API へのアクセス権の付与と取り消し

OpenAPI | gRPC

誰が API にアクセスできるかを制御することは、開発の重要な部分です。たとえば API をテストする際に、適切な権限を持つサービスアカウントを使って更新後の Cloud Endpoints 構成の再デプロイを自動化できます。デフォルトでは、プロジェクトオーナーだけが API へのアクセスを管理できます。このページでは、Google Cloud コンソールまたは Google Cloud CLI を使用して API へのアクセス権の付与と取り消しを行う方法について説明します。

Endpoints では、Identity and Access Management のロールを使用して、API レベルでアクセス権の付与や取り消しを行います。アクセス権の付与と取り消しは、ユーザー、サービスアカウント、Google グループに対して行うことができます。

Google グループを使用すると、ユーザーの集合に対して簡単にアクセス権を付与したり、取り消したりできます。個々のユーザーまたはサービスアカウントに対してアクセス権の付与または取り消しを 1 つずつ行う代わりに、グループ全体に対して一度にアクセス権の付与または取り消しを行えます。また、メンバーごとに IAM のロールの付与または取り消しを行う代わりに、Google Group に対して簡単にメンバーを追加および削除できます。

アクセス権の付与

Google Cloud Console

Google Cloud コンソールで、プロジェクトの [エンドポイント] > [サービス] ページに移動します。
[Endpoints] の [サービス] ページに移動
API が複数ある場合は、API の名前をクリックします。
[権限] サイドパネルが開いていない場合は、[ 権限] をクリックします。
[メンバーを追加] ボックスに、ユーザー、サービスアカウント、または Google グループのメールアドレスを入力します。
[役割を選択] プルダウンで、[サービス管理] をクリックし、以下のいずれかの役割を選択します。
- サービスユーザー: このロールには、プロジェクトメンバー以外のユーザーが、自分のプロジェクトで API を表示し、有効化できる権限が含まれています。API 用のポータルを作成済みの場合、このロールを持つ API ユーザーはそのポータルにアクセスできます。
- サービスコントローラ: このロールには、実行時に Service Infrastructure API の check メソッドと report メソッドを呼び出す権限が含まれています。
- Service Config 編集者: この役割には、Service Management が Endpoints 構成を既存のサービスにデプロイするために必要な最小限の権限が含まれています。
- Service Management 管理者: この役割には、Service Config 編集者、サービスユーザー、サービスコントローラの各役割に含まれる権限が含まれています。また、gcloud やリソースへのアクセス権の付与、変更、取り消しで説明されている手法で API へのアクセス権を付与するために必要な権限も含まれています。
このロールについては、Service Management API のアクセス制御をご覧ください。Cloud Console で他のロールを選択することもできますが、それらのロールは API の管理には役立ちません。
[追加] をクリックして、指定した IAM ロールにメンバーを追加します。
必要に応じて、メンバーの追加と役割の選択を繰り返します。
Service Management のロールを持つユーザーは、Google Cloud コンソールで [Endpoints] の [サービス] ページにアクセスできません。ユーザーが [エンドポイント] の [サービス] ページにアクセスできるようにするには、プロジェクトに対するプロジェクト閲覧者以上の役割をユーザーに付与する必要があります。詳細については、リソースへのアクセス権の付与、変更、取り消しをご覧ください。

gcloud

Cloud Shell を開きます。あるいは、Google Cloud CLI をインストール済みの場合はターミナルウィンドウを開きます。
該当する gcloud コマンドを入力します。
- ユーザーにアクセス権を付与する場合は、次のコマンドを実行します。
```
gcloud endpoints services add-iam-policy-binding [SERVICE-NAME] \
  --member='user:[EMAIL-ADDRESS]' \
  --role='[ROLE]'
```
  ロールについては、以下のいずれかの IAM ロールを指定します。
  - roles/servicemanagement.configEditor: この役割には、Endpoints 構成を既存のサービスにデプロイするために Service Management で必要な最小限の権限が含まれています。
  - roles/servicemanagement.admin: この役割には、roles/servicemanagement.configEditor、roles/servicemanagement.serviceConsumer、roles/servicemanagement.serviceController の各役割に含まれる権限が含まれています。また、gcloud やリソースへのアクセス権の付与、変更、取り消しで説明されている手法で API へのアクセス権を付与するために必要な権限も含まれています。
  例:
```
gcloud endpoints services add-iam-policy-binding example-service-name \
  --member='user:example-user@gmail.com' \
  --role='roles/servicemanagement.admin'
```
- サービスアカウントにアクセス権を付与する場合は、次のコマンドを実行します。
```
gcloud endpoints services add-iam-policy-binding [SERVICE-NAME] \
  --member='serviceAccount:[EMAIL-ADDRESS]' \
  --role='[ROLE]'
```
  例:
```
gcloud endpoints services add-iam-policy-binding example-service-name \
  --member='serviceAccount:example-service-account@example-project.iam.gserviceaccount.com' \
  --role='roles/servicemanagement.configEditor'
```
- Google グループにアクセス権を付与する場合は、次のコマンドを実行します。
```
gcloud endpoints services add-iam-policy-binding [SERVICE-NAME] \
  --member='group:[GROUP-NAME]@googlegroups.com' \
  --role='[ROLE]'
```
  次に例を示します。
```
gcloud endpoints services add-iam-policy-binding example-service-name \
  --member='group:example-group@googlegroups.com' \
  --role='roles/servicemanagement.configEditor'
```
Service Management のロールを持つユーザーは、Google Cloud コンソールで [エンドポイント] の [サービス] ページにアクセスできません。ユーザーが [エンドポイント] の [サービス] ページにアクセスできるようにするには、プロジェクトに対するプロジェクト閲覧者以上の役割をユーザーに付与する必要があります。詳細については、リソースへのアクセス権の付与、変更、取り消しをご覧ください。

アクセス権を取り消す

API へのアクセス権を取り消すには、IAM ロールを持っているメンバーから、そのロールを削除します。

Google Cloud Console

Google Cloud コンソールで、プロジェクトの [エンドポイント] > [サービス] ページに移動します。
[Endpoints] の [サービス] ページに移動
API が複数ある場合は、API の名前をクリックします。
[権限] サイドパネルが開いていない場合は、[ 権限] をクリックします。
アクセス権を取り消すメンバーを見つけます。該当する [役割] カードをクリックしてメンバーのリストを表示するか、[メンバー検索] ボックスに名前または役割を入力します。
[削除] をクリックします。
Google Cloud プロジェクトへのユーザーアクセス権も一緒に取り消す場合、詳しくはリソースへのアクセス権の付与、変更、取り消しをご覧ください。

gcloud

Cloud Shell を開きます。あるいは、gcloud CLI をインストール済みの場合はターミナルウィンドウを開きます。

該当する gcloud コマンドを入力します。

ユーザーのアクセス権を取り消す場合は、次のコマンドを実行します。

gcloud endpoints services remove-iam-policy-binding [SERVICE-NAME] \
  --member='user:[EMAIL-ADDRESS]' \
  --role='[ROLE-NAME]'

例:

gcloud endpoints services remove-iam-policy-binding example-service-name \
  --member='user:example-user@gmail.com' \
  --role='roles/editor'

サービスアカウントのアクセス権を取り消す場合は、次のコマンドを実行します。

gcloud endpoints services remove-iam-policy-binding [SERVICE-NAME] \
  --member='serviceAccount:[EMAIL-ADDRESS]' \
  --role='[ROLE-NAME]'

例:

gcloud endpoints services remove-iam-policy-binding example-service-name \
  --member='serviceAccount:example-service-account@example-project.iam.gserviceaccount.com' \
  --role='roles/servicemanagement.configEditor'

Google グループのアクセス権を取り消す場合は、次のコマンドを実行します。

gcloud endpoints services remove-iam-policy-binding [SERVICE-NAME] \
      --member='group:[GROUP-NAME]@googlegroups.com' \
      --role='[ROLE-NAME]'

次に例を示します。

gcloud endpoints services remove-iam-policy-binding example-service-name \
      --member='group:example-group@googlegroups.com' \
      --role='roles/viewer'

Google Cloud プロジェクトへのユーザーアクセス権も一緒に取り消す場合、詳しくはリソースへのアクセス権の付与、変更、取り消しをご覧ください。

次のステップ

以下の内容について学習します。

サービスアカウントの作成
このページで参照されている gcloud コマンド。