接続されたサービスアカウントを変更する

このドキュメントでは、別のサービスアカウントを使用するように既存の仮想マシン（VM）を構成する方法について説明します。サービスアカウントは特別なアカウントであり、通常はアプリケーションやコンピューティングワークロードが承認された API 呼び出しを行うときに使用されます。

サービスアカウントは、カスタムアプリケーションなどのワークロードで、エンドユーザーの関与なしに Google Cloud リソースにアクセスする場合やアクションを実行する必要がある場合に必要です。サービスアカウントを使用するタイミングの詳細については、サービスアカウントの使用に関するベストプラクティスをご覧ください。

Google Cloud APIs を呼び出す必要があるアプリケーションがある場合、アプリケーションまたはワークロードを実行中の VM にユーザー管理のサービスアカウントを接続することをおすすめします。次に、サービスアカウントに IAM ロールを付与して、サービスアカウント、ひいては VM 上で実行中のアプリケーションに、Google Cloud リソースへのアクセス権を付与します。

始める前に

まだ設定していない場合は、認証を設定します。認証とは、Google Cloud サービスと API にアクセスするために ID を確認するプロセスです。ローカル開発環境でコードまたはサンプルを実行するには、次のいずれかのオプションを選択して Compute Engine に対する認証を行います。

Select the tab for how you plan to use the samples on this page:
Console

When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.
gcloud
1. Install the Google Cloud CLI, then initialize it by running the following command:
  gcloud init
  Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.
2. Set a default region and zone.

必要なロール

VM 上でサービスアカウントを構成するために必要な権限を取得するには、VM またはプロジェクトに対する Compute インスタンス管理者（v1）（roles/compute.instanceAdmin.v1）IAM ロールを付与するよう管理者に依頼してください。ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。

この事前定義ロールには、VM 上でサービスアカウントを構成するために必要な権限が含まれています。必要とされる正確な権限については、「必要な権限」セクションを開いてご確認ください。

必要な権限

VM でサービスアカウントを構成するには、次の権限が必要です。

compute.instances.setServiceAccount
compute.instances.stop
compute.instances.start

カスタムロールや他の事前定義ロールを使用して、これらの権限を取得することもできます。

概要

VM のサービスアカウントは、次のように構成することをおすすめします。

Compute Engine のデフォルトのサービスアカウントを使用せずに、ユーザー管理の新しいサービスアカウントを作成し、必要なリソースとオペレーションに対してのみ、そのサービスアカウントに IAM ロールを付与します。
サービスアカウントを VM に接続します。
VM にクラウドプラットフォーム（https://www.googleapis.com/auth/cloud-platform）のスコープを設定します。これにより、VM のサービスアカウントを使用して、使用権限のある Google Cloud APIs を呼び出せるようになります。
- Google Cloud コンソールを使用してサービスアカウントを指定すると、VM のアクセススコープは自動的にデフォルトで cloud-platform スコープに設定されます。
- Google Cloud CLI または Compute Engine API を使用してサービスアカウントを指定すると、scopes パラメータを使用してアクセススコープを設定できます。

サービスアカウントを設定する

ユーザー管理のサービスアカウントを作成するか、Compute Engine のデフォルトのサービスアカウントを使用できます。ユーザー管理のサービスアカウントの使用をおすすめします。

選択したサービスアカウントに対して、必要な Identity and Access Management（IAM）ロールが割り当てられていることを確認します。

ユーザー管理

ユーザー管理のサービスアカウントがない場合は、サービスアカウントを作成します。詳しい手順については、サービスアカウントを設定するをご覧ください。

デフォルト

Compute Engine のデフォルトのサービスアカウントについて詳しい知識があり、新しいサービスアカウントを作成する代わりにデフォルトのサービスアカウントによって提供される認証情報を使用する場合は、IAM ロールをデフォルトのサービスアカウントに付与できます。

デフォルトのサービスアカウントに IAM ロールを割り当てる前に、以下の点を確認してください。

IAM ロールをデフォルトのサービスアカウントに付与すると、デフォルトのサービスアカウントとして実行中のすべての VM に影響します。たとえば、デフォルトのサービスアカウントに roles/storage.objectAdmin ロールを付与すると、必要なアクセススコープを持ち、デフォルトのサービスアカウントとして実行されているすべての VM が roles/storage.objectAdmin ロールで付与される権限を持つことになります。同様に、特定のロールを省略してアクセス権限を制限すると、デフォルトのサービスアカウントとして実行中のすべての VM に影響します。
組織のポリシーの構成によっては、デフォルトのサービスアカウントに、プロジェクトに対する編集者のロールが自動的に付与される場合があります。iam.automaticIamGrantsForDefaultServiceAccounts 組織ポリシー制約を適用して、自動的なロール付与を無効にすることを強くおすすめします。2024 年 5 月 3 日以降に組織を作成した場合、この制約はデフォルトで適用されます。

自動ロール付与を無効にする場合、デフォルトのサービスアカウントに付与するロールを決定し、これらのロールを付与する必要があります。

デフォルトのサービスアカウントにすでに編集者ロールが設定されている場合は、編集者ロールを権限の低いロールに置き換えることをおすすめします。サービスアカウントのロールを安全に変更するには、Policy Simulator を使用して変更の影響を確認してから、適切なロールを付与または取り消す操作を行います。

デフォルトのサービスアカウントに IAM ロールを付与すべきかどうか判断できない場合は、代わりにユーザー管理の新しいサービスアカウントを作成します。

サービスアカウントを接続してアクセススコープを更新する

VM のサービスアカウントとアクセススコープを変更するには、VM を一時的に停止する必要があります。

サービスアカウントが VM とは異なるプロジェクトにある場合、異なるプロジェクトのリソースのサービスアカウントを構成する必要があります。

VM のサービスアカウントとアクセススコープを変更するには、次のいずれかの方法を使用します。

コンソール

[VM インスタンス] ページに移動します。

[VM インスタンス] に移動
サービスアカウントを変更する VM インスタンスの名前をクリックします。
インスタンスが停止していない場合は、[停止] をクリックします。VM が停止するまで待ちます。
[編集] をクリックします。
下にスクロールして、[サービスアカウント] セクションに移動します。
プルダウンリストから、VM に割り当てるサービスアカウントを選択します。
- ユーザー管理のサービスアカウントを選択した場合、VM のアクセススコープはデフォルトで推奨の cloud-platform スコープになります。ユーザー管理のサービスアカウントに別のスコープが必要な場合は、gcloud CLI または Compute Engine API を使用してサービスアカウントを接続します。
- Compute Engine のデフォルトのサービスアカウントを選択した場合は、Google Cloud コンソールでアクセススコープを変更できます。
  - スコープを変更するには、[アクセススコープ] セクションで、[各 API にアクセス権を設定] を選択して、必要に応じて適切なスコープを設定します。
  - 推奨: 設定する適切なアクセススコープがわからない場合は、[すべての Cloud APIs に完全アクセス権を許可] を選択してから、サービスアカウントに IAM ロールを設定してアクセスを制限してください。
[保存] をクリックして、変更を保存します。
[開始 / 再開] をクリックして VM を再起動します。

gcloud

instances stop コマンドを使用して VM を停止します。VM_NAME は、VM インスタンスの名前に置き換えます。
```
gcloud compute instances stop VM_NAME
```
サービスアカウントを接続します。サービスアカウントを接続するには、instances set-service-account コマンドを使用して、VM 名、サービスアカウントのメールアドレス、必要なスコープを指定します。アクセススコープの設定の詳細については、ベストプラクティスをご覧ください。
```
gcloud compute instances set-service-account VM_NAME \
  --service-account=SERVICE_ACCOUNT_EMAIL \
  --scopes=SCOPES
```
次のように置き換えます。
- SERVICE_ACCOUNT_EMAIL: 作成したサービスアカウントのメールアドレス。例: my-sa-123@my-project-123.iam.gserviceaccount.com。メールアドレスを表示するには、サービスアカウントの一覧取得をご覧ください。
  
  VM からサービスアカウントを削除する場合は、--no-service-account フラグを使用します。
- VM_NAME: VM インスタンスの名前。
- SCOPES: --scopes フラグの説明で提供されるスコープ URI またはエイリアスのカンマ区切りリスト。
  
  VM のスコープをすべて削除する場合は、--no-scopes フラグを使用します。
たとえば、次のコマンドは example-instance という VM にサービスアカウント my-sa-123@my-project-123.iam.gserviceaccount.com を割り当て、この VM にアクセススコープを設定して Compute Engine に対する読み取り / 書き込みアクセスと Cloud Storage への読み取り専用アクセスを許可します。
```
gcloud compute instances set-service-account example-instance \
  --service-account=my-sa-123@my-project-123.iam.gserviceaccount.com \
  --scopes=compute-rw,storage-ro
```
instances start コマンドを使用して VM を起動します。VM_NAME は、VM インスタンスの名前に置き換えます。
```
gcloud compute instances start VM_NAME
```

REST

instances.stop メソッドを使用して POST リクエストを送信し、VM を停止します。
```
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/stop
```
次のように置き換えます。
- PROJECT_ID: VM が属しているプロジェクト
- ZONE: VM インスタンスが配置されているゾーン
- VM_NAME: 停止する VM の名前
setServiceAccount メソッドに POST リクエストを送信して、サービスアカウントを接続します。
```
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/setServiceAccount

{
  "email": "SERVICE_ACCOUNT_EMAIL",
  "scopes": [
    "SCOPE_URI",
    "SCOPE_URI",
    ...
  ]
}
```
次のように置き換えます。
- PROJECT_ID: このリクエストのプロジェクト ID。
- ZONE: この VM が属しているゾーン。
- VM_NAME: VM の名前。
- SERVICE_ACCOUNT_EMAIL: 作成したサービスアカウントのメールアドレス。例: my-sa-123@my-project-123.iam.gserviceaccount.com。メールアドレスを表示するには、サービスアカウントの一覧取得をご覧ください。
- SCOPE_URI: 必要なスコープ URI。
たとえば、次のリクエストではサービスアカウントのメールアドレス my-sa-123@my-project-123.iam.gserviceaccount.com を使用して、Cloud Storage と BigQuery のスコープを設定しています。
```
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/setServiceAccount

{
  "email": "my-sa-123@my-project-123.iam.gserviceaccount.com",
  "scopes": [
    "https://www.googleapis.com/auth/bigquery",
    "https://www.googleapis.com/auth/devstorage.read_only"
  ]
}
```
instances.start メソッドを使用して POST リクエストを作成し、VM を起動します。
```
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/start
```
次のように置き換えます。
- PROJECT_ID: VM が属しているプロジェクト
- ZONE: VM インスタンスが配置されているゾーン
- VM_NAME: 起動する VM の名前

VM が使用するサービスアカウントを表示する

プロジェクト内のすべてのサービスアカウントを表示するには、サービスアカウントの一覧取得をご覧ください。

VM が使用しているサービスアカウントを特定する必要がある場合は、次のいずれかの手順を実施します。

コンソール

[VM インスタンス] ページに移動します。

[VM インスタンス] に移動
サービスアカウントを変更する VM インスタンスの名前をクリックします。
[API と ID の管理] セクションに移動します。このセクションには、VM で使用されるサービスアカウントとアクセススコープが表示されます。

gcloud

gcloud compute instances describe コマンドを実行します。

gcloud compute instances describe VM_NAME \
    --format json

出力は次のようになります。

{
  ...
  "serviceAccounts":[
      {
        "email":"123845678986-compute@developer.gserviceaccount.com",
        "scopes":[
            "https://www.googleapis.com/auth/devstorage.full_control"
        ]
      }
  ]
  ...
   }

VM がサービスアカウントを使用していない場合、serviceAccounts プロパティのないレスポンスが返されます。

メタデータサーバー

VM 内からメタデータサーバーをクエリします。次のように http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/ にリクエストします。

user@myinst:~$ curl "http://metadata.google.internal/computeMetadata/v1/instance/service-accounts/" \
-H "Metadata-Flavor: Google"

インスタンスの作成時に 1 つ以上のサービスアカウントを有効にしている場合、この curl コマンドを実行すると、次のような出力が返されます。

123845678986-compute@developer.gserviceaccount.com/
default/

インスタンスがサービスアカウントを使用していない場合、空のレスポンスが返されます。

ベストプラクティス

サービスアカウントの権限を制限してサービスアカウントの権限を定期的に確認し、最新の状態にします。
サービスアカウントの削除は慎重に行ってください。サービスアカウントを削除する前に、重要なアプリケーションがそのサービスアカウントを使用していないことを確認してください。サービスアカウントが使用されているかどうかわからない場合は、削除するのではなくサービスアカウントを無効にすることをおすすめします。無効になっているサービスアカウントがまだ必要な場合は、再度有効にすることができます。
サービスアカウントのセキュリティリスクを軽減します。詳しくは、サービスアカウントの使用に関するベストプラクティスをご覧ください。

次のステップ

サービスアカウントの使用に関するベストプラクティスを確認する
サービスアカウントを使用してワークロードを認証するを確認する

接続されたサービス アカウントを変更する

始める前に

Console

gcloud

REST

必要なロール

必要な権限

概要

サービス アカウントを設定する

ユーザー管理

デフォルト

サービス アカウントを接続してアクセス スコープを更新する

コンソール

gcloud

REST

VM が使用するサービス アカウントを表示する

コンソール

gcloud

メタデータ サーバー

ベスト プラクティス

次のステップ

接続されたサービスアカウントを変更する

サービスアカウントを設定する

サービスアカウントを接続してアクセススコープを更新する

VM が使用するサービスアカウントを表示する

メタデータサーバー

ベストプラクティス