```
SERVICE_ACCOUNT_NAME をサービスアカウントの名前に置き換えます。
プロジェクトとリソースへのアクセス権を付与するには、サービスアカウントにロールを付与します。
```
gcloud projects add-iam-policy-binding PROJECT_ID --member="serviceAccount:SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com" --role=ROLE
```
次のように置き換えます。
- SERVICE_ACCOUNT_NAME: サービスアカウントの名前
- PROJECT_ID: サービスアカウントを作成したプロジェクト ID
- ROLE: 付与するロール
注: --role フラグは、サービスアカウントがプロジェクト内のどのリソースにアクセスできるかに影響します。これらのロールは後で取り消すことも、追加のロールを付与することもできます。本番環境では、オーナー、編集者、閲覧者のロールを付与しないでください。代わりに、ニーズに合わせて事前定義ロールまたはカスタムロールを付与します。
サービスアカウントに別のロールを付与するには、前の手順で行ったようにコマンドを実行します。
サービスアカウントのロールを使用して、そのサービスアカウントを他のリソースに関連付けることができるロールを Google アカウントに付与します。
```
gcloud iam service-accounts add-iam-policy-binding SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com --member="user:USER_EMAIL" --role=roles/iam.serviceAccountUser
```
次のように置き換えます。
- SERVICE_ACCOUNT_NAME: サービスアカウントの名前
- PROJECT_ID: サービスアカウントを作成したプロジェクト ID
- USER_EMAIL: Google アカウントのメールアドレス

Terraform

サービスアカウントを作成するには、google_service_account リソースを使用します。

compute/service_account_for_instances/main.tf

GitHub で表示フィードバック

resource "google_service_account" "default" {
  account_id   = "service-account-id"
  display_name = "Service Account"
}

account_id 属性と display_name 属性のプレースホルダの値を忘れずに置き換えてください。

Terraform 構成を適用または削除する方法については、基本的な Terraform コマンドをご覧ください。

VM を作成してサービスアカウントを接続する

サービスアカウントを作成したら VM を作成し、前のセクションで作成したサービスアカウントに接続します。また、VM のアクセススコープを cloud-platform に設定します。

すでに既存の VM があり、別のサービスアカウントを使用するようにその VM を構成する場合は、接続されたサービスアカウントを変更するをご覧ください。

以下のいずれかの方法で VM を作成し、サービスアカウントを接続します。

コンソール

Google Cloud コンソールの [VM インスタンス] ページに移動します。

[VM インスタンス] に移動

プロジェクトを選択し、[続行] をクリックします。
[インスタンスを作成] をクリックします。
VM の名前を指定します。
[ID と API へのアクセス] セクションまでスクロールします。
[サービスアカウント] リストで、作成したサービスアカウントを選択します。サービスアカウントを VM に接続すると、Google Cloud アクセススコープの cloud-platform アクセススコープが VM に自動的に設定されます。
必要に応じて、VM をさらにカスタマイズします。
VM を作成して起動するには、[作成] をクリックします。

gcloud

Google Cloud CLI を使用して新しい VM インスタンスを作成し、カスタムサービスアカウントを使用するように構成するには、gcloud compute instances create コマンドを使用して、VM インスタンスにサービスアカウントのメールと cloud-platform アクセススコープを指定します。

gcloud compute instances create VM_NAME \
    --service-account=SERVICE_ACCOUNT_EMAIL \
    --scopes=https://www.googleapis.com/auth/cloud-platform

次のように置き換えます。

SERVICE_ACCOUNT_EMAIL: 作成したサービスアカウントのメールアドレス。例: my-sa-123@my-project-123.iam.gserviceaccount.com。メールアドレスを表示するには、サービスアカウントの一覧取得をご覧ください。
VM_NAME: VM インスタンスの名前。

例:

gcloud compute instances create example-vm \
    --service-account 123-my-sa@my-project-123.iam.gserviceaccount.com \
    --scopes=https://www.googleapis.com/auth/cloud-platform

エイリアス --scopes=cloud-platform を使用してスコープを指定することもできます。これらのエイリアスは、gcloud CLI によってのみ認識されます。API やその他のライブラリではこれらのエイリアスが認識されないため、完全なスコープ URI を指定する必要があります。

Terraform

サービスアカウントを使用するように新しい VM を設定するには、google_compute_instance リソースを使用します。

compute/service_account_for_instances/main.tf

GitHub で表示フィードバック

resource "google_compute_instance" "default" {
  name         = "my-test-vm"
  machine_type = "n1-standard-1"
  zone         = "us-central1-a"

  boot_disk {
    initialize_params {
      image = "debian-cloud/debian-11"
    }
  }

  // Local SSD disk
  scratch_disk {
    interface = "SCSI"
  }

  network_interface {
    network = "default"

    access_config {
      // Ephemeral public IP
    }
  }

  service_account {
    # Google recommends custom service accounts with `cloud-platform` scope with
    # specific permissions granted via IAM Roles.
    # This approach lets you avoid embedding secret keys or user credentials
    # in your instance, image, or app code
    email  = google_service_account.default.email
    scopes = ["cloud-platform"]
  }
}

REST

instances.insert メソッドを使用して VM を作成し、VM インスタンスに対してサービスアカウントのメールとアクセススコープを指定します。

POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances

{
   "machineType":"zones/MACHINE_TYPE_ZONE/machineTypes/MACHINE_TYPE",
   "name":"VM_NAME",

   "disks":[
      {
         "initializeParams":{
            "sourceImage":"projects/IMAGE_PROJECT/global/images/IMAGE"
         },
         "boot":true
      }
   ],

   "networkInterfaces":[
      {
         "network":"global/networks/NETWORK_NAME"
      }
   ],

  "serviceAccounts": [
      {
      "email": "SERVICE_ACCOUNT_EMAIL",
      "scopes": ["https://www.googleapis.com/auth/cloud-platform"]
      }
   ],
   "shieldedInstanceConfig":{
      "enableSecureBoot":"ENABLE_SECURE_BOOT"
   }
}

次のように置き換えます。

PROJECT_ID: VM を作成するプロジェクトの ID
ZONE: VM を作成するゾーン
MACHINE_TYPE_ZONE: 新しい VM に使用するマシンタイプを含むゾーン
MACHINE_TYPE: 新しい VM のマシンタイプ（事前定義またはカスタム）
VM_NAME: 新しい VM の名前
IMAGE_PROJECT: イメージを含むプロジェクト
たとえば、イメージファミリーとして debian-10 を指定する場合は、イメージプロジェクトとして debian-cloud を指定します。
IMAGE or IMAGE_FAMILY: 次のいずれかを指定します。
- IMAGE: 公開イメージの特定のバージョン
  例 "sourceImage": "projects/debian-cloud/global/images/debian-10-buster-v20200309"
- IMAGE_FAMILY: イメージファミリー
  これにより、最新の非推奨ではない OS イメージから VM が作成されます。たとえば、"sourceImage": "projects/debian-cloud/global/images/family/debian-10" を指定すると、Compute Engine は Debian 10 イメージファミリーの OS イメージの最新バージョンから VM を作成します。
NETWORK_NAME: VM に使用する VPC ネットワーク。default を指定して、デフォルトネットワークを使用できます。
SERVICE_ACCOUNT_EMAIL: 作成したサービスアカウントのメールアドレス。例: my-sa-123@my-project-123.iam.gserviceaccount.com。メールアドレスを表示するには、サービスアカウントのメールを取得するをご覧ください。
ENABLE_SECURE_BOOT: 省略可。Shielded VM 機能をサポートしているイメージを選択した場合は、Compute Engine がデフォルトで仮想トラステッドプラットフォームモジュール（vTPM）と整合性モニタリングを有効にします。Compute Engine は、デフォルトではセキュアブートを有効にしません。

enableSecureBoot に true を指定すると、Compute Engine は 3 つの Shielded VM 機能をすべて有効にした VM を作成します。Compute Engine が VM を起動した後、Shielded VM のオプションを変更するには、VM を停止する必要があります。

他の Google Cloud サービスにアクセスして使用する

サービスアカウントを使用するように VM を構成すると、アプリケーションはサービスアカウントを使用して認証できるようになります。最も一般的な方法は、アプリケーションのデフォルト認証情報とクライアントライブラリを使用して認証する方法です。gcloud CLI や gsutil などの一部の Google Cloud ツールは、自動的にサービスアカウントを使用して VM から Google Cloud APIs にアクセスできます。詳細については、サービスアカウントを使用したワークロードの認証をご覧ください。

例: VM から Cloud Storage リソースにアクセスする

storage.admin ロールを持つサービスアカウントを使用するように VM を構成すると、gcloud CLI や gsutil などのツールを使用して、Cloud Storage に保存したファイルを管理できます。Cloud Storage リソースにアクセスするには、次の手順を実施します。

VM に接続されているサービスアカウントに roles/storage.admin ロールがあることを確認します。
VM でカスタム OS イメージを使用している場合は、gcloud CLI をインストールします。デフォルトでは、gcloud CLI は Google Cloud が提供するほとんどの公開 OS イメージにインストールされています。
VM に接続します。
VM から、次のいずれかのツールを使用して Cloud Storage リソースを管理します。
- gsutil を使用する
- Google Cloud CLI を使用する

次のステップ

サービスアカウントの使用に関するベストプラクティスを確認する
サービスアカウントを使用してワークロードを認証するを確認する

ユーザー管理のサービス アカウントを使用する VM を作成する

始める前に

必要なロール

必要な権限

概要

サービス アカウントを設定する

コンソール

gcloud

Terraform

VM を作成してサービス アカウントを接続する

コンソール

gcloud

Terraform

REST

他の Google Cloud サービスにアクセスして使用する

例: VM から Cloud Storage リソースにアクセスする

おすすめの方法

次のステップ

ユーザー管理のサービスアカウントを使用する VM を作成する

サービスアカウントを設定する

VM を作成してサービスアカウントを接続する